Linux之 账号及权限管理

一、用户账号管理
1.用户账号类型

Linux中每个用户是通过 User Id （UID）来唯一标识的 新建用户 1-60000 自动分配 0-65535 端口号

管理员：root, 0

程序用户：1-499 （CentOS 6以前）, 1-999 （CentOS 7以后） 不登录的用户 系统默认的情况

对守护进程获取资源进行权限分配

普通用户：500+ （CentOS6以前）, 1000+（CentOS7以后） 不指定 顺序

给用户进行交互式登录使用

2超级用户 0超级

超级用户：root 用户是 Linux 操作系统中默认的超级用户账号，对本主机拥有至高无上的权限

3普通用户 受到系统某一类限制

普通用户：账号需要由 root 用户或其他管理员用户创建，拥有的权限受到一定限制，处理问题受到限制，一般只在用户自己的宿主目录中拥有完整权限。

4程序用户

 程序用户：在安装 Linux 操作系统及部分应用程序时，会添加一些特定的低权限用
户账号，这些用户一般不允许登录到系统，而仅用于维持系统或某个程序的正常运
行，如 bin、daemon、ftp、mail 等，以后实验中会经常遇到，先了解下即可。

二.组账号
1组账号

如何理解组？组相当于 职位 运维工程师 都具有大概相同的权限

看到组最常见的组词是不是组织？组织：按照一定的宗旨和系统建立起来的集体。那linux和windows中的组就是将多个用户集合起来，统一分配某种相同的权限（开通或关闭）。

1.基本组(私有组)

建立账户时,若没有指定账户所属的组,系统会建立一个和用户名相同的组,这个组就是私有组,这个组默认只容纳了一个用户。
在用户所属组中的第一个组称为基本组,基本组在 /etc/passwd 文件中指定
基本组：有且唯一

附加组：可有可无，可以有多个

默认新建用户时自动添加同名的组

2.附加组（公共组）
附加组：除了第一个组外的其他组为附加组或公共组,附加组在 /etc/group 文件中指定

三.ID

1.UID
UID（User IDentity，用户标识号）：Linux 操作系统中的每一个用户账号都有一个数字形式的身份标记，称为 UID（UserIDentity，用户标识号），对于操作系统核心来说，UID 是区分用户的基本依据，原则上每个用户的 UID 号应该是唯一的。

root用户账号的UID固定值0
程序用户账号的UID默认为Centos5,6: 1~499，Centos7: 1~ 999
普通用户的UID默认为Centos5, 6: 500~ 65535，Centos7: 1000~ 65535

2.GID
GID（Group IDentify，组标识号）：与 UID 类似，每一个组账号也有一个数字形式的身份标记，称为 GID（Group IDentity，组标识号）。root 组账号的 GID 号为固定值 0，而程序组账号的 GID 号默认为 1～499，500～60000 的 GID 号默认分配给普通组使用。

用户和组的关系
用户 是员工 组 是职位
员工 可以兼职多个岗位

总有一个最重要的身份 主要组合附加组

主要组 必须要一个组 有且唯一

附加组 可有可无 有可以有多个

默认行为当你创建一个新用户时会自动创建一个和之同名的主组

用户的主要组(primary group)：用户必须属于一个且只有一个主组，默认创建用户时会自动创建和用户名同名的组，做为用户的主要组，由于此组中只有一个用户，又称为私有组
用户的附加组(supplementary group)： 一个用户可以属于零个或多个辅助组，附属组

四、用户账号管理

1文件用户

1 /etc/passwd 存放保存用户名称、宿主目录、登录 Shell 等基本信息，

 等省略
root 用户名称
:x 密码占位符

:0 uid

:0 gid

:root 备注信息，描述

:/root 家目录路径

:/bin/bash shell环境

2 /etc/shadow 存放保存密码
第一用户名
第二6 66F9xdHRnn$Y7h6DXNH.MbjWN/ws1mK4UKAI4ylimRVwc6zOyE2Zvd7z83e9FF9z02YXlMzeD9Ui/M.rO04gDbdnpkIPEvDr0
密码
第三:19055:最后一次修改密码时间
第四0:修改密码最小天数 0 不限制
第五99999:密码有效期
第六7:提前7天提醒
第7:宽限天数
第8：失效时间 永久
第9:保留

第一字段：用户名:root

第二字段：密码: 6 66HzYRIWo05k6aVw2p$aLg7wfHGwoghmuUrIYced 当为*或！！时表示用户不能登录到此系统，若该字段为空，则表示无需密码即可登录

第三字段：上次修改密码时间，最后一次修改密码的时间

1970 年 01 月 01 日这是linux诞生的第一年已他作为元年开始计算

date -d ‘1970-01-01 19031 days’
#计算实际修改日期

第四字段：最小修改密码间隔时间， 今天 下一次间隔天数，才能修改，频繁修改， 也就是说，该字段规定了从第 3 字段（最后一次修改密码的日期）起，多长时间之内不能修改密码。如果是 0，则密码可以随时修改；如果是 10，则代表密码修改后 10 天之内不能再次修改密码。此字段是为了针对某些人频繁更改账户密码而设计的安全性考虑

第五字段：密码有效期 经常变更密码是个好习惯，为了强制要求用户变更密码，这个字段可以指定距离第 3 字段（最后一次更改密码）多长时间内需要再次变更密码，否则该账户密码进行过期阶段。该字段的默认值为 99999，也就是 273 年，可认为是永久生效。如果改为 90，则表示密码被修改 90 天之后必须再次修改，否则该用户即将过期。管理服务器时，通过这个字段强制用户定期修改密码。

第六字段：密码到期提醒（提示密码即将过期时间） 7 密码将要过期的前7天会提醒你 与第 5 字段相比较，当账户密码有效期快到时，系统会发出警告信息给此账户，提醒用户 "再过 n 天你的密码就要过期了，请尽快重新设置你的密码 该字段的默认值是 7，也就是说，距离密码有效期的第 7 天开始，每次登录系统都会向该账户发出 “修改密码” 的警告信息。

第七字段：密码过期后的宽限天数 （密码过期后多少天禁用此用户） 90 这个 也称为“口令失效日”，简单理解就是，在密码过期后，用户如果还是没有修改密码，则在此字段规定的宽限天数内，用户还是可以登录系统的；如果过了宽限天数，系统将不再让此账户登陆，也不会提示账户过期，是完全禁用。比如说，此字段规定的宽限天数是 10，则代表密码过期 10 天后失效；如果是 0，则代表密码过期后立即失效；如果是 -1，则代表密码永远不会失效。

第八字段：账号失效时间 同第 3 个字段一样，使用自 1970 年 1 月 1 日以来的总天数作为账户的失效时间。该字段表示，账号在此字段规定的时间之外，不论你的密码是否过期，都将无法使用！该字段通常被使用在具有收费服务的系统中。账号无法登录生命值

第九字段：保留字段收费内容

2添加用户

useradd命令基本格式
useradd 【选项】 用户名

添加用户：查看是否在 passwd和shadow文件中生成信息

• 在/etc/passwd 文件和/etc/shadow 文件的末尾增加该用户账号的记录
• 若未明确指定用户的宿主目录，则在/home 目录下自动创建与该用户账号同名的宿
• 主目录，并在该目录中建立用户的各种初始配置文件。
• 若没有明确指定用户所属的组，则自动创建与该用户账号同名的基本组账号，组账
• 号的记录信息将保存到/etc/group 和/etc/shadow 文件中。

选项

-u：指定用户的 UID 号，要求该 UID 号码未被其他用户使用。

-d：指定用户的宿主目录位置（当与-M 一起使用时，不生效）。

-e：指定用户的账户失效时间，可使用 YYYY-MM-DD 的日期格式。

-g：指定用户的基本组名（或使用 GID 号）。

-G：指定用户的附加组名（或使用 GID 号）。

-M：不建立宿主目录，即使/etc/login.defs 系统配置中已设定要建立宿主目录。

-s：指定用户的登录 Shell /sbin/nologin

3密码管理

passwd命令
为用户账号设置密码
passwd [选项]… 用户名
基本用法 不加选项 可以添加密码

选项

• -d：清空指定用户的密码，仅使用用户名即可登录系统。
• -l：锁定用户账户。
• -S：查看用户账户的状态（是否被锁定）。
• -u：解锁用户账户。

4修改用户账号的属性

usermod [选项]… 用户名

常见选项

• -l 更改用户账号的登录名称（Login Name）
• -L 锁定用户账户
• -u 修改用户的 UID 号
• -U 解锁锁用户账户
• -d：修改用户的宿主目录位置。
• -e：修改用户的账户失效时间，可使用 YYYY-MM-DD 的日期格式。
• -g：修改用户的基本组名（或使用 GID 号）
• -G：修改用户的附加组名（或使用 GID 号）
• -s：指定用户的登录 Shell

5 删除用户

userdel [选项] 用户

• -r 将宿主目录一起删除

[root@test1 etc]# userdel -r zhou1 //连宿主目录一起删除
[root@test1 etc]# id zhou1 //验证
id: zhou1: no such user
[root@test1 etc]# cd /home/
[root@test1 home]# ls
lisi zhangsan

6用户账号的初始配置文件

用户宿主目录下的初始配置文件只对当前用户有效

~/ .bash_profile

#此文件中的命令将在该用户每次登录时被执行，他会设置一些环境变量，并且会调用该用户的~/.bashrc文件

~/.bashrc

#此文件中的命令将在该用户每次打开新的bash shell时（包括登录系统）被执行(登录 切换 新的bash环境)

~/.bash_logout

#此文件中的命令将在该用户每次退出时bash shell时使用

/etc/bashrc

五、组管理

1组账号文件

与用户帐号文件相类似
/etc/group：保存组帐号基本信息
/etc/gshadow：保存组帐号的密码信息基本不使用

2添加组

groupadd命令
groupadd [-g GID] 组账号名

3组内管理

gpasswd 命令——添加、设置、删除组成员

• -a：向组内添加一个用户
• -d：从组内删除一个用户成员
• -M：定义组成员列表，以逗号分隔

4删除组账号

groupdel 组帐号名
[root@test1 /]# groupdel zhang
[root@test1 /]#

5查询

1. finger 命令查询用户帐号的详细信息（finger [用户名]）

    [root@test1 Packages]# finger zhang

    Login: zhang Name: zhang

    Directory: /home/zhang Shell: /bin/bash

    Last login 五 7月 2 09:17 (CST) on pts/0

    No mail.

    No Plan.

2. w 查询已登录到主机的用户信息

• -h 不显示输出信息的标题
• -l 用长格式输出
• -s 用短格式输出，不显示登陆时间，JCPU 和 PCPU 时间
• -V 显示版本信息

[root@test1 Packages]# w
11:20:58 up 2:05, 1 user, load average: 0.00, 0.01, 0.05
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
root pts/0 192.168.100.99 09:16 2.00s 0.74s 0.02s w
上面的输出信息中，第一行其实和 top 命令的第一行非常类似，主要显示了当前的系统时间、系统从启动至今已运行的时间、登陆到系统中的用户数和系统平均负载。平均负载（load average）指的是在 1 分钟、5 分钟、15 分钟内系统的负载状况

从第二行开始，显示的是当前所有登陆系统的用户信息，第二行是用户信息的各列标题，从第三行开始每行代表一个用户。这些标题的含义如表 所示

标题	含义
USER	登录到系统的用户。
TTY	登录终端。
FROM	表示用户从哪里登录进来，一般显示远程登录主机的IP地址或者主机名。
LOGIN@	用户登录的日期和时间。
IDLE	表示某个程序上次从终端开始执行到现在所持续的时间。
JCPU	和该终端连接的所有进程占用的CPU运算时间。这个时间里并不包括过去的后台作业时间，但是包括当前正在运行的后台作业所占用的时间。
PCPU	当前进程所占用的CPU运算时间。
WHAT	当前用户正在执行的进程名称和选项，话句话说，就是表示用户当前执行的是什么命令。

3. who
相比较 w 命令，who 命令只能显示当前登陆的用户信息，但无法知晓每个用户正在执行的命令。 who 命令的基本格式如下：
[root@localhost ~]# who [选项] [file]

选项	含义
-a	列出所有信息，相当于所有选项
-b	列出系统最近启动的时间日期
-l	列出所有可登录的终端信息
-m	仅列出关于当前终端的信息，who -m  命令等同于  who  am  i
-q	列出在本地系统上的用户和用户数的清单
-r	显示当前系统的运行级别
-s	仅显示名称、线路和时间字段信息，这是who 命令的默认选项
-u	显示当前每个用户的用户名、登录终端、登录时间、线路活动和进程标识
-T或-w	显示tty终端的状态，”+“表示对任何人可写，”-“表示仅对root用户或所有者可写，”？“表示遇到线路故障

3.users
[root@localhost ~]#users
root

六.文件/目录的权限和归属

程序访问文件时的权限，取决于此程序的发起者

• 进程的发起者，同文件的属主：则应用文件属主权限
• 进程的发起者，属于文件属组；则应用文件属组权限
• 应用文件“其它”权限

例子 root用户和普通用户 是否都可以看 (cat /etc/shadow)

访问人群分为了三类

• 所属主（u）
• 所属组(g)
• 其他人 (o)

权限分为三种

• 读(r,4)
• 写(w,2)
• 执行（x,1程序，脚本）

对文件的权限

• r 可使用文件查看类工具，比如：cat，可以获取其内容
• w 可修改其内容
• x 可以把此文件提请内核启动为一个进程，即可以执行（运行）此文件（此文件的内容必须是可执行）

对目录的权限

• r 可以使用ls查看此目录中文件列表
• w 可在此目录中创建文件，也可删除此目录中的文件，而和此被删除的文件的权限无关
• x 可以cd进入此目录，可以使用ls -l查看此目录中文件元数据（须配合r权限），属于目录的可访问的最小权限

chmod

格式：
字符形式： chmod [ugoa···][±=][rwx] 文件…
数字形式： chmod nnn 文件/目录…
 

权限项	读	写	执行	读	写	执行	读	写	执行
字符表示	r	w	x	r	w	x	r	w	x
数字表示	4	2	1	4	2	1	4	2	1
权限分配	文件所有者			文件所属组			其他用户
八进制数表示	7			7			7

在表示属主、属组用户或者其他用户对该文件的访问权限时，主要使用了三种不同的权限字符，权限字符也可以分别表示为八进制数字4、2、1，表示一个权限组合时需要将数字进行累加。
各自含义如下：
读取 r ：允许查看文件的内容、显示目录列表
写入 w ：允许修改文件内容，允许在目录中新建、移动、删除文件或子目录
可执行 x ：允许运行程序、切换目录。

umask

umask 的值可以用来保留在创建文件权限
实现方式：
新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1,偶数不变
新建目录的默认权限: 777-umask
非特权用户umask默认是 002
root的umask 默认是 022

七、特殊权限

访问控制列表 ACL

ACL：Access Control List，实现灵活的权限管理

除了文件的所有者，所属组和其它人，可以对更多的用户设置权限

CentOS7 默认创建的xfs和ext4文件系统具有ACL功能

CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加

用法: setfacl [-bkndRLP] { -m|-M|-x|-X … } file …

• -m, --modify-acl 更改文件的访问控制列表
• -M, --modify-file=file 从文件读取访问控制列表条目更改
• -x, --remove=acl 根据文件中访问控制列表移除条目
• -X, --remove-file=file 从文件读取访问控制列表条目并删除
• -b, --remove-all 删除所有扩展访问控制列表条目
• -k, --remove-default 移除默认访问控制列表
• –set=acl 设定替换当前的文件访问控制列表
• –set-file=file 从文件中读取访问控制列表条目设定
• –mask 重新计算有效权限掩码
• -n, --no-mask 不重新计算有效权限掩码
• -d, --default 应用到默认访问控制列表的操作
• -R, --recursive 递归操作子目录
• -L, --logical 依照系统逻辑，跟随符号链接
• -P, --physical 依照自然逻辑，不跟随符号链接
• –restore=file 恢复访问控制列表，和“getfacl -R”作用相反
• –test 测试模式，并不真正修改访问控制列表属性
• -v, --version 显示版本并退出
• -h, --help 显示本帮助信息