linux限制超级管理员远程登录,liunx 用户管理和ROOT权限控制

liunx 用户管理

建立一个新的用户包括两个步骤，第一步是使用useradd命令完成一个新用户的初始化设置工作；第二步是用passwd为这个新用户设置密码。例如，我们要给系统添加一个用户叫floatboat，密码为fan2001z，那相关的操作是：

useradd floatboat

这时候系统没有任何显示。接着：

passwd floatboat

系统显示：

Changing password for user floatboat

New UNIX password:

你输入：

fan2001z

注意，由于linux并不采用类似windows的密码回显(显示为*号)――为避免你输入密码时被人注意到有多少位――所以，输入的这些字符你是看不见的。

系统显示：

Retype new UNIX password:

你再重新输入一次密码，然后回车确认，这时系统会显示：

passwd:all authentication tokens updated successfully

表示你修改密码成功了。

到这里，新用户的创建工作就算完成了。下面，我们再补充一些有关增加新用户的常识：

1、useradd所做的初始化操作已经包括在/home目录下为floatboat帐号建立一个名为floatboat的主目录。如果你不想使用这个缺省的目录，而希望把他的主目录放在/home/goal里(还放在/home下，只是一种良好的习惯，没有其他什么特别的要求)，可以使用useradd的参数-d，命令如下：

useradd -d /home/goal floatboat

2、useradd的初始化操作还包括为用户单独建立一个与用户名同名的组(floatboat组)。这叫用户私有组的机制，与默认组机制相对应。对用户分组一是方便管理，二是可以明确权限。复杂的我们将在以后的深入内容中探讨。我们如果想让此用户加入一个已有的组的话，可以使用-g参数。例如我们想让floatboat加入webusers组，那么可以使用以下命令：

useradd -g webusers floatboat

同样的，我们还可以使用-G参数使他同时加入多个组，例如webusers和ftpusers：

useradd -G ftpusers,webusers　floatboat

3、passwd命令为一个用户设置密码，但它实质上是一个修改密码的程序。只有超级用户和用户自己可以修改密码，其它的普通用户没有给他修改密码的权利。用户密码的组成要尽量的复杂，最好包括字母、数字和特殊符号，而且最好设成6位以上。太短passwd程序不允许，只是单纯的字母或单纯的数字，passwd也会有意见。你都会看见passwd出现的提示的，不要害怕，仔细看看到底它是怎么说的：)

4、你在增加一个新用户的时候，也可以设置用户登录的shell。缺省的，系统提供了/bin/bash。你如果非要指定的话，可以使用-s 参数就可以了。例如

useradd -d /www　-s /usr/bin/passwd floatboat

注意，这些参数是可以一块使用的，如上例所示，它表示增加新用户，并把其主目录路径设置在/www，登录的shell为/usr/bin/passwd。关于shell的更详细的说明，请参考下面的修改用户的个人设置相关内容。

创建一个和ROOT一样的用户

useradd -u 0 -o -g 0 floatboat   这样就有一个和ROOT一样的用户了

-u -g 都是0级 即ROOT 级 -O 是允许有相同的ID    也可以使用usemod 中同样的参数即其它的参数了。这样就可以利用下面介绍的方法(pam.d/ssh)禁止ROOT用户远程登陆了

5、删除一个用户可以使用userdel命令，直接带用户名做参数就可以了。

修改用户的设置

对现有用户的修改，比较常用的主要是修改密码(使用passwd就好了)，修改用户的登录shell，修改用户所属的默认组，设置帐号有效期，修改用户的说明信息等等，偶尔也会用到修改用户主目录。

修改用户的登录shell

使用chsh命令可以修改自己的shell，只有超级用户才能用chsh username为其它用户修改shell设置。注意，指定的shell必须是列入/etc/shells文件中的shell，否则该用户将不能登陆。

一般，比较常见的shells文件包括下面这些shell：

/bin/bash2

/bin/bash

/bin/sh

/bin/ash

/bin/bsh

/bin/tcsh

/bin/csh

而网管们还喜欢在里面加上/usr/bin/passwd，这是为了不然用户通过控制台或telnet登录系统，却可以使用修改帐户密码(比如在FTP里用)。以及/bin/false，也就是不让这个用户登录的意思喽^&^，连FTP也不能用。

你也可以使用usermod命令修改shell信息，如下所示：

usermod -s　/bin/bash floatboat

其中/bin/bash和floatboat应取相应的shell路径文件名及用户名。

还有一种情况，就是你为用户设置了一个空的shell(就是"")，也就是说，这个用户没有shell。呵呵，绝对没有在我还未曾见过，因为这种用户登录后，系统还是会给它一个shell用的。不信你试试：

usermod -s "" floatboat

这种用户根据系统的不同，会有一个sh或bash进行操作，我也没有看出功能上和其它普通用户登录有什么不同。

修改用户所属的默认组

这个功能也可以通过usermod命令来实现，使用-g参数，例如把floatboat的默认组改为nobody，可以使用如下命令：

username -g　nobody floatboat

nobody在类UNIX系统中一般都意味着没有任何权限。

设置帐号有效期

如果使用了影子口令，则可以使用如下命令来修改一个帐号的有效期：

usermod -e MM/DD/YY username

例如把用户floatboat的有效期定为2001年12月31日：

usermod -e 12/31/01 floatboat

如果把该用户的有效期设为已经过去的时间，就可以暂时禁止该用户登录系统。

修改用户的说明信息

修改用户的说明信息，最简单的方法莫过于直接修改/etc/passwd文件，找到对应的用户记录行，例如下列行：

floatboat:x:503:503::/home/floatboat:/bin/bash

你可以直接在第四个冒号和第五个冒号之间插入该用户的说明就可以了。其实，很多用户设置都可以在这修改，比如该行最后一部分/bin/bash就是用户登录shell的设置。关于这个/etc/passwd文件，我们后面将进一步的深入探讨。

修改用户主目录

修改用户的主目录主要使用usermod命令的-d参数，例如：

usermod -d　/www　floatboat

这一行将floatboat的主目录改到/www。如果想将现有主目录的主要内容转移到新的目录，应该使用-m开关，如下所示：

usermod -d -m　/www floatboat

文件目录的权限

linux下，每一个文件、每一个目录都有一个属主，并针对用户自己、用户所在组、其它所有帐号(组)分别设定读、写、执行三种权限。例如，我(假定是webusers组的floatboat帐户的拥有者)使用如下命令建立一个新的文件

touch mytestfile

然后我们使用ls -l mytestfile这一命令来查看这个文件的权限状态(关于ls命令，可以查阅本站的命令查询)，可以得到如下的屏幕输出显示：

-rw-rw-r-- 1 floatboat webusers 0 Feb 6 21:37 mytestfile

输出由空格分为9个部分，我们比较关心第一、三、四个字段，分别表示文件权限属性、文件所有者帐户、文件所属组。

◆使用chown命令修改文件的主人

当你新建立一个文件的时候，文件的所有者当然就是你了。这一事实只有超级用户(比如说root)才可以通过chown命令改变(例如 chown　otheruser mytestfile,把mytestfile文件的属主改为otheruser)。普通用户不能把自己的文件“送”给别人，不然你把有特殊目的的程序给了root怎么办？：)

chown命令的用法比较简单。这里我先假设你现在拥有超级用户权限，那么你就可以使用如下命令将一个文件“送给”floatboat了：

chown　floatboat　/home/floatboat/thefileisrootcreate.txt (假定该文件是由root创建的)

修改一个目录的所有者也是类似的：

chown floatboat /home/newboat

当然，如果这个目录还有子目录及文件需要同时送给floatboat，chown也是支持-R参数的：

chown -R floatboat /home/newboat

如果你同时想修改文件/目录所属的组的话，你可以使用以下命令方便的达到目的：

chown -R floatboat.ftpusers /home/newboat

这样，不但文件主人得到了修改，文件所属的组也变成了ftpusers

◆ 修改文件的组属性

文件所属组你倒是可以改变，前提是：

1、你的超级用户。

2、你同时属于两个或两个以上的组。

两个条件你至少具备一个，你才能够把文件所属旧组变为新组。使用如下的命令将当前目录下所有html文件所属的组改为httpd：

chgrp httpd *.html

和chown命令一样，chgrp也可以使用-R参数对一个目录内的所有文件和子目录进行递归的修改组属性。

：你可以使用不带参数的groups命令查看自己属于哪个组。

文件权限的设定是我们这一小节讨论的核心，我们主要介绍chmod命令的两种用法。

◆使用访问字符串设置文件目录权限

正如前面所说的，每一个文件、目录都针对用户自己、用户所在组、其它所有帐号(组)分别有读、写、执行三种权限及其组合。当一个普通用户新建一个文件的时候，它默认的访问权限显示就如我们刚才所举例子的第一个字段所示。总共十位字符“-rw-rw-r--”，第一位是目录区分标志，如果是d的话，表示这是一个目录。第二到四位分别表示文件所有者的读(r：read)、写(w:write)、执行(x:execute)属性，第五到七位是文件所属组的读、写、执行权限，第八到第十位则是其它用户的读、写、执行权限。如果对应的位是相应的字母，就是有这相应权限，否则为“-”，表示没有获得这个许可。象刚才例子中的文件就是自己可读写，本组可读写，其它用户可读，所有的用户(包括自己)都不能执行它。

我们的用u、g、o分别来指代用户(user)、组(group)、其它帐户(other)，就可以方便的设置文件和目录的权限了。当然，我们也可以用a来表示所有的这三项。

例如，我们要对所有perl的脚本文件设定权限，对所有用户都可以读和

ROOT权限控制

Linux是当前比较流行的网络服务器操作系统，它继承了UNIX系统安全、稳定、高效等优点。在Linux系统中Root拥有最高权限，正因如此攻击者往往以获取Root权限为目标。作为管理员如何有效地对Root进行有效管理呢?本文将从权限控制的角度，提供几个安全技巧。

演示环境