说明:文章部分内容源自网络,仅作交流学习使用,如构成侵权请私聊
参考资料:《鸟哥的Linux私房菜第四版》《Linux操作系统(微课版)(RHEL8CentOS8)(第2版)》《菜鸟教程》
测试系统:RHEL 8.2
如果文章有错误之处欢迎大家批评指正
目录
用户参数默认配置文件 /etc/default/useradd
概述:
不管是Linux系统还是Windows系统都是一种多用户、多任务的操作系统,因此都针对每个用户制定了严格的用户权限策略,本章主要讨论了在Linux中是如何进行用户管理。
个人PC的使用者一般都是用户自己或者其亲友,不少朋友在使用Windows系统的时候都会选择不设置密码,任何人都可以以管理员账户(Administrator)登录系统。而Linux系统一般都是部署在公司机房或者数据中心的服务器之上,公司的研发人员、运维人员等都有共同操作一台Linux系统的需求,如果不加以限制的话就有可能出现某音上的常见剧情(某位大哥离职之前使用rm -rf /*删库跑路)。因此在生产环境中,root用户的权限只有少部分的管理人员拥有。
在Linux中管理用户一般需要完成以下三个方面的工作:
- 用户账号的添加、删除和修改
- 用户口令的管理
- 用户组的管理
下面我们就讨论一下这三个部分的内容。
用户账号管理
在Linux中,用户的账号类型大体可以分为两种,一种是超级管理员用户 root,root用户拥有对系统的全部权限,另外一种是普通用户。那么如何添加普通用户呢?
用户账号配置文件/etc/passwd
首先,我们要先明白一个概念,在Linux当中,一切皆为文件,不管你做什么操作实际上都是操作系统上的一个又一个的文件。
在Linux当中通过/etc/passwd这个文件来管理用户的账号信息。我们可以使用cat /etc/passwd来看一下这个配置文件。
[root@Server01 ~]# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
………………………中间部分省略……………………………
gdm:x:42:42::/var/lib/gdm:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
gnome-initial-setup:x:977:975::/run/gnome-initial-setup/:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
avahi:x:70:70:Avahi mDNS/DNS-SD Stack:/var/run/avahi-daemon:/sbin/nologin
rngd:x:976:974:Random Number Generator Daemon:/var/lib/rngd:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologin
可以看到在/etc/passwd里面还是包含了很多内容,甚至有些情况还不得不借助less工具来查看,哈哈。我们首先来解析一下每一条字段分别说明了什么。以下以root用户的账号信息举例。
大多数字段都是比较好理解的,但是为什么中间的密码字段是用x来表示?UID是什么?GID又是什么,可能会让大家比较困扰。
首先是密码字段为什么是x
在早期的时候这个字段存放确实是用户密码的加密串,并且不是明文,但是正如下面的例子可见,/etc/passwd文件对所有用户都可读。所以这仍是一个安全隐患。因此,现在许多Linux系统都使用了shadow技术,把真正的加密后的用户密码字存放到/etc/shadow文件中,而在/etc/passwd文件的密码字段中只存放一个特殊的字符,例如“x”或者“*”
[root@Server01 ~]# stat /etc/passwd
文件:/etc/passwd
大小:2663 块:8 IO 块:4096 普通文件
设备:fd00h/64768d Inode:8396078 硬链接:1
权限:(0644/-rw-r--r--) Uid:( 0/ root) Gid:( 0/ root)
环境:system_u:object_r:passwd_file_t:s0
最近访问:2022-09-18 03:59:40.504020875 +0800
最近更改:2022-09-18 03:59:40.496020875 +0800
最近改动:2022-09-18 03:59:40.497020875 +0800
创建时间:-
/etc/passwd对所有用户可读
[root@Server01 ~]# cat /etc/shadow
root:$6$ePnnqEHnn8iDU9Mr$65xALG6VxcudBw.6iWIotnn5N2ULnGh3ejS4TmfznluMmwFG9UaKyQeki1awwIFxHrqPJCjAjtp1ozoIXtm8B.:19240:0:99999:7:::
bin:*:18199:0:99999:7:::
daemon:*:18199:0:99999:7:::
adm:*:18199:0:99999:7:::
……………………部分结果省略……………………
[root@Server01 ~]# stat /etc/shadow
文件:/etc/shadow
大小:1366 块:8 IO 块:4096 普通文件
设备:fd00h/64768d Inode:8396044 硬链接:1
权限:(0000/----------) Uid:( 0/ root) Gid:( 0/ root)
环境:system_u:object_r:shadow_t:s0
最近访问:2022-09-18 03:49:10.161002585 +0800
最近更改:2022-09-18 03:49:09.569002568 +0800
最近改动:2022-09-18 03:49:09.570002568 +0800
创建时间:-
/etc/shadow权限为0000
UID和GID
普通的用户可以通过用户名和组名去识别相关信息,但是Linux中它并不会识别用户名,它只认识ID,因为计算机只识别二进制数,所以对于数字更加敏感。管理员用户的UID为0,普通用户的UID是从1000起。
查看用户的UID和GID可以使用以下命令:
[root@Server01 home]# id user01
uid=1000(user01) gid=1000(user01) 组=1000(user01)
假设服务器现在有一个用户是user01,它在/etc/passwd里面的信息如下:
user01:x:1000:1000:user1:/home/user01:/bin/bash
现在我们通过VIM编辑器,修改用户的UID和GID为0,而后重新登录一下user01,发现用户依然是root。
如上文所述,root用户的UID范围是0,普通用户的UID范围是1000-60000,那么1-999是哪些用户的UID呢?其实如果按照UID进行分类的话可以将Linux的用户分为三类
- root 用户 UID:0
- 伪(系统)用户 UID:1-999(其中1-200为系统保留账号,系统自动创建的,201-999是预留给用户创建系统账号的。)
- 普通用户 UID:1000-60000
伪用户在/etc/passwd文件中也占有一条记录,但是不能登录,因为它们的登录Shell为空。它们的存在主要是方便系统管理,满足相应的系统进程对文件属主的要求。简单来说伪用户就是用来方便运行系统或服务使用的
比如以下这些伪用户
bin 拥有可执行的用户命令文件
sys 拥有系统文件
adm 拥有帐户文件
uucp UUCP使用
lp lp或lpd子系统使用
nobody NFS使用
用户账号管理
在Linux中可以直接编辑/etc/passwd文件也可以使用以下命令来进行用户的管理
用户添加
- useradd 【选项】 用户名
- 选项类型:
- -c comment 指定一段注释性描述。
- 示例:
[root@Server01 ~]# useradd -c test-user user1 对照/etc/passwd文件 user1:x:1001:1001:test-user:/home/user1:/bin/bash
- 示例:
- -d 目录 指定用户主目录
-
useradd -d /home/user10 user02 /etc/passwd对照 user02:x:1002:1002::/home/user10:/bin/bash /home对照 [root@Server01 home]# ls user01 user10
-
- -g 用户组 指定用户所属的用户组。//所属组一般是用户初始组,只能是一个,建议不要修改,默认组名和用户名同名 //此例在后续用户组管理的时候进行演示
- -G 用户组,用户组 指定用户所属的附加组。 //此例在后续用户组管理的时候进行演示
- -s Shell文件 指定用户的登录Shell。
- -u 用户号 指定用户的用户号,如果同时有-o选项,则可以重复使用其他用户的标识号
- -c comment 指定一段注释性描述。
- 选项类型:
我们可以看到其实在新建用户的时候显少会加上选项,一般都是使用默认参数,那么这些默认参数的配置文件在什么地方呢?
用户参数默认配置文件 /etc/default/useradd
/etc/default/useradd 为使用useradd添加用户时的一个需要调用的一个默认的配置文件
[root@Server01 home]# cat /etc/default/useradd
# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes
- GROUP 在早期的Linux当中创建新用户都会将用户归入 GID=100这个组进来,但是目前已经不再使用了
-
HOME 在哪个文件夹生成家目录
-
INACTIVE = -1 用户密码过去后的宽限天数,-1代表永不过期,实际工作种建议改为0,到期后立马失效
-
EXPIRE = 密码的失效时间,一般不用,是一个时间戳 天数,从1970-1-1 0 到目标时间之间的天数,一般不用
-
SHELL :默认的SHELL编辑器
-
SKEL(模板):每当你新建一个用户的时候 (通过 useradd 命令),/etc/skel 目录下的文件,都会原封不动的复制到新建用户的家目录下。比如登录时配置文件.bash_profile,非登录配置文件.bashrc
-
CREATE_MAIL_SPOOL=yes 是不是要创建邮箱文件
用户参数默认配置文件 /etc/login.defs
Linux 系统中的 /etc/login.defs 文件用于在创建用户时,对用户的一些基本属性做默认设置,例如指定用户 UID 和 GID 的范围,用户的过期时间,密码的最大长度,等等。
需要注意的是,该文件的用户默认配置对 root 用户无效。并且,当此文件中的配置与 /etc/passwd 和 /etc/shadow 文件中的用户信息有冲突时,系统会以 /etc/passwd 和 /etc/shadow 为准。
[root@Server01 home]# cat /etc/login.defs
MAIL_DIR /var/spool/mail
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
UID_MIN 1000
UID_MAX 60000
SYS_UID_MIN 201
SYS_UID_MAX 999
GID_MIN 1000
GID_MAX 60000
SYS_GID_MIN 201
SYS_GID_MAX 999
CREATE_HOME yes
UMASK 077
ENCRYPT_METHOD SHA512
- MAIL_DIR /var/spool/mail //为用户创建的邮箱文件保存位置
- PASS_MAX_DAYS 99999 //密钥过期时间,单位为天
- PASS_MIN_DAYS 0 //表示是否可以修改密码 0表示可以修改,非0表示多少天后可以修改,修改密码后需要等待多少天之后才会生效
- PASS_MIN_LEN 5 //密码最小长度,目前不再使用
- PASS_WARN_AGE 7 //密码失效前多少天在用户登录时通知用户可以修改密码
以下为UID的配置范围:
- UID_MIN 1000
- UID_MAX 60000
- SYS_UID_MIN 201
- SYS_UID_MAX 999
- GID_MIN 1000
- GID_MAX 60000
- SYS_GID_MIN 201
- SYS_GID_MAX 999
以下为用户家目录的相关配置信息
- CREATE_HOME yes //是否自动创建家目录
- UMASK 077 //用户家目录的掩码,077对应700的用户权限
- ENCRYPT_METHOD SHA512 //用户密码的加密方式
删除用户
- userdel 【选项】 用户名
- 选项类型
- -r,它的作用是把用户的主目录、自动创建的邮件目录一起删除。
- 示例
不使用-r参数 [root@Server01 home]# userdel user1 现象:用户家目录残留,邮件目录残留 [root@Server01 home]# ls user01 user1 user10 [root@Server01 home]# cd /var/spool/mail/ [root@Server01 mail]# ls rpc user01 user02 user1
修改用户参数
- usermod 【选项】 用户名
- 常用的选项包括
-c, -d, -m, -g, -G, -s, -u以及-o等
,这些选项的意义与useradd
命令中的选项一样,可以为用户指定新的资源值。
修改用户密码
用户密码配置文件/etc/shadow
[root@Server01 mail]# cat /etc/shadow
root:$6$ePnnqEHnn8iDU9Mr$65xALG6VxcudBw.6iWIotnn5N2ULnGh3ejS4TmfznluMmwFG9UaKyQeki1awwIFxHrqPJCjAjtp1ozoIXtm8B.:19240:0:99999:7:::
bin:*:18199:0:99999:7:::
用户密码的配置文件也是由多段组成,它们之间的对应关系一般如下:
用户名:加密密码:最后一次修改时间:最小修改时间间隔:密码有效期:密码需要变更前的警告天数:密码过期后的宽限时间:账号失效时间:保留字段
- 最后一次修改时间:表示从世界标准时间1970-1-10:0:0,到用户最后一次修改密码时的间隔天数。这个字段如果改成0,那么用户在下次登录的时候,就必须修改密码
- 知道一个日期,得到天数:# echo $(($(date --date="2022/09/25"+%s)/86400+1))
- 反过来,知道天数,得到日期:# date -d "1970-01-01 19775 days"
- 最小修改时间间隔:最后一次修改密码(第3字段中记录的时间)后,必须等多少天后,才能在修改密码。默认是0,没间隔这个字段值就是前面我们讲的用户默认配置文件: /etc/login.defs中的PASS_MIN_DAYS配置的值就是这个的默认值
- 密码有效期:”第3字段中记录的时间后多少天密码失效。默认值99999,几乎就是永久
修改用户密码
- passwd 【选项】 用户名 //普通用户只能修改自己的密码
- -l 锁定口令,即禁用账号。
-
[root@Server01 home]# passwd -l user01 锁定用户 user01 的密码 。 passwd: 操作成功 对比配置 相当于在/etc/shadow里面的密码部分前面加上两个 !! ,此时已经不能登录user01账号了 user01:!!$6$hXPzx.roxkS06/rZ$dlMhiO0xz.gVkPDf2zUiSMgaDBzD2XyS0bLAKlEWa0wqRZWzRNa5jcTvJJmzwzOLWz8azOvr5k9nA1Eb8lcEy0::0:99999:7:::
-
- -u 口令解锁。
-
[root@Server01 ~]# passwd -u user01 解锁用户 user01 的密码。 passwd: 操作成功
-
- -d 使账号无口令。
- -f 强迫用户下次登录时修改口令
-
-stdin 通过管道符输出的数据作为密码 主要是为了在使用shell脚本的时候批量配置用户密码
-
echo ‘123456’ | passwd --stdin user1
-
- -l 锁定口令,即禁用账号。
值得注意的是,当使用useradd创建新的用户没有创建密码时,是无法登录新账户的
- 修改用户密码也可以用chage,这里不再展开详细描述
用户组管理
将用户分组是Linux 系统中对用户进行管理及控制访问权限的一种手段。每个用户都属于某个用户组;一个组中可以有多个用户,一个用户也可以属于不同的组。当一个用户同时是多个组中的成员时,在/etc/passwd文件中记录的是用户所属的主组,也就是登录时所属的默认组,而其他组称为附加组。一般情况下,用户的主组和用户同名。
主组和附加组的关系
用户的主组是用户一登录的时候就会有该用户组的权限。当有一个用户属于该主组的时候,这个主组不可被删除。例如user01的主组为user01,此时使用删除组的命令groupdel user01会失败。
[root@localhost ~]# userdel user01
userdel: user user01 is currently used by process 11217
但是可以修改用户的主组,之后再删除
[root@localhost ~]# usermod -g user02 user01
[root@localhost ~]# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
…… 中间部分省略
user01:x:1000:1001::/home/user01:/bin/bash
[root@localhost ~]# groupdel user01
附加组的删除则没有这么麻烦,可以直接删除。所谓的附加组就是用户登录的时候,如果属于多个附加组,那么这个用户就会拥有这些附加组的权限,比如如果user01用户加入了root用户组,那么user01就拥有了访问/root的权限。但是也仅仅如此。如果新建一个文件夹的时候,这个文件夹的权限依然属于主组,此时可以使用newgrp进行组切换。
用户组配置文件/etc/group
[root@Server01 ~]# cat /etc/group
root:x:0:
……以下省略
用户的组配置文件的含义一般如下:组名:口令:组标识号:组内用户列表
- "组名"是用户组的名称,由字母或数字构成。与/etc/passwd中的登录名一样,组名不应重复。
- "口令"字段存放的是用户组加密后的口令字。一般Linux 系统的用户组都没有口令,即这个字段一般为空,或者是*。
- "组标识号"与用户标识号类似,也是一个整数,被系统内部用来标识组。
- "组内用户列表"是属于这个组的所有用户的列表,不同用户之间用逗号(,)分隔。这个用户组可能是用户的主组,也可能是附加组。
例如使用命令 useradd -G root user100会有如下现象:
1、/etc/passwd里面新增一条组记录,这个组是user100的主组
user100:x:1003:
2、/etc/passwd里的root组记录发生了变化,新增了一个用户user100
root:x:0:user100
新增组命令
- groupadd 【选项】 用户组
- 选项
- -g GID 指定新用户组的组标识号(GID)。
- -o 一般与-g选项同时使用,表示新用户组的GID可以与系统已有用户组的GID相同。
删除组命令
- groupdel 用户组
修改用户组的属性命令
- groupmod 【选项】用户组
- 选项
- -g GID 为用户组指定新的组标识号。
- -o 与-g选项同时使用,用户组的新GID可以与系统已有用户组的GID相同。
- -n新用户组 将用户组的名字改为新名字
管理用户入组
gpasswd 【选项】 组名 (这里的组是指的是附加组)
选项:
-a用户名:把用户加入组
-d 用户名:把用户从组中删除
组切换:
如果一个用户同时属于多个用户组,那么用户可以在用户组之间切换,以便具有其他用户组的权限。用户可以在登录后,使用命令newgrp切换到其他用户组,这个命令的参数就是目的用户组。例如:
newgrp root
这条命令将当前用户切换到root用户组,前提条件是root用户组确实是该用户的主组或附加组。类似于用户账号的管理,用户组的管理也可以通过集成的系统管理工具来完成。