Linux账号和目录文件权限管理

账号和权限管理

管理用户账户和组账号

用户账号和组账号概述

• Linux基于用户身份对资源访问进行控制

  • 用户帐号

    • 超级用户：唯一，是Linux操作系统中默认的超级用户账号，对本机拥有最高的权限

    • 普通用户：由root用户或其他管理员创建，拥有的权限会受到限制，一般只在自己的宿主目录中拥有完整权限

    • 程序用户：在安装Linux操作系统及部分应用程序时，回填技术一下特定的地权限账号，这些用户一般不允许登录到系统，仅用于维持系统或某个程序的正常运行，如bin、daemon、ftp、mail等。

  • 组帐号

    • 基本组：私有组，创建用户时就会产生的组，只有一个。在/etc/passwd文件中第4字段记录的即为该用户的基本组GID号。

    • 附加组：公共组，用户除了基本组外额外添加指定的组。

  • UID 和 GID（UID和GID不一定必须不同）

    • UID （User IDentity）：用户标识号

    • GID （Group lDentify）：组标识号

    • root用户账号的UID和GID号固定值为0

    • 程序用户账号的UID和GID号默认为CentOS5，6：1_{499，CentOS7：1}999

    • 普通用户账号的UID和·GID号默认为CentOS5，6：500_{60000，CentOS7：1000}60000

用户账号文件/etc/passwd

• 保存用户名称、宿主目录、登录Shell等基本信息

  • 文件位置：/etc/passwd

    • 基于系统运行和管理需要，所有用户都可以访问passwd文件中的内容，但是只有root用户才能进行更改。

    • 在早期的UNIX操作系统中，用户帐号的密码信息是保存在passwd文件中的，不法用户可以很容易的获取密码字串并进行暴力破解，因此存在一定的安全隐患。后来经改进后，将密码转存入专门的shadow文件中，而passwd文件中仅保留密码占位符"x"。

  • 每一行对应一个用户的帐号记录

  • root:x:0:0:root:/root:/bin/bash

    字段1:用户帐号的名称

    字段2:用户密码占位符"x"

    字段3:用户帐号的UID号

    字段4:所属基本组帐号的GID号

    字段5:用户全名

    字段6:宿主目录

    字段7:登录shell信息(/bin/bash为可登陆系统，/sbin/nologin（有提示登陆拒绝）和/bin/false（无响应拒绝登录）为禁止用户登陆系统)

用户文件

• 保存用户的密码、账号有效期等信息

  • 文件位置：/etc/shadow

    • 默认只有root 用户能够读取shadow文件中的内容，且不允许直接编辑该文件中的内容。

  • 每一行对应一个用户的密码记录

  • root:$6$VyoUGqoC$v5HlLMlwag2c/FwGfnrtJFnlT:18445:0:99999:7:::

    字段1：用户帐号的名称

    字段2：使用MD5加密的密码字串信息，当为"*“或”!!"时表示此用户不能登录到系统。若该字段内容为空，则该用户无须密码即可登录系统

    字段3：上次修改密码的时间，表示从1970年01月01日算起到最近一次修改密码时间隔的天数

    字段4：密码的最短有效天数，自本次修改密码后，必须至少经过该天数才能再次修改密码。默认值为0，表示不进行限制

    字段5：密码的最长有效天数，自本次修改密码后，经过该天数以后必须再次修改密码。默认值为99999，表示不进行限制

    字段6：提前多少天警告用户密码将过期，默认值为7

    字段7：在密码过期之后多少天禁用此用户

    字段8：帐号失效时间，此字段指定了用户作废的天数（从1970年01月01日起计算〉，默认值为空，表示账号永久可用。

    字段9：保留字段(未使用)

添加用户账号

• useradd命令（adduser）

  useradd [选项] 用户名

• 在==/etc/passwd文件和/etc/shadow==文件的末尾增加该用户账号的记录。

• 若未明确指定用户的宿主目录，则在/home目录下自动创建与该用户账号同名的宿主目录，并在该目录中建立用户的各种初始配置文件。

• 若没有明确指定用户所属的组，则自动创建与该用户账号同名的基本组账号，组账号的记录信息将保存到==/etc/group和/etc/gshadow== 文件中。

• 常用选项

  • -u:指定用户的UID号，要求该UID号码未被其他用户使用中。（不指定UID则设为最后的用户的UID号+1）
  • -d:指定用户的宿主目录位置（当与-M一起使用时，不生效)。只能用绝对路径指定目录，且不需要事先创建目录（不可指定多层目录）
  • -e:指定用户的账户失效时间，可使用YYYY-MM-DD的日期格式。
  • -g:指定用户的基本组名（或使用GID号)，对应的组名必须已存在。
  • -G:指定用户的附加组名（或使用GID 号)，对应的组名必须已存在。
  • -M:不建立宿主目录。
  • -s:指定用户的登录shell，（比如/bin/bash为可登陆系统，/sbin/nologin和/bin/false为禁止用户登陆系统）。

  注：禁止登录系统的用户家目录不会被显示出来。

设置/更改用户口令passwd

• passwd命令（新建用户需要passwd激活）

  passwd [选项] 用户名

• root用户可以指定用户名作为参数，对指定账号的密码进行管理;不指定用户名时，修改当前账号的密码。普通用户却只能执行单独的"passwd"命令修改自己的密码。

  echo password | passwd --stdin root (echo命令将root用户密码改为password)（也可以激活用户）

• 常用选项

  • -d:清空指定用户的密码，仅使用用户名即可登录系统。
  • -l:锁定用户账户，锁定的用户账号将无法再登录系统。
  • -S:查看用户账户的状态(是否被锁定)。
  • -u:解锁用户账户。（解锁无密码用户时需要 -f 强制解锁）

修改用户账号的属性usermod

• usermod命令

  usermod [选项] 用户名

• 常用选项

  • -l:更改用户账号的登录名称。（usermod -l 新名称 旧名称）
  • -L:锁定用户账户。
  • -U:解锁用户账户。

• 以下选项与useradd命令中的效果相同

  • -u、-d、-e、-g、-G、-s

删除用户账号userdel

• userdel命令

  userdel [选项] 用户名

• 常用选项

  • -r：表示连同用户的宿主目录一并删除

用户账号的初始配置文件

• 文件来源

  • useradd命令添加一个新的用户账号后会在该用户的宿主目录中建立一些初始配置文件
  • 这些文件来自于账号模板目录/etc/skel/，基本上都是隐藏文件。

• 主要的用户初始配置文件

  用户宿主目录下的初始配置文件只对当前用户有效

  • ~/.bash_profile

    此文件中的命令将在该用户每次登录时被执行，它会设置一些环境变量，并且会调用该用户的~/.bashrc文件

  • ~/.bashrc

    此文件中的命令会在每次打开新的bash shell时(也包括登录系统）被执行，并且会调用/etc/bashrc文件

  • ~/.bash_logout

    此文件中的命令将在用户每次退出登录或退出bash shell时执行

  全局配置文件对所有用户有效（慎重修改原有内容）

  • /etc/profile

    这个文件是为系统全局变量配置文件，可通过重启系统或者执行source /etc/profile命令使profile文件被读取

  • /etc/profile.d/

    这个文件实际上是/etc/profile的子目录，存放的是一些应用程序所需的启动脚本

  • /etc/bashrc

    每一个运行bash shell的用户都会执行此文件，可通过执行bash 命令打开一个新的bash shell时，使bashrc文件被读取

  PATH变量用于设置可执行程序的默认搜索路径

  • PATH生效的原理

    每次启动系统的时候会初始化命令，会执行/etc/profile和~/.bash profile。/etc/profile会将路径/usr/local/bin、/usr/bin、/usr/local/sbin 、/usr/sbin追加到PATH中去。然后调用/etc/profile.d目录下的脚本。

组帐号文件

• 与用户账号文件相类似

  • /etc/group：保存组账号基本信息
  • /etc/gshadow：保存组账号的密码信息（较少使用）

• postfix:x:x:89:

  字段1:组帐号的名称

  字段2:占位符"x"

  字段3:组账号的GID号

  字段4:组账号包含的用户成员（一般不包括基本组对应的用户帐号)，多个成员之间以逗号","分隔

添加组账号

• groupadd命令

  groupadd [-g GID] 组账号名 //不指定GID则GID为上一个组的GID号加1

• 常用选项

  • -g：指定GID号

添加删除组成员

• gpasswd命令（设置组账号密码（极少用）、添加删除组成员）

  gpasswd [选项] 组账号名

• 常用选项

  • -a:向组内添加一个用户

    gpasswd -a username groupname

  • -d:从组内删除一个用户成员

    gpasswd -d username groupname

  • -M:重新定义组成员列表，以逗号分隔（成员名 组名）

    gpasswd -M username1,username2,username3 gruopname

删除组账号

• groupdel命令

  groupdel 组账号名

查询账号信息

• groups命令

  • 查询用户所属的组

    groups [用户名]

• id命令

  • 查询用户身份标识

    id [用户名]

• finger命令

  • 查询用户账号的登录属性（需要先安装finger软件包）

    finger [用户名]

• w、who、users命令

  • w查询已登陆到主机的用户信息

    w命令显示出的第一行信息分别为

    • xx:xx:xx表示执行w命令的时间
    • up x:xx表示系统运行了多长时间
    • x users表示当前系统的登陆的用户数
    • load average: 0.00, 0.01, 0.05表示系统在过去1，5，10分钟内的负载程度，数值越小，系统负载越轻

    TTY：当前用户登陆的终端（pts/1：远程登录工具、0和1是系统本地登录）

  • who只显示用户名+终端+登陆时间（ip）

  • users只显示登陆的用户名

管理目录和文件的属性

文件/目录的权限和归属

• 访问权限

  • 读取r：允许查看文件内容、显示目录列表

  • 写入w：允许修改文件内容，允许在目录中新建、移动、删除文件或子目录

  • 可执行x：允许运行程序、切换目录

    s：管理员权限

• 归属(所有权)

  • 属主:拥有该文件或目录的用户帐号（ls -l的第三个字段）

  • 属组:拥有该文件或目录的组帐号（ls -l的第四个字段）

    权限项	读	写	执行	读	写	执行	读	写	执行
    字符表示	r	w	x	r	w	x	r	w	x
    数字表示	4	2	1	4	2	1	4	2	1
    权限分配	文件所有者	文件所有者	文件所有者	文件所属组	文件所属组	文件所属组	其他用户	其他用户	其他用户

    —	–x	-w-	-wx	r–	r-x	rw-	rwx
    0	1	2	3	4	5	6	7

    八进制数字表示权限如上

设置文件和目录的权限chmod

• chmod命令

  chmod [ugoa][+-=][rwx] 文件和目录

  u、g、o、a分别表示属主、属组、其他用户、所有用户（不写则默认为a）

  +、-、=分别表示增加、去除、设置权限（重置）

  r、w、x分别表示读、写、运行权限

  chmod nnn 文件和目录 //主组其他一起设置

• 常用选项

  • -R：递归修改指定目录下所有子项的权限

设置文件和目录的归属chown

• chown命令

  chown 属主 文件或目录

  chown :属组 文件或目录

  chown 属主:属组 文件或目录（也可点号分割）

  chgrp 属组 文件或目录 //直接修改组名

• 常用选项

  • -R:递归修改指定目录下所有文件、子目录的归属

    chown 属主:属组 -R 目录名

设置目录和文件的默认权限umask

普通文件的最大默认权限为6（rw）

目录的最大默认权限为7（rwx）

umask默认权限掩码的值为022

• umask作用

  • 控制新建的文件或者目录的权限
  • 默认权限减去umask的权限为新建的文件或者目录的权限（最低0）

• umask设置:umask 022

• umask查看:umask

• 示例

  • 将umask设为000，新建目录或者文件，查看权限

  • 将umask设为022，新建目录或者文件，再查看权限

• 目录:最大默认权限777减去umask后3位得出当前创建目录的默认权限

• 文件:由于文件的默认权限为偶数，777减去umask后三位得出的是奇数，则需再减1变成偶数，由此得出当前创建文件的默认权限