Linux权限管理及用户与用户组

第一部分：Linux权限管理

一、基本权限

        linux权限机制采用UGO模式。其中 u（user）表示所属用户、g（group）表示所属组、o（other）表示除了所属用户、所属组之外的情况。

u、g、o 都有读（read）、写（write）、执行（excute） 三个权限，所以UGO模式是三类九种基本权限。

        用命令 ls -l 可列出文件的权限，第一列输出明确了后面的输出（后面一列代表 ugo权限）。第一个字母对应的关系：

        “-”    普通文件

        “d”   目录

        ”l“     符号链接

        ”c“    字符设备

        "b"    块设备

        "s"    套接字  

        "p"    管道        

        修改文件或目录的所属用户： chown    文件名 | 目录名    用户

        -R 该参数以递归的方式修改目录下所有文件的所属用户，参数可以敲 chown --help 查看。

        修改文件或目录的所属组： chgrp    文件名 | 目录名    组名

        -R 该参数以递归的方式修改目录下的所有文件的所属组。

        命令chmod 用来修改文件或目录的权限：  chmod   -参数   模式   文件 | 目录

        例子： 修改目录 log下所有文件的权限为700 

                    chmod  -R   700    log

        注：700的来历是       u        g        o

                                         rwx     rwx   rwx

                                         111    000   000

       关于 chmod 命令的权限模式除了数字表示，还可以是  u、g、o 、a 加 +、- 来表示。格式如下：u、g、o分别代表用户、属组和其他，a 就是

all ，可以代替ugo。 +、- 代表增加或删除对应的权限，r、w、x 代表三种权限，分别是读、写、执行。

例子：对于目录 log下的所有文件（已有权限是700）增加所属组（g）的读（r）、执行（x）权限。

           chmod    -R    g+rx    log

           类似的命令可能还有很多，这里只是举几个最基本且常用的例子。很多命令用到时，再去查也可以。还可参考《鸟哥的Linux私房菜》。

二、特殊权限

        Linux的3个特殊的权限，分别是setuid、setgid和stick bit。

        setuid权限（S）：只有用户可拥有，出现在执行权限（x）的位置。

                                     setuid权限允许用户以其拥有者的权限来执行可执行文件，即使这个可执行文件是由其他用户运行的。            

                    

        setgid权限（S）：对应于用户组，出现在执行权限（x）的位置。

                                     setgid权限允许以同该目录拥有者所在组相同的有效组权限来允许可执行文件。但是这个组和实际发起命令的用户组

                                     不一定相同。

        stick bit （t /T）：又名粘滞位，只有目录才有的权限，出现在其他用户权限（o）中的执行位置（x）。当一个目录设置了粘滞位，只有

                                    创建了该目录的用户才能删除目录中的文件，但是其他用户组和其他用户也有写权限。使用 t 或 T来表示。若没有设置

                                    执行权限，但是设置了粘滞位，使用 t；若同时设置了执行权限和粘滞位使用 T。典型的粘滞位使用是 /tmp 目录，

                                    粘滞位属于一种写保护。 

        设置特殊权限：

                      setuid：    chmod u+s  filename

                      setgid：    chmod g+s  directoryname

                      stick bit：  chmod o+t   directoryname

        用数字表示特殊权限，是在基本权限之上的。浊嘴笨腮说不清楚，看例子：

        例子：将上面例子中的log日志目录（已有权限 700）权限设置为755。特殊权限是类似 /tmp目录的 stick bit有效。

                               特殊权限                                            基本权限

                     setuid  setgid   stick bit                    user          group          other

                          0           0            1                      rwx              rwx             rwx

                                                                             111             000             000

        所以，设置特殊权限（stick bit）的命令应该是：chmod 1755 log 

        设置特殊权限后，ls -dl 查看该目录：drwxr-xr-t 2 gg gg  4096  5月 11 19:05 log ( 注意 other 的 x 位是代表特殊权限的字母 t )

        取消该特殊权限的命令：chmod 755 log 。如此 stick bit的权限就没有了。

        再次 ls -dl 查看该目录： drwxr-xr-x 2 gg  gg  4096  5月 11 19:15 log ( 注意最后一位已经变为代表普通权限的字母x )

        需要注意的是，最前面一位 ”1“ 就是特殊权限位。其他两个特殊权限的设置也类似。setuid使用不是无限制的。出于安全目的，只能应用在

        Linux  ELF格式二进制文件上，而不能用于脚本文件。

三、高级权限

        ACL（Access Control List），访问控制列表是Linux下的的高级权限机制，可实现对文件、目录的灵活权限控制。ACL 允许针对不同用户、

不同组对同一个目标文件、目录进行权限设置，而不受UGO限制。

        在一个文件系统上使用ACL需要在挂载文件系统的时候打开ACL功能。而根分区（ROOT）默认挂载的时候支持ACL。

        命令：mount -o acl  /挂载路径

        例子：mount -o acl  /dev/sdb1 /mnt        

        查看一个文件的ACL设置的命令：  getfacl file

        （针对一个用户）为一个文件设置指定用户的权限的命令：  setfacl -m u:username:rwx   filename

        （针对一个组）为一个文件设置指定组的权限的命令：  setfacl -m g:groupname:r-x  filename

        删除一个ACL设置的命令：  setfacl -x u:username filename

第二部分：用户与用户组

            ---- 涉及用户及用户组的几个配置文件( 参照Ubuntu 12.04 )

/etc/passwd：保存用户信息，默认权限是644。

/etc/group：保存用户组信息，默认权限是644。

/etc/shadow：保存用户信息（与/etc/passwd一起保存用户全部信息，/etc/shadow中包含加密后的用户密码），默认权限是640。

/etc/gshadow：保存用户组信息，默认权限是640。

格式及各个字段的含义：

1. /etc/passwd

例子：通过grep woo  /etc/passwd 命令得到的 woo用户信息：  woo:x:1000:1000:woo.User,,,,:/home/woo:/bin/bash

格式及含义：

登陆名(woo)：密码(x)：用户的uid(1000)：用户的gid(1000)：全名(woo.User)：家目录(/home/woo)：使用的shell(/bin/bash)

注：系统ROOT用户的uid、gid都是0。当修改了/etc/passwd后，可以用 pwconv 命令从/etc/passwd 同步用户至 /etc/shadow。

2. /etc/group

例子：dcmtk用户组信息：dcmtk:x:125:gg

格式及含义：

组名(dcmtk)：组密码(x)：gid(125)：该组的用户列表(gg)

注：系统会预留一些uid。在Ubuntu中，新建用户组的gid是从1000开始的。uid也是从1000开始。

       预留的uid、gid资源分配给系统的伪用户、伪用户组。这些伪用户是不能登陆的，而只是为了

       用他们完成或执行某些系统任务(这种设计和windows是类似的)。

       当修改了/etc/group后，可以用grpconv命令从/etc/group同步用户至/etc/gshadow。

3. /etc/shadow

例子：gg:$1$0KWXx:14765:0:99999:7:::

格式及含义：

用户名(gg)：密码($1$0KWXx)：上次修改口令的时间(14765)：两次修改口令间隔最多的天数(0)：两次修改口令间隔的天数(99999)：

提前多少天警告用户口令将过期(7)：在口令过期后多少天禁用此用户()：用户过期日期()：保留字段()

4. /etc/gshadow

例子：mysql组的信息：mysql:!::gg

格式及含义：

用户组名称(mysql)：用户组密码(!)：用户组管理者列表()：组成员列表(gg)

补充：可以通过chattr命令设置/etc/passwd  、  /etc/group文件的属性。具体如下：

        chattr 命令语法：chattr  [-RV]  [-v version]  [mode]  file|directory

        最重要的mode部分： +-=[ASacDdIijsTtu]    

        其中，最常用的参数是：i (设置文件不可修改)、a(设置文件只能以追加方式修改)

        但是，chattr命令不能设置/、/dev、/tmp、/var目录。