Linux基础——账号的权限管理

一、管理用户账号和组账号

1.用户账号和组账号概述

Linux基于用户身份对资源访问控制

• 用户账号
  超级用户：root 用户是 Linux 操作系统中默认的超级用户账号，对本主机拥有最高的权限。系统中超级用户是唯一的。
  普通用户：由root用户或其他管理员用户创建，拥有的权限会受到限制，一般只在用户自己的宿主目录中拥有完整权限。
  程序用户：。在安装 Linux 操作系统及部分应用程序时，会添加一些特定的低权限用户账号，这些用户一般不允许登录到系统，仅用于维持系统或某个程序的正常运行，如bin、 daemon、 ftp、 mail 等

• 组账号
  基本组（私有组）：基本组账号只有一个，一般为创建用户时指定的组。
  附加组（公共组）：用户除了基本组以外，额外添加指定的组。

• UID和GID
  UID（User IDentity）: 用户标识号
  GID（Group IDentify）: 组标识号
  root用户账号的 UID和GID 号为固定值 0
  程序用户账号的 UID和GID 号默认为 Centos5,6: 1—499，Centos7: 1——999
  普通用户的 UID和GID 号默认为 Centos5,6: 500—60000，Centos7: 1000—60000

2.用户账号文件

passwd

• 保存用户名称、宿主目录、登录shell等基本信息
• 文件位置: /etc/passwd
• 每一行对应一个用户的账号记录
  
  root：x：0：0：root：/root：/bin/bash
  字段1: 用户帐号的名称
  字段2:用户密码占位符“x”
  字段3: 用户帐号的UID号
  字段4:所属基本组帐号的GID号
  字段5:用户全名
  字段6: 宿主目录
  字段7:登录Shell信息(/bin/bash为可登陆系统，/sbin/nologin和/bin/false内禁止用户登陆系统)

shadow

• 保存用户的密码、账号有效期等信息
• 文件位置: /etc/shadow
• 每一行对应一个用户的密码记录
  
  字段1：用户帐号的名称
  字段2：使用MD5加密的密码字串信息，当为“*"或”"时表示用户不能登录到系统。若该字段内容为空，则该用户无需密码即可登录系统。
  字段3：上次修改密码的时间，表示从1970年01月01日算起到最近一次修改密码时间隔的天数
  字段4：密码的最短有效天数，自本次修改密码后，必须至少经过该天数才能再次修改密码。默认值为0，表示不进行限制
  字段5：密码的最长有效天数，自本次修改密码后，经过该天数以后必须再次修改密码。默认值为99999，表示不进行限制
  字段6：提前多少天警告用户密码将过期，默认值为7
  字段7：在密码过期之后多少天禁用此用户
  字段8：帐号失效时间，此字段指定了用户作废的天数(从1970年01月01日起计算)，默认值为空，表示账号永久可用。
  字段9:保留字段(未使用)

3.添加用户账号——useradd命令

基本格式： useradd [选项]… 用户名

• 常用选项

选项	作用
-u	指定用户的 UID 号，要求该 UID 号码未被其他用户使用。
-d	指定用户的宿主目录位置(当与 -M，一起使用时，不生效)。只能用绝对路径指定目录，且不需要事先创建目录。
-e	指定用户的账户失效时间，可使用 YYYY-MM-DD 的日期格式。
-g	指定用户的基本组名（或使用 GID号），对应的组名必须已存在。
-G	指定用户的附加组名（或使用 GID号），对应的组名必须已存在。
-M	不建立宿主目录。
-s	指定用户的登录she11（比如/bin/bash为可登陆系统，/sbin/nologin和/bin/false为禁止用户登陆系统）。

例如 ：useradd -d /dalao -g wheel -G root dalao666

4.修改密码——passwd

root用户可以指定用户名作为参数，对指定账号的密码进行管理:不指定用户名时，修改当前账号的密码。
普通用户却只能执行单独的“passwd"”命令修改自己的密码。

基本格式：passwd [选项]… 用户名

• 常用选项

选项	作用
-d	清空指定用户的密码，仅使用用户名即可登录系统
-l	锁定用户账户，锁定的用户账号将无法再登录系统
-S	查看用户账户的状态 (是否被锁定)。
-u	解锁用户账户。

4.修改用户属性——usermod命令

基本格式：usermod [选项] 用户名
常用选项：

选项	作用
-l	更改用户账号的登录名称
-L	锁定用户账户
-U	解锁用户账户

5.删除用户账号——userdel命令

基本格式：userdel [r] 用户名

添加 -r 选项时，表示连用户的宿主目录一并删除
示例：删除用户vip666,vip777

二、管理目录和文件的属性

1.用户账号的初始配置文件

文件来源

• useradd 命令添加一个新的用户账号后会在该用户的宿主目录中建立一些初始配置文件。
• 这些文件来自于账号模板目录/etc/skel/，基本上都是隐藏文件。

主要的用户初始配置文件

• ~/.bash_profile：只对家目录的用户有效
  效果类似 /etc/profile
  会调用 ~/.bashrc
• ~/.bashrc：只对家目录的用户有效
• ~/.bash_logout：
• /etc/profile：对所有用户有效
  全局系统环境变量配置文件，主要用于设置开机后自动执行的命令和环境变量设置。只会在系统启动后任意用户每次登录后执行一次，或者使用 source /etc/profile （. /etc/profile）手动加载生效
• /etc/bashrc：对所有用户有效
  也是可以用来设置自动执行的命令和环境变量设置，会在任意用户每次登录或者切换shell环境 (su,bash等) 都会执行

2.与用户账号文件

/etc/group：保存组帐号基本信息
/etc/gshadow：保存组帐号的密码信息

3.添加组账号——groupadd命令

基本格式：groupadd [-g GID] 组账号名
示例：

4.添加删除组成员——gpasswd命令

基本格式：gpasswd [选项]… 组帐号名
常用选项：

选项	作用
-a	向组内添加一个用户
-d	从组内删除一个用户成员
-M	定义组成员列表，以逗号分隔

5.删除组账号——groupdel命令

基本格式：groupdel 组账号名

示例：删除组 VIP

6.查询账号信息

查询用户所属的组——groups命令

基本格式：groups [用户名]
示例：查询root,test组

查询用户身份标识——id命令

基本格式：id [用户名]
示例：查询dalao888用户

查询用户账号的登录属性——finger命令

需要先进行安装finger软件包
基本格式：finger [用户名]
示例：查询dalao888的登录属性

查询已登录到主机的用户信息——w、who、users命令

7.文件/目录的权限和归属

• 访问权限
  读取 r：允许查看文件内容、显示目录列表
  写入 w：允许修改文件内容，允许在目录中新建、移动、删除文件或子目录
  可执行 x：允许运行程序、切换目录

• 归属(所有权)
  属主：拥有该文件或目录的用户帐号
  属组：拥有该文件或目录的组帐号

8.设置文件和目录的权限——chmod命令

基本格式：
chomd [ugoa] [+-=] [rwx] 文件或目录  ### u,g,o,a分别代表属主，属组，其他用户，所有用户
chomd nnn 文件或目录...              ### nnn为三个八进制数

常用选项：
-R：递归修改指定目录下所有子项的权限

9.设置文件和目录的归属——chown命令

基本格式：
chown 属主 文件或目录
chown :属组 文件或目录
chown 属主:属组 文件或目录

常规选项：
-R：递归修改指定目录下所有文件、子目录的归属

10.特殊权限 SBIT（t）

SBIT权限只能用于对目录进行设置，使指定目求中的文件或者目录只有所有者才能删除文件或者目录

11.设置目录和文件的默认权限——umask命令

作用：
控制新建的文件或者目录的权限
默认权限去除umask的权限为新建的文件或者目录的权限
普通文件的默认最大权限为6（rw）,目录的最大默认权限为7（rwx）

设置：umask nnn       ### nnn为三个八进制数
查看：umask