Linux运维之用户管理、用户身份切换（包括用户权力的下放）及 Linux 主机上的用户信息传递

最新推荐文章于 2022-11-02 19:38:34 发布

柒️星

最新推荐文章于 2022-11-02 19:38:34 发布

阅读量652

点赞数

本文链接：https://blog.csdn.net/qq_42303254/article/details/83721136

版权

一、实验环境（rhel7.0版本）

主机环境：rhel7.0

各主机信息

主机名	IP
server	172.25.254.1

二、/etc/passwd文件，/etc/shadow文件，/etc/group文件，/etc/gshadow文件介绍

1、/etc/passwd文件（权限为644）

[root@server1 /]# ll -d /etc/passwd
-rw-r--r--. 1 root root 1950 May 16 14:46 /etc/passwd

[root@server1 /]# head -n 4 /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin

每一行使用【：】分隔开，共有七个东西分别是：

账户名（就是帐号，提供给对数字不太敏感的人类使用来登录系统的，需要用来对应UID，例如用户root的UID对应的就是0——第三个字段）
密码（早期UNIX系统的密码就是放在这字段上，但是因为这个文件的特性是所有的程序都能够读取，这样一来很容易造成密码数据被窃取，因此后来就将这个字段的密码数据改放到/etc/shadow中了，所以这里会看到一个【x】。）
UID（用户标识符，下面通过表格详细介绍）
GID（这个与/etc/group有关，其实/etc/group的概念与/etc/passwd差不多，只是它是用来规范组名与UID的对应而已）
用户信息说明栏（这个字段基本上没有什么重要用途，只是用来接时这个帐号的意义而已。不过，如果您要提供使用finger的功能时，这个字段可以提供很多的信息）
家目录（这是用户的家目录，以上面为例，root的家目录在/root，所以当root登录之后，就会立刻跑到/root目录里面。如果你有个帐号的使用空间特别大，你想要将该帐号的家目录移动到其他的硬盘去该怎么做？没有错，可以在这个字段进行修改。默认的用户家目录在/home/yourIDname）
shell（当用户登录系统后就会获取一个shell来与系统的内核沟通以进行用户的操作任务。那为何默认shell会使用bash呢？就是在这个字段指定的。这里比较需要注意的是，有一个shell可以使帐号在登录时无法获得shell环境，那就是/sbin/nologin这个东西。这也可以用来制作纯pop邮件帐号的数据）

ID范围	该ID用户特性
0（系统管理员）	当UID是0时，代表这个帐号是【系统管理员】，所以当你要让其他的帐号名称也具有root的权限时，将该帐号的UID改为0即可。这也就是说，一台系统上面的系统管理员不见得只有root，不过，很不建议有多个帐号的UID是0，容易让系统管理员混乱
1-999（系统帐号）	保留给系统使用的ID，其实除了0之外，其他的UID权限与特性并没有不一样。默认1000以下的数字留给系统作为帐号只是一个习惯。由于系统上面启动的网络服务或后台服务希望使用较小的权限去运行，因此不希望使用root的身份去执行这些服务，所以我们就得要提供这些运行中程序的拥有者帐号才行。这些系统帐号通常是不可登录的，所以才会有/sbin/nologin这个特殊的shell的存在。根据系统帐号的由来，通常这类帐号又大概被区分为两种： 1～200：由Linux发行版自性建立的系统帐号； 201～999：若用户有系统帐号需求时，可以使用的帐号UID。
1000-60000（可登录帐号）	给一般用户使用。事实上，目前的Linux内核（3.10.x版）已经可以支持到4294967295（2^32-1）这么答的UID号码。

2、/etc/shadow文件（权限为000）

[root@server1 /]# ll -d /etc/shadow
----------. 1 root root 1143 May 16 12:47 /etc/shadow

[root@server1 /]# tail -n 4 /etc/shadow
postfix:!!:18028::::::
sshd:!!:18028::::::
tcpdump:!!:18028::::::
student:$6$T1dYrfEl$EAgXMcgdLkGdbMaoA7V0dD4KoFYJU2qfgDefnJYem83LkLvy8c5MlkZ1Oielr03JDTux4RBFMeAm3JHIQb5XM0:18031:1:2:3:4::

基本上，shadow同样以【：】作为分隔符，如果数一数，会发现共有九个字段，这九个字段的用途是这样的：

账户名称（由于密码也需要与账户对应，因此，这个文件的第一栏就是账户，必须要与/etc/passwd相同才行）
密码（这个字段内的数据才是真正的密码，而且是经过编码的密码（摘要）。你只会看到一些特殊符号的字母。需要特别留意的是，虽然这些加密过的密码难被破解，但是【很难】不等于【不会】，所以这个文件的默认权限是【-rw-------】或是【----------】，即只有root在可以读写。你得随时注意，不要不小心修改了这个文件的权限。另外，由于各种密码编码的技术不一样，因此不同的编码系统会造成这个字段的长度不相同。举例来说，旧式的DES、MD5摘要算法产生的密码长度就与目前常用的SHA不同。SHA的密码长度明显比较长一些。由于固定的摘要算法产生的密码是特定的，因此【当你修改这个字段之后，该密码就会失效（算不出来）】。很多软件通过这个功能，在此字段前加上！或*修改密码字段，就会让密码【暂时失效】）
最近修改密码的日期（这个字段记录了【修改密码那一天的日期】，不过，很奇怪呀，18031【18031的单位是秒】呢？这个是因为计算Linux日期的时间时以1970年1月1日作为1而累加的日期，1971年1月1日则为366。得注意一下这个数据，上述的18031指的就是2019-05-15这一天。值与想要之道某个日期的累计日数，可以使用如下的程序计算：）
[root@server1 /]# echo $(($(date --date="2019/05/15" +%s)/86400+1))
18031
上述命令中，2019/05/15为你想要计算的日期，86400为每一天的秒数，%s为1970/01/01以来的累积总秒数。由于bash仅支持整数，因此最终需要加上1补齐1970/01/01当天
密码不可被修改的天数（与第三字段相比）（第四个字段记录了这个帐号的密码在最近一次被更改后需要经过几天才可以被修改。如果是0的话，表示密码随时可以修改，这个限制是为了怕密码被某些人一改再改而设计的。如果设置为20天的话，那么当你设置了密码之后，20天之内都无法再修改这个密码）
密码需要重新修改的天数（与第三字段相比）（经常修改密码是个好习惯。为了强制要求用户修改密码，这个字段可以指定在最近一次更改密码后，在多少天数内需要再次修改密码才行。你必须在这个天数内重新设置你的密码，否则这个帐号的密码将会【变为过期特性】。如果这个字段的值设置为99999（计算为273年）的话，那就表示密码的修改没有强制性之意。）
密码需要修改期限前的警告天数（与第五字段相比）（当帐号的密码有效期快要到的时候（第五子段），系统会根据这个字段的设置，发出【警告】信息给这个帐号，提醒它【再过n天你的密码就要过期了，请尽快重新设置你的密码】）
密码到期后的帐号宽限时间（密码失效日）（与第五字段相比）（密码有效日期为【更新日期（第三个字段）】+【重新修改日期（第五个字段）】，过了该期限后用户依旧没有更新密码，那该密码就算过期了。虽然密码过期但是该帐号还是可以用来执行其他的任务，包括登录系统获取bash。不过如果密码过期了，那当你登录系统时，系统会强制要求你必须要重新设置密码才能登录继续使用，这就是密码过期特性。）
帐号失效日期（这个日期跟第三个字段一样，都是使用1970年以来的总天数。这个字段表示：这个帐号在此字段规定的日期之后，将无法再使用。就是所谓的【帐号失效】，此时不论你的密码是否过期，这个【帐号】都不能再被使用。这个字段会被使用通常在【收费服务】的系统中，你可以规定一个日期让该帐号不能再使用）
保留（最后一个字段是保留的，看以后有没有新功能加入）

另外，由于Linux的新旧版本差异颇大，旧的版本（Centos 5.x以前）还活在很多服务器内，因此，如果你想要知道shadow是使用哪种加密的机制时，可以通过下面的方法去查询。
[root@server1 /]# authconfig --test | grep hashing
 password hashing algorithm is sha512

3、/etc/group文件（权限为644）

[root@server1 /]# ll -d /etc/group
-rw-r--r--. 1 root root 832 May 16 16:23 /etc/group

[root@server1 /]# head -n 4 /etc/group
root:x:0:
bin:x:1:
daemon:x:2:
sys:x:3:

这个文件每一行代表一个用户组，也是以【：】作为字段的分隔符，共分为四栏，每一个字段的意义是：

组名（就是组名，同样用来给人使用，基本上需要与第三子段的UID对应）
用户组密码（通常不需要设置，这个设置是给【用户组管理员】使用，目前很少有这个机会设置用户组管理员。同样，密码已经移动到/etc/gshadow中，因此这个字段只会存在一个【x】而已）
GID（就是用户组ID。我们/etc/passwd第四个字段使用的GID对应的用户组名，就是由这里对应出来的）
此用户组支持的账户名称（我们知道一个帐号可以加入多个用户组，如果某个帐号想要加入此用户组时，将该账户填入这个字段即可。举例来说，如果我们想要让dmtsai与alex也加入root这个用户组，那么在第一行的最后面加上【dmtsai,alex】，注意不要有空格，使其成为【root:x:0:dmtsai,alex】就可以）

请注意，新版的Linux中，初始用户组的用户群已经不会加入第四个字段了。例如我们知道root这个帐号的主要用户组为root，但是在上面的范例中，你已经不会看到root这个【用户】的名称在/etc/group的root那一行的第四个字段内，这点还请留意一下。

4、/etc/gshadow文件（权限为000）

[root@server1 /]# ll -d /etc/gshadow
----------. 1 root root 670 May 16 16:23 /etc/gshadow

[root@server1 /]# head -n 4 /etc/gshadow
root:::
bin:::
daemon:::
sys:::

这个文件内同样还是使用冒号【：】来作为字段的分隔符，而且你会发现，这个文件几乎与/etc/group一模一样。是这样没错，不过，要注意的大概就是第二个字段吧，第二个字段是密码栏，如果密码栏上面时是【！】或为空时，表示该用户组不具有用户组管理员。至于第四个字段也就是支持的帐号名称，这四个字段的意义为：

组名
密码栏，同样的，开头为！表示无合法密码，所以无用户组管理员
用户组管理员的帐号
有加入该用户组支持的所属帐号（与/etc/group内容相同）

三、添加用户——useradd

[root@server1 ~]# which useradd 
/usr/sbin/useradd
[root@server1 ~]# ll -d /usr/sbin/useradd 
-rwxr-x---. 1 root root 114064 Feb 12  2014 /usr/sbin/useradd

useradd [-u UID] [-g 初始用户组] [-G 次要用户组] [-mM] [-c 说明栏] [-d 家目录绝对路径] [-s shell] 使用者账户名
useradd -D

选项与参数：
-u：后面接的是UID，是一组数字，直接指定一个特定的UID给这个帐号。
-g：后面接的用户组就是上面提到的初始用户组，该用户组的GID会被放到/etc/passwd的第四个栏位内
-G：后面接的用户组则是该帐号还可加入的用户组，这个选项与参数会修改到/etc/group内
-M：强制，不要建立使用者家目录。（系统帐号默认值）
-m：强制，要建立使用者家目录。（一般帐号默认值）
-c：这个就是/etc/passwd的第五栏的说明内容，可以随便我们设置的。
-d：指定某个目录称为家目录，而不要使用默认值，务必使用绝对路径
-r：建立一个系统帐号，这个帐号的UUID会有限制。（参考/etc/login.defs）
-s：后面接一个shell，若没有指定则默认是/bin/bash。
-e：后面接一个日期，格式为[YYY-MM-DD]此选项可写入shadow第八位，亦即帐号失效日期的设置选项
-f：后面接shadow的第七栏位选项，指定密码是否会失效，0位立刻失效
    -1为永远不失效（密码只会过期而强制于登录时重新设置而已）
-D：查看useradd命令的默认设定值

1、useradd a     添加用户a（用户信息默认，默认的uid和gid相同）

监控界面（打开监控的命令： watch -n 1 "tail -n 3 /etc/passwd /etc/group;echo ===;ls -l /home;echo ==="）