云计算笔记之admin-day-06-权限和归属、使用LDAP认证、家目录漫游、总结和答疑

Day06-权限和归属、使用LDAP认证、家目录漫游、总结和答疑

权限和归属

基本权限

对于文本文件：
r:cat,less,head,tail
w:vim能够保存
x:针对shell脚本
dr-xr-x—. 5 root root 4096 2月 27 2019 /root
权限位 硬链接数 属主 属组 大小 最后修改时间 文件/目录名称

目录的r权限：能够ls浏览此目录的内容
目录的w权限：能够执行rm/mv/cp/mkdir/touch等更改目录内容的操作，从子目录开始生效，对目录本身不生效
目录的x权限：能够cd切换到此目录
对于目录来说rx一般来说是成对出现的,有rw权限不能创建目录，因为他没有进入到目录的权限
，有wx不能浏览目录却可以在目录里创建子文件
权限方面的题都需要把root用户排除

chmod
chmod [-R] 归属关系 ±=权限类别 文档…

chown 设置文档归属
chown [-R] 属主 文档…
chown [-R] :属组 文档…
chown [-R] 属主:属组 文档…

用户加入组不是立即生效的

Linux中如何判定用户具备的权限

1. 判断用户属于角色（匹配及停止，所有者 > 所属组 > 其他人）
2. 查看相应角色权限位置的权限

附加权限(特殊权限)

Set GID(会经常用到的)

附加在所属组的x位上
适用于目录，Set GID可以使目录下新增的文档自动设置成与父目录相同的属性
chmod g+s 文件 （S原来没有执行权限，s原来组权限是有x权限的）
传递所有组身份，让子目录子文件自动设置成和父目录相同的所属组
可以解决git提交代码时，文件权限冲突的问题，及提交的文件都是自己账号
例如：chmod g+s /home

Set UID（几乎用不到）

附加在属主的x位上
属主的权限标识会变成s
适用于可执行文件，Set UID可以让使用者具有文件属主的身份及部分权限
传递所有者身份
chmod u+s 文件
攻击的手段

Sticky Bit(企业中用的比较多)

附加在其他人的x位上
其他人的权限标识会变成t
适用于开放w权限的目录，可以阻止用户滥用w写入权限（禁止操作别人的文档）
chmod o+t /home/public
drwxr-xr-t 2 root root 4096 1月 3 15:16 public/

acl访问控制列表

文档归属的局限性：

1. 任何人只属于三种角色：属主 属组 其他人

2. 无法实现更精细的控制

acl访问策略

1. 能够对个别用户，个别组设置独立的权限

2. 大多数挂载的EXT3/4，XFS文件系统默认已支持

getfacl
getfacl  文档…
setfacl
setfacl [-R] -m u:用户名:权限类别 文档… //添加策略，m代表修改
setfacl [-R] -m g:组名:权限类别 文档…
setfacl -x u:用户名 文档… //删除指定的ACL策略
setfacl [-R] -b 文档… // 清空策略

setfacl -m u:lisi:rx nsd04
drwxr-xr-x+ 2 root root 4096 1月 3 05:50 nsd04
修改后权限后方由.更改为+号

设置黑名单

setfacl -m u:tom:— /public //拒绝tom进入到该目录，用的不多
acl优先级最高

使用LDAP认证（了解的内容，企业中用的很少）

红帽认证三大考试：

RHCSA：红帽认证系统管理员
RHCE：红帽认证系统工程师
RHCA：红帽认证架构师，LDAP是其中的

实现网络用户认证，达到用户的集中管理
网络用户：用户信息会放在网络中LDAP服务器
本地用户：用户信息会放在/etc/passwd

LDAP服务器：虚拟机classrom

客户端：虚拟机server

1. 安装sssd软件，与LDAP服务器沟通
   yum -y install sssd
2. 安装authconfig-gtk图形工具，进行配置客户端sssd软件
   yum -y install authconfig-gtk //安装
   authconfig-gtk //启动
3. 重启服务
   systemctl start sssd
   systemctl enable sssd

家目录漫游

服务NFS共享
Network File System,网络文件系统

1. 由NFS服务器将指定的文件夹共享给客户机
2. 客户机将此共享目录mount到本地目录，访问此共享资源就像访问本地目录一样方便
3. 类似于EXT4，XFS等类型，只不过资源在网上
   NFS服务器：虚拟机classroom
   客户端：虚拟机server
4. 查看NFS资源
   showmount -e [服务器地址]
   showmount -e classroom.example.com
5. 挂载NFS共享目录
   mount 服务器地址：目录路径 本地挂载点
   mount classroom.example.com：/home/guests /home/guests