linux用户权限同组,Linux用户、组和权限管理

Linux安全模型

资源分派

Authentication:认证,验证用户身份

Authorization:授权,不同用户设置不同的权限

Accouting|Audition:审计

当用户登录时,系统会自动分配令牌token,包括用户标识和组成员等信息

修改用户属组等信息后,需要重新登录才会读取新的属性

用户

Linux中的每个用户时通过User ID(UID)来唯一标识的

管理员:root,0

普通用户:1-65535,自动分配

系统用户:1-999(centos7以后),1-499(centos6以前)

对守护进程获取资源进行权限分配

登录用户:1000+(centos7以后),500+(centos6以前)

给用户进行交互式登录使用

用户组

Linux中可以将一个或多个用户加入用户组中,用户组时通过Group ID(GID)来唯一标识的。

管理员组:root,0

普通组:

系统组 1-999(CentOS7以后), 系统组:1-499(CentOS 6以前, 对守护进程获取资源进行权限分配

普通组: 1000+(CentOS7以后), 给用户使用 , 500+(CentOS 6以前),

用户和组的关系

用户的主要组(primary group):用户必须属于一个且有一个主组,默认创建用户时会自动创建和用户名同名的组,作为用户的主要组,由于此组中只有一个用户,又称为私有组

用户的附加组(supplementary group):一个用户可以属于零个或多个辅助组

范例

[19:50:16 root@centos8 ~]#id postfix

uid=89(postfix) gid=89(postfix) groups=89(postfix),12(mail)

安全和上下文

Linux安全上下文Context:运行中的程序,即进程 (process), 以进程发起者的身份运行,进程能够访问资源的权限取决于进程的运行者身份

比如:root身份运行/bin/cat /etc/shadow和ding的身份运行/bin/cat /etc/shadow,得到的结果是不同的,shadow能否被访问是由运行者的身份绝对的,非程序本身

范例

[20:36:19 root@centos8 ~]#cat /etc/shadow

root:$6$quwcx10P23K6RB0f$ogijzeNyAc3iGiRm.EA7tSSsi7GWnhzQquvyd8aAc7/76E0cHUJTLIWZPOhaelQjJiyJnaCkqqAt8PqGcBqIy/::0:99999:7:::

bin:*:18027:0:99999:7:::

daemon:*:18027:0:99999:7:::

adm:*:18027:0:99999:7:::

lp:*:18027:0:99999:7:::

sync:*:18027:0:99999:7:::

shutdown:*:18027:0:99999:7:::

....

[20:40:42 root@centos8 ~]#su - ding

[20:40:51 ding@centos8 ~]$cat /etc/shadow

cat: /etc/shadow: Permission denied

用户和组的配置文件

用户和组的主要配置文件

/etc/passwd:用户及其属性信息(名称、UID、主组ID等)

/etc/shadow:用户密码及其相关属性

/etc/group:组及其属性信息

/etc/gshadow:组密码及其相关属性

passwd文件格式

属性信息

第一列:root

登录名

第二列:x

密码

第三列:0

用户UID

第四列:0

用户GID

第五列:root

用户全面或注释GECOS

第六列:/root

用户家目录

第七列:/bin/bash

用户默认使用shell

shadow文件格式

属性信息

第一列:root

登录用户名

第二列:加密数字

用户密码:一般sha512加密

第三列:18473

从1970年1月1日起到密码最近一次被更改的使时间

第四列:0

密码再过几天可以被更改(0表示随时可被更改)

第五列:99999

密码过几天必须被更改(99999表示永不过期)

第六列:7

密码过期前几天系统提醒用户(默认为7天)

第七列:空

密码过期几天后账号会被锁定

第八列:空

从1970年1月1日算起,多少天后账号失效

更改密码加密算法

authconfig --passalgo=sha256 --update

密码的安全策略

足够长

使用数字、大写字母、小写字母、及特殊字符中最少3种

使用随机密码

定期更换,不要使用最近曾经使用过的密码

group文件格式

属性信息

第一列:root

群组名称

第二列:x

群组密码,通常不需设定,密码记录在/etc/shadow中

第三列:0

群组ID:GID

第四列:空

以当前组为附加组的用户列表(用逗号分隔)

gshdow文件格式

属性信息

第一列:root

群组名称

第二列:空

群组密码

第三列:空

组管理员列表:组管理员可以更改组密码和成员

第四列:空

以当前组为附加组的的用户列表(用逗号分隔)

文件操作

vipw和vigr:编辑passwd文件和编辑group文件

pwck和grpck:检查password文件格式和检查group文件格式是否有错

用户和组管理命令

用户创建

useradd命令可以创建新的Linux用户

格式:

useradd [options] LOGIN

常用选项:

-u UID

-o 配合-u选项,不检查UID的唯一性

-g GID:指明用户所属的基本组,可为组名,也可以为GID

-c “COMMENT” 用户的注释信息

-d HOME_DIR 以指定的路径(不存在)为家目录

-s SHELL 指明用户的默认shell程序,可用列表再/etc/shell文件中

-G GROUP1[,GROUP2,...] 为用户指明附加组,组必需事先存在

-N 不创建私有组做主组,使用users组做主组

-r 创建系统用户 CentOS 6之前: ID<500,CentOS 7以后: ID<1000

-m 创建家目录,用于系统用户

-M 不创建家目录,用于非系统用户

-p 指定加密的密码

范例:

usradd -r -u 48 -g apache -s /sbin/nologin -d /var/www -c “Apache” apache

useradd命令默认值设定由/etc/default/useradd定义

[21:10:21 root@centos8 ~]#cat /etc/default/useradd

# useradd defaults file

GROUP=100

HOME=/home

INACTIVE=-1 #对应/etc/shadow文件第七列,即用户密码过期的宽限期

EXPIRE= #对应/etc/shadow文件第八列,即用户账号的有效期

SHELL=/bin/bash

SKEL=/etc/skel #创建新用户默认家目录下的文件

CREATE_MAIL_SPOOL=yes #创建邮箱目录

显示或更改默认设置

#查看默认设置

[08:26:17 root@centos8 ~]#useradd -D

#修改默认shell

[08:26:17 root@centos8 ~]#useradd -D -s /bin/sh

#修改默认家目录

[08:26:17 root@centos8 ~]#useradd -D -b /var

#修改默认组

[08:25:34 root@centos8 ~]#useradd -D -g 1000

新建用户的相关文件

/etc/default/useradd #useradd命令的默认值

/etc/skel/* #新用户家目录下的默认文件

/etc/login.defs #创建新用户默认的密码策略

批量创建用户

#newusers后面直接跟一个文件,文件格式和/etc/passwd的格式相同

newusers passwd格式的文件

批量修改用户口令

echo username:passwd|chpasswd

范例:centos6创建并指定基于sha512的用户密码

[root@centos6 ~]#grub-crypt --help

Usage: grub-crypt [OPTION]...

Encrypt a password.

-h, --help Print this message and exit

-v, --version Print the version information and exit

--md5 Use MD5 to encrypt the password

--sha-256 Use SHA-256 to encrypt the password --sha-512 Use SHA-512 to encrypt the password (default)

Report bugs to .

EOF

[root@centos6 ~]#grub-crypt --sha-512

Password:

Retype password: $6$v9A2/xUNwAWwEmHN$q7Wz.uscsV/8J5Gss3KslX8hKXOoaP3hDpOBWeBfMQHVIRZiwHUUkii84cvQWIMnvtnXYsdVHuLO4KhOiSOMh/

[root@centos6 ~]#useradd -p '$6$v9A2/xUNwAWwEmHN$q7Wz.uscsV/8J5Gss3KslX8hKXOoaP3hDpOBWeBfMQHVIRZiwHUUkii84cvQWIMnvtnXYsdVHuLO4KhOiSOMh/' test

[root@centos6 ~]#getent shadow test

test:$6$v9A2/xUNwAWwEmHN$q7Wz.uscsV/8J5Gss3KslX8hKXOoaP3hDpOBWeBfMQHVIRZiwHUUkii84cvQWIMnvtnXYsdVHuLO4KhOiSOMh/:18459:0:99999:7:::

范例:利用python程序再CentOS7生成sha512加密密码

[root@centos7 ~]#python -c 'import crypt,getpass;pw="magedu";print(crypt.crypt(pw))'

$6$pt0SFMf6YqKea3mh$.7Hkslg17uI.Wu7BcMJStVVtkzrwktXrOC8DxcMFC4JO1igrqR7VAi87H5PHOuLTUEjl7eJqKUhMT1e9ixojn1

范例:CentOS8 生成sha512加密密码

[08:48:11 root@centos8 ~]#openssl passwd -6 magedu

$6$FeaRA8/K.YKf0E/i$27yzFz1lyeOpgJu3R.iV66KazI.xFhGGDSH.dosAFkRAnmKU775rpJ6/9ssQMj.tGuhiDzfgwUl3hOKC2RgaF0

用户属性修改

usermod 命令可以修改用户属性

格式:

usermod [OPTION] login

常见选项:

-u UID:新UID

-g GID:新主组

-G GROUP1[,GROUP2,..[,GROUPN]]:新附加组,原来的附加组会被覆盖;若保留原有组,则要用-a选项

-s SHELL:新的默认SHELL

-c `COMMENT`:新的注释信息

-d HOME:改变家目录,新的家目录不会自动创建;若要创建新家目录并移动原家数据,同时使用-m选项

-l login_name:新的名字

-L lock指定用户,在/etc/shadow 的密码栏增加 !

-U unlock指定用户,将/etc/shadow 密码栏的 ! 拿掉

-e YYYY-MM-DD:指明用户账号过期日期

-f INACTIVE:设定非活动期限,即宽限期

删除用户

userdel可删除Linux用户

格式:

userdel [OPTION]... Login

常见选项:

-f --force:强制

-r --remove:删除用户家目录和邮箱

查看用户相关的ID信息

id 命令可以查看用户的UID,GID等信息

id [OPTION]... [USER]

常见选项:

-u 显示UID

-g 显示GID

-G 显示用户所属的组的ID

-n 显示名称,需配合ugG使用

切换用户或以其它用户身份执行命令

su:即switch user,命令可以切换用户身份,并指定用户的身份执行命令

格式:

su [options...] [-] [user [args...]]

常见选项:

-l --login su -l UserName 相当于su - UserName

-c --command pass a single command to the shell with -c

切换用户的方式:

su UserName:非登陆式切换,既不会出现读取目标用户的配置文件,不改变当前工作目录,即不完全切换

su - UserName:登录式切换,会读取目标用户的配置文件,切换至自己的家目录,即完全切换

说明:root su至其它用户无需密码,非root用户切换时需要密码

注意:su 切换新用户后,使用 exit 退回至旧的用户,而不要再用户 su 切换至旧用户,否则会生成很多的bash子进程,环境可能会混乱。

换个身份执行命令:

su - [-] UserName -c `COMMAND`

范例:

#更改用户登录shell

[root@centos8 ~]#getent passwd

magemage:x:1001:1001::/home/mage:/bin/bash

[root@centos8 ~]#usermod -s /bin/false mage

[root@centos8 ~]#getent passwd

magemage:x:1001:1001::/home/mage:/bin/false

[root@centos8 ~]#su - mage

Last login: Fri Mar 27 09:18:57 CST 2020 on pts/0

[root@centos8 ~]#whoami

root

[root@centos8 ~]#su -s /sbin/nologin wang

This account is currently not available.

[root@centos8 ~]#whoami

root

[root@centos8 ~]#su -s /bin/false wangt

[root@centos8 ~]#whoami

root

#切换用户身份并执行命令

[wang@centos8 ~]$su - root -c "getent shadow"

[root@centos8 ~]#su - wang -c 'touch wang.txt'

[root@centos8 ~]#ll ~wang/

total 0

-rw-rw-r-- 1 wang wang 0 Mar 27 09:31 wang1.txt

-rw-rw-r-- 1 wang wang 0 Mar 27 09:32 wang2.txt

#指定用户运行的shell

[root@centos8 ~]#su bin

This account is currently not available.

[root@centos8 ~]#su -s /bin/bash bin

bash-4.4$ whoami

bin

[root@centos8 ~]#getent passwd tss

tss:x:59:59:Account used by the trousers package to sandbox the tcsd daemon:/dev/null:/sbin/nologin

[root@centos8 ~]#su - -s /bin/bash tss

Last login: Fri Mar 27 09:46:43 CST 2020 on pts/0

[tss@centos8 root]$pwd

/home/tss

[tss@centos8 root]$whoami

tss

设置密码

passwd 可以修改用户密码

passwd [OPTIONS] UserName

常见选项:

-d 删除指定用户密码

-l 锁定指定用户

-u 解锁指定用户

-e 强制用户下次登录修改密码

-f 强制操作

-n mindays:指定最短使用期限

-x maxdays:最大使用期限

-w warndays:提前多少天开始警告

-i inactivedays:非活动期限

--stdin 从标准输入接受用户密码,Ubuntu无此选项

范例:非交互式修改用户密码

#此方式更通过用,适用于各种Linux版本,如Ubuntu

[root@centos8 ~]#echo -e '123456\n123456' | passwd mage

Changing password for user mage.

New password: BAD PASSWORD: The password is shorter than 8 characters

Retype new password: passwd: all authentication tokens updated successfully.

#适用于红帽系类的Linux版本

[root@centos8 ~]#echo '123456' | passwd --stdin mage

Changing password for user mage.

passwd: all authentication tokens updated successfully.

范例:Ubuntu 非交互式修改用户密码

[root@ubuntu1804 ~]#echo wang:centos |chpasswd

[root@ubuntu1804 ~]#passwd wang <

> centos

> centos

> EOF

Enter new UNIX password: Retype new UNIX password: passwd: password updated successfully

[root@ubuntu1804 ~]#echo -e 'magedu\nmagedu' | passwd wang

Enter new UNIX password: Retype new UNIX password: passwd: password updated successfully

范例;设置用户下次必须更改密码

#使用 -e 选项设置用户下次登录必须更改密码,密码格式必须符合规范

[root@centos8 ~]#useradd wang

[root@centos8 ~]#echo 123456 | passwd --stdin wang

Changing password for user wang.passwd: all authentication tokens updated successfully.[root@centos8 ~]#getent shadow wangwang:$6$4f78ko7hJ4fcMvIH$lpbOkFfziDBLT.8XBCi8c/N7wysDAejN5H9Fgxkt99HRDLTEosO43CKYi2XSSVHxAK568Olj3C5bwfNExlves/:18348:0:99999:7:::

[root@centos8 ~]#passwd -e wang

Expiring password for user wang.passwd: Success

[root@centos8 ~]#getent shadow wangwang:$6$4f78ko7hJ4fcMvIH$lpbOkFfziDBLT.8XBCi8c/N7wysDAejN5H9Fgxkt99HRDLTEosO43CKYi2XSSVHxAK568Olj3C5bwfNExlves/:0:0:99999:7:::

[root@centos8 ~]#su - mage

Last login: Fri Mar 27 09:55:27 CST 2020 on pts/0

[mage@centos8 ~]$su - wang

Password:

You are required to change your password immediately (administrator enforced)Current password:

New password:

BAD PASSWORD:

The password is shorter than 8 characters

New password:

BAD PASSWORD:

The password fails the dictionary check - it is too simplistic/systematic

su: Have exhausted maximum number of retries for service

[mage@centos8 ~]$su - wang

Password:

You are required to change your password immediately (administrator enforced)Current password:

New password:

Retype new password:

Last login: Fri Mar 27 10:01:20 CST 2020 on pts/0

Last failed login: Fri Mar 27 10:02:37 CST 2020 on pts/0

There was 1 failed login attempt since the last successful login.

[wang@centos8 ~]$exit

logout

[mage@centos8 ~]$exit

logout

[root@centos8 ~]#getent shadow wangwang:$6$TX0iLjF52ByHh1zH$g.WI4LNfauuwgnxpRhd7ePqFKHZ85YU3r6Lh2S0PWRXWGjGlDVtomLWqpdiWrT.vwqD/Wzok.kzQhUHc8UCs91:18348:0:99999:7:::

修改用户密码策略

chage 可以i需改用户密码策略

格式:

chage [OPTION]... LOGIN

常见选项:

-d LAST_DAY #更改密码的时间

-m --mindays MIN_DAYS

-M --maxdays MAX_DAYS

-W --warndays WARN_DAYS

-I --inactive INACTIVE #密码过期后的宽限期

-E --expiredate EXPORE_DATE #用户的有效期

-l 显示密码策略

范例:

[10:54:53 root@centos8 ~]#chage -m 3 -M 42 -W 14 -I 7 -E 2020-10-10 wang

[10:55:13 root@centos8 ~]#chage -l wang

Last password change : Aug 01, 2020

Password expires : Sep 12, 2020

Password inactive : Sep 19, 2020

Account expires : Oct 10, 2020

Minimum number of days between password change : 3

Maximum number of days between password change : 42

Number of days of warning before password expires : 14

[10:55:39 root@centos8 ~]#getent shadow wang

wang:$6$RXqjSVDQNjLEY/Zh$G68meoqiSkE1YtDeAq1zbXXnFVS9k6AoUhyb2V0nVnttEW5Q78oV4PzeK7SHCAYMMS2CC8dA7L7BYR5gcCfZe.:18475:3:42:14:7:18545:

#下一次登录强制重设密码

[10:55:56 root@centos8 ~]#chage -d 0 wang

[10:57:19 root@centos8 ~]#getent shadow wang

wang:$6$RXqjSVDQNjLEY/Zh$G68meoqiSkE1YtDeAq1zbXXnFVS9k6AoUhyb2V0nVnttEW5Q78oV4PzeK7SHCAYMMS2CC8dA7L7BYR5gcCfZe.:0:3:42:14:7:18545:

[10:57:25 root@centos8 ~]#chage -l wang

Last password change : password must be changed

Password expires : password must be changed

Password inactive : password must be changed

Account expires : Oct 10, 2020

Minimum number of days between password change : 3

Maximum number of days between password change : 42

Number of days of warning before password expires : 14

用户相关的其它命令

chfn:指定个人信息

chsh:指定shell,相当于usermod -s

finger:可看用户个人信息

[root@centos7 ~]#chfn wang

Changing finger information for wang.

Name [wang]: wangxiaochun

Office []:itOffice

Phone []: 10000

Home Phone []: 11111

Finger information changed.

[root@centos7 ~]#finger wang

Login: wang Name: wangxiaochun

Directory: /home/wang Shell: /bin/bash

Office: it, x1-0000 Home Phone: x1-1111

Never logged in.

No mail.

No Plan.

[root@centos7 ~]#getent passwd wangwang:x:1000:1000:wangxiaochun,it,10000,11111:/home/wang:/bin/bash

[root@centos7 ~]#chsh -s /bin/csh wang

Changing shell for wang.Shell changed.

[root@centos7 ~]#getent passwd wangwang:x:1000:1000:wangsicong,wanda,10000,11111:/home/wang:/bin/csh

[root@centos7 ~]#usermod -s /bin/bash wang

[root@centos7 ~]#getent passwd wangwang:x:1000:1000:wangsicong,wanda,10000,11111:/home/wang:/bin/bash

范例:修改用户使用不可登录的shell类型

[root@centos8 ~]#getent passwd wang wang:x:1000:1000:wangxiaochun,IT,110,119,:/home/wang:/bin/bash

[root@centos8 ~]#chsh -s /sbin/nologin wang

Changing shell for wang.chsh: Warning: "/sbin/nologin" is not listed in /etc/shells.

Shell changed.

[root@centos8 ~]#su - wang

This account is currently not available.

[root@centos8 ~]#chsh -s /bin/false wang

Changing shell for wang.chsh: Warning: "/bin/false" is not listed in /etc/shells.

Shell changed.

[root@centos8 ~]#su - wang

[root@centos8 ~]#id

uid=0(root) gid=0(root) groups=0(root)

[root@centos8 ~]#chsh -s /bin/bash wang

Changing shell for wang.Shell changed.

[root@centos8 ~]#su - wang

创建组

groupadd 实现创建组

格式

groupadd [OPTION]... group_name

创建选项:

-g: GID 指明GID号;[GID_MIN, GID_MAX]

-r: 创建系统组,CentOS 6之前: ID<500,CentOS 7以后: ID<1000

范例:

groupadd -g 48 -r apache

修改组

groupmod 组属性修改

格式:

groupmod [OPTION]... group

常见选项:

-n:group_name 新名字

-g:GID 新的GID

删除组

groupdel 可以删除组

格式:

groupdel [options] GROUP

常见选项:

-f:--force 强制删除,即使是用户的主组也强制删除组

更改组密码

gpasswd 命令,可以更改组密码,也可以修改附加组的成员关系

格式

gpasswd [OPTION] GROUP

常见选项:

-a user 将user添加至指定组中

-d user 从指定附加组中移除用户user

-A user1,user2,... 设置有管理权限的用户列表

范例:

#增加组成员

[root@centos8 ~]#groupadd admins

[root@centos8 ~]#id wang

uid=1000(wang) gid=1000(wang) groups=1000(wang)

[root@centos8 ~]#gpasswd -a wang admins

Adding user wang to group admins

[root@centos8 ~]#id wang

uid=1000(wang) gid=1000(wang) groups=1000(wang),1002(admins)

[root@centos8 ~]#groups wang

wang : wang admins

[root@centos8 ~]#getent group admins

admins:x:1002:wang

#删除组成员[root@centos8 ~]#gpasswd -d wang admins

Removing user wang from group admins

[root@centos8 ~]#groups wang

wang : wang

[root@centos8 ~]#id wanguid=1000(wang) gid=1000(wang) groups=1000(wang)

[root@centos8 ~]#getent group admins

admins:x:1002:

临时切换主组

nwegrp 命令可以临时切换主组,如果用户本不属于此组,则需要组密码

格式:

newgrp [-] [group]

如果使用 - 选项,可以初始化用户环境

[root@centos8 ~]#gpasswd root

Changing the password for group root

New Password:

Re-enter new password:

[root@centos8 ~]#getent gshadow rootroot:$6$UKK78gqOvw/Ug$exBe4gHUYzSj/Gip0YkXII8RkPca7QGVto6Ws5SFd6lhxxklCsfKqiv1qyEQZOfGK2WbR7/I.A2.7j1SUGuB91::

[wang@centos8 ~]$newgrp root

Password:

[wang@centos8 ~]$id

uid=1000(wang) gid=0(root) groups=0(root),1000(wang)

[wang@centos8 ~]$getent passwd wang

wang:x:1000:1000:wangxiaochun,IT,110,119,:/home/wang:/bin/bash

[wang@centos8 ~]$touch wang1.txt

[wang@centos8 ~]$ll

total 0-rw-r--r-- 1 wang root 0 Dec 18 09:38 wang1.txt

[wang@centos8 ~]$exit

exit

[wang@centos8 ~]$id

uid=1000(wang) gid=1000(wang) groups=1000(wang)

[wang@centos8 ~]$touch wang2.txt

[wang@centos8 ~]$ll

total 0

-rw-r--r-- 1 wang root 0 Dec 18 09:38 wang1.txt

-rw-rw-r-- 1 wang wang 0 Dec 18 09:38 wang2.txt

更改和查看组成员

groupmenms 可以管理附加组的成员关系

格式:

groupmems [options] [action]

常见选项:

-g, --group groupname #更改为指定组 (只有root)

-a, --add username #指定用户加入组

-d, --delete username #从组中删除用户

-p, --purge #从组中清除所有成员

-l, --list #显示组成员列表

groups 可以查看用户组关系

格式;

#查看用户所属组列表

groups [OPTION].[USERNAME]...

范例:

[root@centos8 ~]#groupmems -l -g admins

[root@centos8 ~]#groupmems -a mage -g admins

[root@centos8 ~]#id mageu

id=1001(mage) gid=1001(mage) groups=1001(mage),1002(admins)

[root@centos8 ~]#groupmems -l -g adminsmage

[root@centos8 ~]#groupmems -a wang -g admins

[root@centos8 ~]#groupmems -l -g admins

mage wang

[root@centos8 ~]#groupmems -d wang -g admins

[root@centos8 ~]#groups wang

wang : wang admins

[root@centos8 ~]#groupmems -l -g admins

mage

[root@centos8 ~]#groupmems -p -g admins

[root@centos8 ~]#groupmems -l -g admins

文件权限管理

[15:12:15 root@centos8 ~]#ll anaconda-ks.cfg

-rw-------. 1 root root 1555 Jul 29 08:58 anaconda-ks.cfg

#文件属性说明

-rw-------. 权限

1 链接计数

root 所有者

root 所属组

1555 文件大小

Jul 29 08:58 创建和修改时间

anaconda-ks.cfg 文件名

文件所有者和所属组属性操作

设置文件的所有者chown

chown 命令可以修改文件的属主,也可以修改文件的属性

格式:

chown [OPTION]... [OWNER][:[GROUP]] FILE...

chown [OPTION]... --reference=RFILE FILE...

用法说明:

OWNER 只修改所有者

OWNER:GROUP 同时修改所有者和属组

:GROUP 只修改属组,冒号也可以用 . 替换

--reference=RFILE 参考指定的属性来修改

-R 递归,此选项慎用,非常危险

范例:

[root@centos8 data]#cp /etc/fstab f1.txt

[root@centos8 data]#pwd

/data

[root@centos8 data]#ll

total 4

-rw-r--r-- 1 root root 709 Dec 18 10:13 f1.txt

[root@centos8 data]#chown wang f1.txt

[root@centos8 data]#ll

total 4-rw-r--r-- 1 wang root 709 Dec 18 10:13 f1.txt

[root@centos8 data]#chown :admins f1.txt

[root@centos8 data]#ll f1.txt

-rw-r--r-- 1 wang admins 709 Dec 18 10:13 f1.txt

[root@centos8 data]#chown root.bin f1.txt

[root@centos8 data]#ll

total 4

-rw-r--r-- 1 root bin 709 Dec 18 10:13 f1.txt

[root@centos8 data]#chown wang:admins f1.txt

[root@centos8 data]#ll

total 4

-rw-r--r-- 1 wang admins 709 Dec 18 10:13 f1.txt

[root@centos8 data]#cp /etc/issue f2.txt

[root@centos8 data]#ll

total 8

-rw-r--r-- 1 wang admins 709 Dec 18 10:13 f1.txt

-rw-r--r-- 1 root root 23 Dec 18 10:15 f2.txt

[root@centos8 data]#chown --reference=f1.txt f2.txt

[root@centos8 data]#ll

total 8

-rw-r--r-- 1 wang admins 709 Dec 18 10:13 f1.txt

-rw-r--r-- 1 wang admins 23 Dec 18 10:15 f2.txt

范例:

#危险操作

[root@centos8 ~]#chown -R wang.admins /data/

设置文件的属组信息chgrp

chgrp 命令只可以修改文件的属性

格式

chgrp [OPTION]... GROUP FILE...

chgrp [OPTION]... --reference=RFILE FILE...

选项

-R:递归

范例:

[root@centos8 data]#ll f1.txt

-rw-r--r-- 1 wang root 709 Dec 18 10:13 f1.txt

[root@centos8 data]#chgrp admins f1.txt

[root@centos8 data]#ll f1.txt

-rw-r--r-- 1 wang admins 709 Dec 18 10:13 f1.txt

文件权限

文件权限说明

文件的权限主要针对三类对象进行定义

owner 属主,u

group 属组,g

other 其它,o

注意:用户的最终权限,是从左向右进行顺序匹配,即,所有者,所属组,其他人,一旦匹配权限立即生效,不再向右查看其它权限

每个文件针对每类访问者都定义了三种常用权限

r readable:读

w writable:写

x excutable:执行

对文件的权限:

r 可以用文件查看类工具,比如:cat,可以获取其内容

w 可以修改其内容

x 可以把文件提交内核为启动为一个进程,即可以执行(运行)此文件(此文件的内容必须是可执行)

对目录的权限:

r 可以使用ls查看此目录文件列表

w 可在此目录红创建文件,也可以删除此目录中的文件,而和此被删除的文件权限无关

x 可以cd进此目录,可以使用ls -l查看此目录中文件元数据(须配合r权限),属于目录的可访问的最小权限

X 只给目录x权限,还有有执行权限的文件x权限,不给无执行权限的文件x权限

数学法的权限

权限项

执行

执行

执行

字符表示

r

w

x

r

w

x

r

w

x

数字表示

4

2

1

4

2

1

4

2

1

八进制数字

--- 000 0

--x 001 1

-w- 010 2

-wx 011 3

r-- 100 4

r-x 101 5

rw- 110 6

rwx 111 7

例如:

rw-r----- 640

rwxr-xr-x 755

修改文件权限chmod

格式

chmod [OPTION]... MODE[,MODE]... FILE...

chmod [OPTION]... OCTAL-MODE FILE...

#参考RFILE文件的权限,将FILE的修改为同RFILE

chmod [OPTION]... --reference=RFILE FILE...

说明:

MODE:who opt permission

who:u,g,o,a

opt:+,-,=

permission:r,w,x

修改指定一类用户的所有权限

u= g= o= ug= a= u=,g=

修改指定一类用户某个或某个权限

u+ u- g+ g- o+ o- a+ a- + -

-R: 递归修改权限

范例:设置 X 权限

[root@centos8 data]#ll dir

total 8

-rw-r--r-- 1 root root 709 Dec 18 11:09 f1.txt

-rwxr--r-- 1 root root 709 Dec 18 11:09 f2.txtd

rw-r--r-- 2 root root 6 Dec 18 11:15 subdir

[root@centos8 data]#ll -d dir

drwxr-xr-- 3 root root 48 Dec 18 11:15 dir

[root@centos8 data]#chmod -R a+X dir

[root@centos8 data]#ll -d dir

drwxr-xr-x 3 root root 48 Dec 18 11:15 dir

[root@centos8 data]#ll dir

total 8

-rw-r--r-- 1 root root 709 Dec 18 11:09 f1.txt

-rwxr-xr-x 1 root root 709 Dec 18 11:09 f2.txt

drwxr-xr-x 2 root root 6 Dec 18 11:15 subdir

范例:

chmod u+wx,g-r,o=rx file

chmod -R g+rwx /test

dirchmod 600 file

新建文件和目录的默认权限

umask值可以用来保留在创建文件权限

实现方式:

新建文件的默认权限:666-umask,如果所得结果某位此乃在执行(奇数)权限,则将其权限+1,偶数不变

新建目录的默认权限:777-umask

非特权用户的umask默认是 002

root的umask默认是 022

查看umask

[16:07:06 root@centos8 dir]#umask

0022

#模式方式显示

[16:19:46 root@centos8 dir]#umask -S

u=rwx,g=rx,o=rx

#输出可被调用

[16:19:53 root@centos8 dir]#umask -p

umask 0022

修改umask

umask #

[16:19:56 root@centos8 dir]#umask 002

[16:22:54 root@centos8 dir]#umask u=rw,g=r,o=

持久保存umask

全局设置:/etc/bashrc

用户设置:~/.bashrc

Linux文件系统上的特殊权限

前面介绍了三种常见的权限:r,w,x 还有三种特殊权限:SUID, SGID, Sticky

特殊权限SUID

前提:进程有属主和属组;文件有属主和属组

任何一个可执行程序文件能不能启动为进程,取决于发起者对程序文件是否有执行权限

启动为进程之后,其进程的属主为发起者,进程的属组为发起者所属的组

进程访问文件的权限,取决于进程的发起者

进程的发起者,同文件的属主:则应用文件属主权限

进程的发起者,属于文件属组:则应用文件属组权限

用用文件“其它”权限

二进制的可执行文件上SUID权限功能:

任何一个可执行程序文件能不能启动为进程:取决发起者对程序文件是否拥有执行权限

启动为进程后,其进程的属主为原程序文件的属主

SUID只对二进制可执行程序有效

SUID设置在目录上无意义

SUID权限设定:

chmod u+s FILE...

chmod 6xxx FILE

chmod u-s FILE...

范例:

[root@centos8 ~]#ls -l /usr/bin/passwd

-rwsr-xr-x. 1 root root 34928 May 11 2019 /usr/bin/passwd

特殊权限SGID

二进制的可执行文件上SGID权限功能:

任何一个可执行程序文件能不能启动为进程:取决于发起者对程序文件是否有用执行权限

启动为进程之后,其进程的属组为原程序文件的属组

SGID权限设定:

chmod g+s FILE...

chmod 2xxx FILE

chmod g-s FILE...

目录上的SGID权限功能:

默认情况下,用户创建文件时,其属组为此用户所属的主组,一旦目录被设定了SGID,则对此目录有写权限的用户在a此目录中创建的文件所属的组为此目录的属组,通常用于创建一个协作目录

SGID权限设定:

chmod g+s DIR...

chmod 2xxx DIR

chmod g-s DIR...

特殊权限Sticky位

具有写权限的目录通常用户可以删除改目录中的任何文件,无论该文件的权限或拥有权在目录设置Sticky位,只有文件的所有者或root可以删除该文件

Sticky权限设定:

chmod o+t DIR...

chmod 1xxx DIR

chmod o-t DIR...

范例:

[16:53:50 root@centos8 dir]#ll -d /tmp

drwxrwxrwt. 13 root root 4096 Aug 1 16:15 /tmp

特殊权限数字法

SUID SGID STICKY

000 0

001 1

010 2

011 3

100 4

101 5

110 6

111 7

#范例

[17:10:40 root@centos8 dir]#chmod 4777 f1.txt

[17:12:33 root@centos8 dir]#ll f1.txt

-rwsrwxrwx. 1 root root 0 Aug 1 16:05 f1.txt

权限位映射

SUID:user,占据属主的执行权限位

​ 小写s:属主拥有x权限

​ 大写S:属主没有x权限

SGID:group,占据属组的执行权限位

​ 小写s:group拥有x权限

​ 大写S:group没有x权限

Sticky:other,占据other的执行权限位

​ 小写t:other拥有x权限

​ 大写T:other没有x权限

设定文件特殊属性

设置文件的特殊属性,可以防止root用户操作误操作删除或修改文件

#不能删除,改名,更改

chattr +i

#只能追加内容,不能删除,改名

chattr +a

#显示特定属性

lsattr

范例:

17:31:03 root@centos8 ~]#chattr +i dir

[17:31:17 root@centos8 ~]#lsattr dir

------------------ dir/f1.txt

------------------ dir/f2.txt

------------------ dir/d1

[17:31:23 root@centos8 ~]#lsattr *

------------------ anaconda-ks.cfg

------------------ cgooddir

------------------ cgooddir.disk

------------------ cgooddisk

[17:31:39 root@centos8 ~]#ll

total 24

-rw-------. 1 root root 1555 Jul 29 08:58 anaconda-ks.cfg

-rw-r--r--. 1 root root 0 Jul 31 08:40 cgooddir

-rw-r--r--. 1 root root 0 Jul 31 08:39 cgooddir.disk

-rw-r--r--. 1 root root 0 Jul 31 08:40 cgooddisk

-rw-r--r--. 1 root root 0 Jul 31 08:40 cgoodfile

drwxr-xr-x. 3 root root 44 Aug 1 16:06 dir

[17:33:21 root@centos8 ~]#rm -rf dir

rm: cannot remove 'dir/f1.txt': Operation not permitted

rm: cannot remove 'dir/f2.txt': Operation not permitted

rm: cannot remove 'dir/d1': Operation not permitted

[17:33:25 root@centos8 ~]#lsattr

------------------ ./anaconda-ks.cfg

------------------ ./win.txt

------------------ ./linux.txt

----i------------- ./dir

[17:35:57 root@centos8 ~]#chattr -i dir

[17:33:25 root@centos8 ~]#lsattr

------------------ ./anaconda-ks.cfg

------------------ ./win.txt

------------------ ./linux.txt

------------------ ./dir

访问控制列表

ACL权限功能

ACL: Access Control List ,实现灵活的权限管理

除了文件的所有者,所属组和其他人,可以对更多的用户设置权限

Centos7默认创建的xfs和ext4文件系统具有ACL功能

Centos7之前的版本,默认手工创建的ext4文件系统无ACL功能,需手动增加

tune2fs –o acl /dev/sdb1

mount –o acl /dev/sdb1 /mnt/test

ACL生效顺序:

所有者,自定义用户,所属组|自定义组,其他人

ACL相关命令

setfacl 可以设置ACL权限

getfacl 可查看设置的ACL权限

范例

[17:42:38 root@centos8 dir]#ll

total 0

-rw-r--r--. 1 root root 0 Aug 1 16:05 f1.txt

[17:42:39 root@centos8 dir]#setfacl -m u:ding:- f1.txt

[17:44:37 root@centos8 dir]#ll f1.txt

-rw-r--r--+ 1 root root 0 Aug 1 16:05 f1.txt

[17:44:44 root@centos8 dir]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:ding:---

group::r--

mask::r--

other::r--

[17:45:02 root@centos8 dir]#su ding

[17:45:42 ding@centos8 dir]$cat f1.txt

cat: f1.txt: Permission denied

[17:45:50 ding@centos8 dir]$echo xx >> f1.txt

bash: f1.txt: Permission denied

范例

[root@centos8 data]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

group::r--

other::r--

[root@centos8 data]#setfacl -m u:wang:0 f1.txt

[root@centos8 data]#setfacl -m g:admins:w f1.txt

[root@centos8 data]#ll

f1.txt-rw-rw-r--+ 1 root root 718 Dec 18 14:44 f1.txt

[root@centos8 data]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:---

group::r--

group:admins:-w-

mask::rw-

other::r--

[root@centos8 data]#id wang

uid=1000(wang) gid=1000(wang) groups=1000(wang)

[root@centos8 data]#id mage

uid=1001(mage) gid=1001(mage) groups=1001(mage)

[root@centos8 data]#su mage

[mage@centos8 data]$cat f1.txt

#

# /etc/fstab# Created by anaconda on Wed Dec 11 11:11:16 2019

#

# Accessible filesystems, by reference, are maintained under '/dev/disk/'.# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info.

#

# After editing this file, run 'systemctl daemon-reload' to update systemd# units generated from this file.

#UUID=1b950ef9-7142-46bd-975c-c4ac1e0d47e8 / xfs

defaults 0 0

UUID=667a4c81-8b4b-4a39-a111-b11cb6d09309 /boot ext4

defaults 1 2

UUID=38d14714-c018-41d5-922c-49e415decbca /data xfs

defaults 0 0

UUID=a0efb2bb-8227-4317-a79d-0a70d515046c swap swap

defaults 0 0

magedata

[mage@centos8 data]$echo magedata2 >> f1.txt

bash: f1.txt: Permission denied

[mage@centos8 data]$exit

exit

[root@centos8 data]#gpasswd -a mage admins

Adding user mage to group admins

[root@centos8 data]#id mage

uid=1001(mage) gid=1001(mage) groups=1001(mage),1002(admins)

[root@centos8 data]#su mage

[mage@centos8 data]$echo magedata3 >> f1.txt

[mage@centos8 data]$cat f1.txt

cat: f1.txt: Permission denied

[mage@centos8 data]$exit

exit

[root@centos8 data]#su wang

[wang@centos8 data]$cat f1.txt

cat: f1.txt: Permission denied

[wang@centos8 data]$echo wangdata >> f1.txt

bash: f1.txt: Permission denied

[wang@centos8 data]$exit

exit

[root@centos8 data]#groupmems -a wang -g admins

[root@centos8 data]#id wang

uid=1000(wang) gid=1000(wang) groups=1000(wang),1002(admins)

[root@centos8 data]#su wang

[wang@centos8 data]$getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:---

group::r--

group:admins:-w-

mask::rw-other::r--

[wang@centos8 data]$cat f1.txt

cat: f1.txt: Permission denied

[wang@centos8 data]$echo wangdata2 >> f1.txt

bash: f1.txt: Permission denie

范例:

mount -o acl /directory

getfacl file |directory

setfacl -m u:wang:rwx file|directory

setfacl -m g:admins:rw file| directory

setfacl -x u:wang file |directory

#清除所有ACL权限

setfacl -b file1

#复制file1的acl权限给file2

getfacl file1 | setfacl --set-file=- file2

mask 权限

mask只影响除所有者和other的之外的人和组的最大权限

mask需要与用户的权限进行逻辑与运算后,才能变成有限的权限(Effective Permission)

用户或组的设置必须在于mask权限设定范围内才会生效

范例:

setfacl -m mask::rx file

#临时修改的umask值,命令执行后umask会回到系统设定的值,因为小括号开启了一个子shell

[root@centos8 data]#(umaks 077;touch f1.txt)

范例

[root@centos8 data]#ll f1.txt

-rw-rw-r--+ 1 root root 728 Dec 18 14:51 f1.txt

[root@centos8 data]#chmod g=r f1.txt

[root@centos8 data]#ll f1.txt

-rw-r--r--+ 1 root root 728 Dec 18 14:51 f1.txt

[root@centos8 data]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:---

group::r--

group:admins:-w- #effective:---

mask::r--

other::r--

[root@centos8 data]#setfacl -m mask::rw f1.txt

[root@centos8 data]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:---

group::r--

group:admins:-w-

mask::rw-

other::r--

[root@centos8 data]#setfacl -m u:wang:rwx f1.txt

[root@centos8 data]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:rwx

group::r--

group:admins:-w-

mask::rwx

other::r--

[rot@centos8 data]#setfacl -m mask::rw f1.txt

[root@centos8 data]#getfacl f1.txt

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:rwx #effective:rw-

group::r--

group:admins:-w-

mask::rw-

other::r--

--set选项会把原有的ACL项都删除,用新的代替,需要注意的是一定要包含UGO的设置,不能像-m一样只是添加ACL就可以

setfacl --set u::rw,u:wang:rw,g::r,o::- file1

备份和还原ACL

主要的文件操作命令cp和mv都支持ACL,只是cp命令需要加上-p参数,但是tar等常见的备份工具是不会保留目录和文件的ACL信息

范例:

#备份ACL

getfacl -R /tmp/dir > acl.txt

#消除ACL权限

setfacl -R -b /tmp/dir

#还原ACL权限

setfacl -R --set-file=acl.txt /tmp/dir

#还原ACL权限

setfacl --restore acl.txt

#查看ACL权限

getfacl -R /tmp/dir

范例;

[root@centos8 data]#getfacl *

# file: f1.txt

# owner: root

# group: root

user::rw-

user:wang:rwx #effective:rw-

group::r--

group:admins:-w-

mask::rw-

other::r--

# file: f2.txt

# owner: root

# group: root

user::rw-

group::r--

other::r--

# file: f3.txt

# owner: root

# group: root

user::rw-

user:wang:rwx #effective:rw-

group::r--

group:admins:-w-

mask::rw-

other::r--

[root@centos8 data]#cd

[root@centos8 ~]#tar cvf data.tar

/data/tar: Removing leading `/' from membernames

/data/

/data/f1.txt

/data/f2.txt

/data/f3.txt

[root@centos8 ~]#tar xvf data.tar -C /opt

data/

data/f1.txt

data/f2.txt

data/f3.txt

[root@centos8 ~]#ls /opt

data

[root@centos8 ~]#cd /opt/data

[root@centos8 data]#ll

total 12

-rw-rw-r-- 1 root root 728 Dec 18 14:51 f1.txt

-rw-r--r-- 1 root root 728 Dec 18 15:01 f2.txt

-rw-rw-r-- 1 root root 728 Dec 18 14:51 f3.txt

[root@centos8 data]#getfacl -R /data > /root/acl.txt

getfacl: Removing leading '/' from absolute path names

[root@centos8 data]#cat /root/acl.txt

# file: data

# owner: root

# group: admins

user::rwx

group::rwx

other::rwx

# file: data/f1.txt

# owner: root

# group: root

user::rw-

user:wang:rwx

#effective:rw-

group::r--

group:admins:-w-

mask::rw-

other::r--

# file: data/f2.txt

# owner: root

# group: root

user::rw-

group::r--

other::r--

# file: data/f3.txt

# owner: root

# group: root

user::rw-

user:wang:rwx #effective:rw-

group::r--

group:admins:-w-

mask::rw-other::r--

[root@centos8 data]#ll /opt/data

total 12

-rw-rw-r-- 1 root root 728 Dec 18 14:51 f1.txt

-rw-r--r-- 1 root root 728 Dec 18 15:01 f2.txt

-rw-rw-r-- 1 root root 728 Dec 18 14:51 f3.txt

[root@centos8 data]#cd

[root@centos8 ~]#setfacl -R --set-file=/root/acl.txt /opt

[root@centos8 ~]#ll /opt/data/

total 12

-rw-rw-r--+ 1 root root 728 Dec 18 14:51 f1.txt

-rw-rw-r--+ 1 root root 728 Dec 18 15:01 f2.txt

-rw-rw-r--+ 1 root root 728 Dec 18 14:51 f3.txt

[root@centos8 ~]#setfacl -b -R /opt/data

[root@centos8 ~]#ll /opt/data

total 12

-rw-r--r-- 1 root root 728 Dec 18 14:51 f1.txt

-rw-r--r-- 1 root root 728 Dec 18 15:01 f2.txt

-rw-r--r-- 1 root root 728 Dec 18 14:51 f3.txt

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值