用户、组和权限详解

一、用户user

在Linux系统上,用户管理是基于用户名和密码的方式进行资源的分配,Linux上的用户即Username/UID分为以下类别:

管理员:root,0;

普通用户:1-65535;

普通用户又分为:系统用户和登录用户两种;

系统用户:1-499(centos6系统)1-999(centos7系统)对守护进程获取资源进行权限分配;

登录用户:500+(centos6系统) 1000+(centos7系统)通过交互式方式登录;

二、组

Linux组:groupname/GID

管理员组:root,0

普通组:1-65535

普通组又分为:系统组和非系统组,我们通常把非系统组就叫普通组;

系统组:1-499(centos6系统)1-999(centos7系统)

普通组:500+(centos6系统) 1000+(centos7系统)

组的类别

用户的主组

用户必须属于一个且只有一个主组;

组名与用户名相同,且仅包含一个用户,也叫私有组;

用户的附加组(辅助组)

一个用户可以属于零个或多个附加组;

三、安全上下文

运行中的程序:进程(process);

以进程发起者的身份运行:

root:/bin/cat;

wu:/bin/cat;

进程所能够访问资源的权限取决于进程运行者的身份;

四、用户和组的配置文件

Linux用户和组的主要配置文件:

/etc/passwd:用户及其属性信息(名称,UID,主组ID等);

/etc/group:组及其属性信息;

/etc/shadow:用户密码及其相关属性;

/etc/gshadow:组密码及其相关属性;

五、/etc/passwd文件格式

login name:登录用户名;

passwd:密码(x);

UID:用户身份编号(1000)

GID:登录默认所在组编号(1000)

GECOS:用户的详细说明信息;

home directory:用户的家目录

shell:用户默认使用shell(/bin/bash)

六、/etc/shadow文件格式

登录用户名;

加了密的密码:一般用sha512加密;

最近一次更改密码的日期:从1970年1月1日期;

密码再过几天可以被变更(0表示随时可被变更);

密码再过几天必须被变更(99999表示永不过期);

密码过期前几天系统提醒用户(默认为一周);

密码过期几天后账号会被锁定;

账户的过期日期:从1970年1月1日算起,多少天后账号失效;

保留字段;

七、/etc/group文件格式

组名;

组密码:通常不需要设定,密码是被记录在/etc/gshadow;

组id;

以当前组为附加组的用户列表(如果有多个,则用逗号隔开);

八、/etc/gshadow文件格式

组名;

组密码;

组管理员列表:组管理员的列表,更改组密码和成员;

以当前组为附加组的用户列表(如果有多个,则用逗号隔开);

九、密码加密

密码加密解密机制:

加密:明文--->密文

解密:密文--->明文

单向加密:提取数据的指纹;

算法有:md5,sha1,sha224,sha256,sha384,sha512;

密码在加密过程中存在雪崩效应,所谓雪崩效应是指初始的条件的微小变动,将会引起结果的巨大改变;

更改加密算法:authconfig - -passalgo=sha512 - -update

Linux系统当中的密码采用定长格式输出,如下:                                            $6$G.oHUezroD7c.nab$.nlbNZ1IwrA9FabkBLMTFOjMGlu04mZmROXm5HdA5pfK9GLw36hr5KvGmNAuT2eq1ikz8ileDgp.o9u15BW5e0

其中,

$:为分隔符;

6:表示加密算法;

G.oHUezroD7c.nab:表示salt;

密码的复杂性策略

1 使用数字、大写字母、小写字母及特殊字符中至少3种;

2 足够长;

3 使用随机密码;

4 定期更换,不要使用最近使用过的密码;

十、useradd命令

useradd:创建用户

格式:useradd [OPTION] login

OPTION:

-u UID;

-o:配合-u选项,不检查UID的唯一性;

-g GID:指明用户所属基本组,可为组名,也可以GID;

-c "COMMENT":用户的注释信息;

-d HOME_DIR:以指定的路径为家目录;

-s SHELL:指明用户的默认shell程序,可用列表在/etc/shells文件中;

-G GROUP1 [GORUP2...]:为用户指明附加组,组必须事先存在;

-N:不创建私用组做主组,使用user组做主组;

-r:创建系统用户(centos6:ID<500,centos7:ID<1000)

eg1:useradd tom(创建用户时不设置密码系统默认不让登入,在/etc/shadow文件里用两个!!表示)

eg2:也可以用命令设置不让用户登入,usermod -L tom(加锁,不让tom用户登入);usermod -U tom(解锁),如果tom用户没有设置密码,使用-U解锁时会有个报错信息,给tom设置个密码就行了;

eg3:useradd -u 1234 zhang:创建zhang用户并制定UID;getent passwd root:查看指定用户配置文件信息(getent=cat /etc/passwd)

eg4:useradd -ou 1234 wang(不检查用户UID唯一性)

eg5:useradd -g wang li(指明用户所属组);groups li:查看用户属于哪个组

eg6: useradd -G wang,root,bin zhao(指明用户附加组)

eg7:useradd -d /testdir/zhou zhou(指明用户家目录)

ge8: useradd -s /sbin/nologin mysql(禁止用户登录)

eg9:useradd -s /bin/csh hehe(指明用户shell类型)

eg10: useradd -rs /sbin/nologin httpd(创建系统用户并禁止登陆),创建系统用户不会生成家目录;

eg11: useradd -N haha(指明不和用户名一样的组做主组,使用user做主组)

eg12: useradd -c "welcome to xix space" xixi(用户注释信息)

十一、新建用户相关文件和命令

1 /etc/skel:用户家目录的模板文件;

2 /etc/default/useradd:创建用户时的默认属性在文件中用定义;可以使用useradd -D(相当于cat /etc/default/useradd)来修改默认设置,例如:useradd -D -S /bin/csh(修改系统默认shell);

3 /etc/login.defs:定义一些密码的最小有效期、密码到期默认时间、密码最大有效期等;

4 newusers:批量创建用户,格式要和/etc/passwd配置文件一样;

4.1 vim user.txt

4.2 添加用户,如图所示:

4.3 newusers user.txt(批量创建用户)

5 chpasswd:批量修改用户口令

5.1 vim pass.txt

5.2 添加用户名和密码,格式为username:passwd,如图所示:

5.3 cat pass.txt | chpasswd(批量修改用户口令);

5.4 用刚创建的用户登录时可以登陆进去,例如:user3,但是家目录缺少一些文件,运行cp -r /etc/skel/. /testdir/user3或cp -r /etc/skel/.[^.]* /testdir/user3,退出重新登录即可;

十二、usermod命令

usermod:修改用户属性

格式:usermod [OPTION] login

OPTION:

-u UID: 新UID;

-g GID: 新基本组;

-G GROUP1[,GROUP2,...[,GROUPN]]]:新附加组,原来的附加组将会被覆盖;若保留原有,则要同时使用-a选项,表示append;

-s SHELL:新的默认SHELL;

-c ‘COMMENT‘:新的注释信息;

-d HOME: 新家目录不会自动创建,原家目录中的文件不会同时移 动至新的家目录;若要创建新家目录并移动原家数据,同时使用-m选项;

-l login_name: 新的名字;

-L: lock指定用户,在/etc/shadow 密码栏的增加 !;

-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉;

-e YYYY-MM-DD: 指明用户账号过期日期;

-f INACTIVE: 设定非活动期限;

示例:

eg:

[[email protected]]#usermod -u2017 -g wang -G root,bin -s /bin/csh -d /testdir/gentoohome -m-l gentooboom -e 2017-07-31 -f 5 gentoo

[[email protected] home]#getent passwd gentooboom

gentooboom:x:2017:1235:Gentoo dir:/testdir/gentoohome:/bin/csh

[[email protected] home]#groups gentooboom

gentooboom : wang root bin

[[email protected]]#  getent shadow gentooboom

gentooboom:!!:17378:0:99999:7:5:17378:

[[email protected] home]#usermod -G "" gentooboom  ###清空附加组

[[email protected] home]#groups gentooboom

gentooboom : wang

 十三、userdel命令

Usheredl:删除用户

格式:usheredl [OPTION]… login

OPTION:

-r:删除用户家目录;

十四、id命令

Id:查看用户相关信息;

Id [OPTION]… [user]

-u:UID

-gagged

-Groups

-name

十五、su命令

Su:切换用户或其他用户身份执行命令;

格式:so [OPTIONS…] [-] [user [rags…]]

切换用户的方式:

Su username:非登录时切换,即不会读取目标用户的配置文件,不改变当前工作目录;

Su - username:登录式切换,会读取目标用户的配置文件,切换至家目录,完全切换;

root so至其他用户无需密码,非root用户切换时需要密码;

OPTION:

-l –login:指定登录用户名

eg:so -l username 相当于so - username

十六、Passwd命令

Passwd设置密码,仅root用户权限

格式:passwd [OPTIONS] username

Passed:修改自己的密码

OPTION:

-l:锁定指定用户

-u:解锁指定用户

-e:强制用户下次登录修改密码

-n middays:指定最短使用期限;

-x maydays:最大使用期限;

-w warn days:提前多少天开始警告;

-I inactive days:非活动期限;

- -stdin:从标准输入接收用户密码;

eg:echo centos7 | passwd - -stdin username

十七、chage命令

chage:修改用户密码策略

格式:chage [OPTION]… LOGIN

OPTION:

-d LAST_DAY(上一次更改的日期)

-E: --expire date EXPIRE_DATE(账号到期日期)

-I, --inactive INACTIVE(非活动期限)

-m, --middays MIN_DAYS(密码可更改的最小天数)

-M, --maydays MAX_DAYS(保持密码有效的最大天数)

-W, --warn days WARN_DAYS(用户密码到期前,提前收到警告信息天数)

–l,显示密码策略

示例:

Change -d 0 tom 下一次登录强制重设密码

change -m 0 –M 42 –W 14 –I 7 tom

change -E 2016-09-10 tom

十八、groupadd命令

groupadd:创建组

格式:groupadd [OPTION]… group name

OPTION:

-g GID:指明GID号

-r:创建系统组;

Centos6:ID<500

Centos7:ID<1000

十九、groupmod命令

groupmod:组属性修改

格式:groupmod [OPTION]… group

OPTION:

-n group_name:新名字

-g GID:新的GID

eg1:修改组名

二十、groupdel命令

groupdel:删除组

格式:groupdel GROUP

二十一、gpasswd命令

gpasswd:更改组密码

格式:gpasswd [OPTION] GROUP

OPTION:

-a user:将user添加至指定组中;

-d user:从指定组中移除用户user

-A user1,user2…:设置有管理权限的用户列表

eg1:添加用户到组里

二十二、newgrp命令

newgrp:临时切换基本组

如果用户本不属于此组,则需要密码;

二十三、groupmems命令

groupmems:查看和更改组成员

格式:groupmems [OPTION] [action]

OPTION:

-g, --group group_name 更改为指定组 (只有root)

Actions:

-a, --add username      指定用户加入组

-d, --delete username   从组中删除用户

-p, --purge             从组中清除所有成员

-l, --list              显示组成员列表

groups [OPTION]… [USERNAME]... 查看用户所属组列表

eg1:查看组成员

eg2:向组里添加用户

eg3:删除组里的用户

eg4:删除组里所有用户

二十四、chown命令

chown:修改文件的属主和属组

格式:chown [OPTION]…[OWNER] [: [GROUP]] FILE…

用法:

OWNER

OWNER: GROUP

: GROUP

命令中的冒号可用.替换;

-R: 递归

chown [OPTION]... --reference=RFILE FILE...

二十五、chgrp命令

chgrp:修改文件的属组

格式:chgrp [OPTION]... GROUP FILE...

chgrp [OPTION]... --reference=RFILE FILE...

-R 递归

注:chown只有root才能执行;chgrp命令只有root、文件所有者执行,文件所有者可将之改为文件所有者所属的组;

二十六、文件权限

文件的权限主要针对三类对象进行定义:

owner: 属主,u

group: 属组,g

other: 其他,o

每个文件针对每类访问者都定义了三种权限:

r: Readable

w: Writable

x: executable

文件和目录各个权限含义

文件:

r: 可使用文件查看类工具获取其内容

w: 可修改其内容

x: 可以把此文件提请内核启动为一个进程

目录:

r: 可以使用ls查看此目录中文件列表

w: 可在此目录中创建文件,也可删除此目录中的文件,修改目录中的文件

x: 可以使用ls -l查看此目录中文件列表,可以cd进入此目录并且读目录内文件内容

X:只给目录x权限,不给文件x权限;前提是文件本身无x权限,有的话会加;

二十七、chmod命令

chmod:修改文件权限

chmod [OPTION]... OCTAL-MODE FILE...

OPTIOM:

-R: 递归修改权限

chmod [OPTION]... MODE [, MODE] ... FILE...

MODE:

修改一类用户的所有权限: u= g= o= up= a= u=, g=

修改一类用户某位或某些位权限 u+  u- g+ g- o+ o- a+ a-

chmod [OPTION]... --reference=RFILE FILE...

参考RFILE文件的权限,将FILE的修改为同RFILE;

权限设置示例:

chgrp sales test file

chown rotations test file

chmod u+wx, g-r, o=ax file

chmod -R g+rwX /testier

chmod 600 files

chown mage testifies

二十八、新建文件和目录的默认权限

unmask值可以用来保留在创建文件权限

新建文件默认权限:666-umask;

发现结果有奇数权限+1,偶数权限不变;

新建目录默认权限:777-umask;

非特权用户的unmask是002;

Root的unmask是022;

unmask –S 模式方式显示 ;

unmask –p 输出可被调用 ;

全局设置: /etc./basher 用户设置:~/. basher;

二十九、Linux文件系统上的特殊文件

SUID(4), SGID(2), Sticky(1)

三种常用权限:r, w, x;user group,other

前提:进程有属主和属组;文件有属主和属组

(1) 任何一个可执行程序文件能不能启动为进程:取决发起者对程序文件是否拥有执行权限

(2) 启动为进程之后,其进程的属主为发起者;进程的属组为发起者所属的组

(3) 进程访问文件时的权限,取决于进程的发起者

(a) 进程的发起者,同文件的属主:则应用文件属主权限

(b) 进程的发起者,属于文件属组;则应用文件属组权限

(c) 应用文件“其它”权限

1.可执行文件上的SUID权限

1.1 任何一个可执行程序文件能不能启动为进程:取决发起者对 程序文件是否拥有执行权限;

1.2 启动为进程之后,其进程的属主为原程序文件的属主;

1.3 SUID只对二进制可执行程序有效;

1.4 SUID设置在目录上无意义 ;

1.5 权限设定: chmod u+s FILE... chmod u-s FILE...

2.可执行文件上的SGID权限

2.1 任何一个可执行程序文件能不能启动为进程:取决发起者对 程序文件是否拥有执行权限;

2.2 启动为进程之后,其进程的属主为原程序文件的属主;

2.3 作用在二进制程序上:用户运行改程序时,自动继承该程序所属组的权限;

2.4 权限设定: chmod g+s FILE... chmod g-s FILE...

eg:

chmod g+s /bin/cat

su - wuzhongcheng

cat /etc/shadow

ll /bin/cat

ll /etc/shadow

3.目录上的SGID权限

3.1 默认情况下,用户创建文件时,其属组为此用户所属的主组;

3.2 一旦某目录被设定了SGID,则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组;

3.3 通常用于创建一个协作目录;

3.4 权限设定: chmod g+s DIR... chmod g-s DIR...

4.Sticky(粘滞)位

4.1 具有写权限的目录通常用户可以删除该目录中的任何文件,无论该文件的权限或拥有权;

4.2 在目录设置Sticky 位,只有文件的所有者或root可以删除该文件;

4.3 sticky 设置在文件上无意义;

4.4 权限设定:chmod o+t DIR... chmod o-t DIR...

例如:ls -ld /tmp

drwxrwxrwt 12 root root4096 Nov 2 15:44 /tmp

三十、设定文件特定属性

chattr +i:不能删除,改名,更改;

chattr +a:只能增加;

lsattr:显示特定属性;

三十一、访问控制列表

1. ACL:AccessControlList,实现灵活的权限管理;

2. 除了文件的所有者,所属组和其它人,可以对更多的用户设 置权限;

3. CentOS7.0默认创建的xfs和ext4文件系统有ACL功能;

4. CentOS7.X之前版本,默认手工创建的ext4文件系统无ACL 功能;

4.1 需手动增加:

tune2fs –o acl/dev/sdb1

mount –o acl/dev/sdb1  /mnt

5. ACL生效顺序:所有者,自定义用户,自定义组,其他人;

6. 为多用户或者组的文件和目录赋予访问权限rwx

mount -o acl /directory

getfacl file |directory

setfacl -m u:wang:rwx file|directory

setfacl -Rm g:sales:rwX directory

setfacl -M file.acl file|directory

setfacl -m g:salesgroup:rw file|directory

setfacl -m d:u:wang:rx  directory

setfacl -x u:wang  file |directory

setfacl -X file.acl  directory

eg1:设定特定的用户不能对文件进行访问

eg2:设定特定用户能对文件进行读和修改

eg3:查看文件设置的acl权限

eg3:删除用户acl权限

eg4:清空文件上所有acl权限

eg5:调用已写好的acl权限文件给指定文件使用(vim acl.txt)

eg6:设置默认acl权限

对文件:

对目录:

eg7:删除已写好文件的acl权限(vim acl.txt)

7. ACL文件上的group权限是mask 值(自定义用户,自定义组 ,拥有组的最大权限),而非传统的组权限;

8. getfacl 可看到特殊权限:flags;

9. 默认ACL权限给了x,文件也不会继承x权限;

10. base ACL 不能删除 ;

11. setfacl -k dir 删除默认ACL权限;

12. setfacl -b file1清除所有ACL权限 ;

13. getfacl file1 | setfacl--set-file=-file2  复制file1 的acl权限给file2;

14. mask只影响除所有者和other的之外的人和组的最大权限 Mask需要与用户的权限进行逻辑与运算后,才能变成有限的权限(Effective  Permission)

15. 用户或组的设置必须存在于mask权限设定范围内才会生效。

setfacl -m mask::rx file

示例:(与mask权限为准,只能小于或等于mask权限)

时间: 2024-10-18 15:28:16

用户、组和权限详解的相关文章

linux 之用户和组及权限详解

linux之用户和组及权限详解 权限有三种 r:可读,w:可写,x:可执行 针对文件: r:可读, 表示可使用cat等命令查看 w:可写,  表示可写或删除指定文件 x:可执行,表示在bash下可当作命令使用执行 针对目录: r:可读,可使用ls命令显示内部的所有文件 w:可写, 可以在此目录中创建文件或子目录 x:可执行,可使用cd命令切换此目录,也可使用ls -l查看内部文件 权限的表现形式: 0 000 ---:无权限 1 001 --x: 执行 2 010 -w-: 可写 3 011 -

Linux学习笔记——用户及权限详解

用户及权限详解    用户.组.权限 安全上下文(secure context): 权限: r   w   x  文件: r:可读,可以使用类似cat等命令查看文件内容: w:可写,可以编辑或删除此文件: X:可执行,exacutable,可以命令提示符下当作命令提交给内核运行:  目录: r:可以对此目录执行ls以列出内部的所有文件: w:可以在此目录创建文件: x:可以使用cd切换进此目录,也可以使用ls -l查看内部文件的详细信息: rwx: r--:只读 r-x:读和执行 ---:无权限

Linux权限详解,多用户多组各种权限配置原理

网上有太多关于Linux权限详解,这里不啰嗦那些.主要解释下这些权限是杂用的,否则知道了什么用户.组之类的权限也配不好. 一.权限分类 r:读取权限,数字代号为"4". w:写入权限,数字代号为"2". x:执行或切换权限,数字代号为"1". -:不具任何权限,数字代号为"0". linux内每一段为r+w+x的值,最大777,见下图 二.权限在何时使用 目录写权限:可以增删目录内所有内容,改文件和目录名. 目录读权限:可以l

Linux 必备技能-用户及权限详解

Linux必备技能-用户及权限详解 /etc/passwd文件 Account:password:UID:GID:GECOS:directory:shell 登录名:密码点位符:UID:GID:注释信息:家目录:用户的默认shell 用户可以加入不止一个组: 基本组 额外组,附加组 /etc/group文件: 组名:组密码定位符:GID:以逗号分隔属于此组(以之做为额外组)的用户列表 Useradd命令: -uUID -gGID: 所属的基本组 -GGID: 所属的附加组 -c'COMMENT'

第三课 第四讲03_04_Linux用户及权限详解

第三课 第四讲03_04_Linux用户及权限详解1.库和进程是同级的.进程可以获取CPU时间,内存地址,调用各种文件2.权限:定义了计算机资源和服务的访问能力叫权限3.逻辑容器,用户 关联权限就是用户组.用于指派权限,不能独立登陆 4.文件属主,文件属组,其他,5.用户和组在计算机里面就是个标识符6.进程也有属主和属组进程的安全上下文(secure context),进程属主和资源属主7.文件r,w,xr:read可读,可用使用文件查看命令cat等命令查看文件内容w:write可写.可用使用文

Linux文件或目录权限详解

版权声明: ########################################################################### 本文的所有内容均来自作者刘春凯的学习总结,未经本人许可,禁止私自转发及使用. QQ:1151887353 E-mail:[email protected] [email protected] ########################################################################

Linux文件权限详解

在Linux中的每一个文件或目录都包含有访问权限,这些访问权限决定了谁能访问和如何访问这些文件和目录. 通过设定权限可以从以下三种访问方式限制访问权限:只允许用户自己访问:允许一个预先指定的用户组中的用户访问:允许系统中的任何用户访问.同时,用户能够控制一个给定的文件或目录的访问程度.一个文件活目录可能有读.写及执行权限.当创建一个文件时,系统会自动地赋予文件所有者读和写的权限,这样可以允许所有者能够显示文件内容和修改文件.文件所有者可以将这些权限改变为任何他想指定的权限.一个文件也许只有读权限

Linux 特殊权限详解

1.什么是特殊权限? 我们知道权限有r,w,x.其实除了这三个,还有特殊权限.比如: [[email protected] ~]# ls -l /usr/bin/passwd -rwsr-xr-x 1 root root 22960 Jul 17  2006 /usr/bin/passwd 可以发现权限位,有个s.特殊权限有如下3种: SUID SGID STICKY 2.关于suid 我们知道linux有一个进程安全模型的概念,比如Tom执行passwd来进行修改密码: 第一,注意到passw

(赵小明RHCE笔记)linux基础之四 权限详解

一.special permissions for executables1.special permissions for executables:  -suid:command run with permissions of the owner of the command,not executor of   the command  -sgid:command runs with group affiliation of the group of the commandeg:file:us