5.linux帐号管理与权限设定

/etc/passwd

/etc/group

/etc/shadow

/etc/gshadow

/etc/default/useradd

/etc/login.defs

/etc/kel/*

/etc/pam.d/passwd         -----PAM密码管理机制所在的位置

/etc/skel          ----home目录基准参考目录

/etc/sudoers        ----该档案中记录着可以执行sudo命令的帐号

1. 修改/etc/passwd中的帐号信息会导致文档属性无法显示拥有者的姓名，取而代之的是UID，因为系统无法在/etc/passwd找到对应用户的-

           b. 通过修改/etc/passwd第7栏的信息来改变默认home目录(usermod)，对我个人很实用;或者通过修改地8栏给用户一个登录后的默认sheel

           c./sbin/nologin这个sheel可以让用户在不获得sheel环境，可以用来做为纯pop邮件帐号

    

        /etc/passwd文件解析[1-1][11-2][1-3]

        /etc/shadow 9个字段的含义 [1-4,5,6]

        找回丢失的密码 [1-7]

4. 关于群组：有效群组，与初始群组，groups,newgrp

        /etc/group                ----[1-8]

    $ useradd -m  yxl         ----创建行用户yxl并自动长生主目录/home/yxl(普通用户)

    $ sudo passwd yxl truman      ----创建帐号密码

    $ sudo usermod -s /bin/bash yxl       ----修改yxl的登录sheel为/bin/bash(默认是/bin/sh)   

    $ sudo grep yxl /etc/passwd /etc/group /etc/shado

                    /etc/passwd:yxl:x:999:999::/home/yxl:/bin/bash

                    /etc/group:yxl:x:999:

                    /etc/shadow:yxl:$6$oVhKiz3G$AWIETaQnyPd4pKME/XYfOBWlHJSBDJLjFLCc.01Jd8zx4xreNnlYTkvK8

                    B.OJHx6QdItzTis1p/4LYhx7EhFx.:16023::::::

    $ sudo  usermod -G  anderson yxl       -----将yxl加到anderson组中

    $ sudo  usermod -G  sudo yxl              ----将yxl附加到sudo组中 

    $ groups                 ----查看当前用户支持的群组（第一个是有效群组）

    $ newgrp  adm        ----切换到adm这个群组为有效群组(现在创建的新文档将属于当前用户，并属于当前有效群组)

        /etc/gshadow       ----[1-9]

    实战：

            1.默认方式建立用户

            $ useradd vbird1           ----[1-10]

            $ sudo passwd vbird1   ----设置密码

            2.-u /-g

            $ useradd -u 700 -g users vbird2          ----初始群组为users，初始UID为700,建立用户vird2

            3.-c

            $ useadd -r bird3         ----不会主动建立家目录

            4.useradd参考档：查看useradd的默认情况[1-11]

                    GROUP=100

                    HOME=/home

                    INACTIVE=-1

                    EXPIRE=

                    SHELL=/bin/sh

                    SKEL=/etc/skel

                    CREATE_MAIL_SPOOL=no           ----==no时不会在/var/spool/mail下建立文档

            5.UID/GID默认参考档:/etc/login.defs

                [1-12,14]

5.使用standard input建立用户的密码

        $ sudo echo "truman"  | passwd --stdin vbird1             ----[1-15]

6.passwd命令 /etc/passwd    /etc/pam.d/passwd    /etc/shadow

    $ sudo passwd -S yxl                ----查看yxl的帐号情况

    $ sudo passwd -x 60  -i 10 yxl         ----60天变更，10天失效密码过期设置

    $ sudo passwd -l yxl          ----将yxl这个账户锁定(会因为系统无法正确读取shadow中的密码字段而无法登录)        

    $ sudo grep yxl /etc/shadow              ----查看什么发生了变化

        yxl:!$6$oVhKiz3G$AWIETaQnyPd4pKME/XYfOBWlHJSBDJLjFLCc.01Jd8zx4xreNnlYTkvK

        8B.OJHx6QdItzTis1p/4LYhx7EhFx.:16023::60::10::

    $ sudo passwd -u yxl    

        passwd：密码过期信息已更改。

    $ sudo grep yxl /etc/shadow

        yxl:$6$oVhKiz3G$AWIETaQnyPd4pKME/XYfOBWlHJSBDJLjFLCc.01Jd8zx4xreNnlYTkvK

        8B.OJHx6QdItzTis1p/4LYhx7EhFx.:16023::60::10::

7.chage命令 [1-18]

    $ sudo chage -l yxl       ----查看yxl的详细密码属性信息（比passwd -S好用多了）

    

    案例1：给别人一个初始密码，当该用户登录是必须修改密码，否则无法登录

    $ sudo useradd nemo

    $ sudo echo "yxl694852" | passwd --stdin nemo(ubuntu不支持)    or $ sudo passwd nemo

    $ sudo sudo chage -d 0 nemo 

8.usermod[1-16]

    案例一：修改yxl的说明栏

    $ sudo usermod -c "MyGirl" yxl

    $ grep yxl /etc/passwd

    案例二：设置yxl的密码在2100年失效

    $ sudo usermod -e "2100-01-01" yxl

    案例 三：给已经创建的nemo账户一个home目录

    $ ll -d ~nemo

    $ sudo cp -a /etc/skel/  /home/nemo      ---将/etc/skel复制过来作为/home/nemo

    $ sudo chown -R nemo:nemo  /home/nemo        ----改变其拥有者和所属组

    $ sudo chmod 700 /home/nemo           ----改变目录的权限

9.userdel [1-17]

    注意：如果只是暂时不想让该用户存在，可以考虑将密码帐号有效剩余天数（/etc/shadow）设为0或者$ sudo passwd -d username删掉密码

    只有确定可以完全清楚哦某个账户时 才考虑userdel     

    $ find / -user vbird1        ---全盘查找属于vbird1的档案

    $ sudo userdel -r vbird1             ----连同vbird1的home目录一起清除    

10.finger [1-19]

    案例一：

    $ finger anderson     ----观察anderson帐号相关属性

                   Login: anderson      Name: anderson

                    Directory: /home/anderson          Shell: /bin/bash

                    On since Fri Nov 15 00:54 (CST) on tty7 from :0

                        1 hour 4 minutes idle

                    On since Fri Nov 15 00:54 (CST) on pts/1 from :0

                       1 second idle

                    No mail.

                    No Plan.

    案例二：建立自己的计划档

    $ echo   "I will go to BeiJIng the day after tomorrow." > ~.plan           ----不知道为什么我的机器上没有~/.plan   ~./project   ~/.pgpkey

    

    案例三：目前登录的用户与登录时间

    $ finger 

    

11.chfn:修改i/添加个人属性信息

12.chsh :change sheel

      案例一：用anderson的身份列出系统上所有合法的sheel,并制定/bin/sh为自己的sheel       

      $ chsh -l        <==>     $ cat /etc/shells                   ----ubuntu上没有-l 参数

      案例二：修改当前用户的hshell

      $ chsh -s /bin/rbash;grep anderson /etc/passwd                <==>        $ sudo usermod -s /bin/rbash anderson

13.id :查看某人或自己的UID/GID等信息，还可以用来判断有没有某个用户

      $ id      <==>    $ who am i | id    ----查看当前用户的信息

      $ id yxl          ----查看yxl的UID/GID等信息

14.groupadd,    groupmod,    groupdel,    gpaasswd

---

    groupadd  

    案例一：新建一个群组

    $sudo  groupadd webteam

    $sudo  grep webteam /etc/group  /etc/shadow

                /etc/group:webteam:x:1002:

                /etc/gshadow:webteam:!::

---

    groupmod

    注意：不要随便更改GID

    案例二：将案例一新建的webeam组名改为myteam,GID改为

    $ sudo groupmod -g 139 -n myteam webteam 

    $ sudo grep myteam /etc/group  /etc/gshadow

                /etc/group:myteam:x:139:

                /etc/gshadow:myteam:!::

---

    groupdel

    注意：如果该组中还有其他帐号则无法顺利删除（可以先更改帐号的GID或者删除那个帐号）

    案例三：删除刚刚建立的群组

    $ sudo groupdel myteam    

---

    gpasswd

    案例四：建立一个新的群组myteam，交给yxl管理（群组管理员）

    $ sudo groupadd -g 139 myteam        ----建立群组myteam,GID为139（勤人坡）

    $ sudo gpasswd myteam            ----设置群组密码（truman）

    $ sudo gpasswd -A yxl myteam         ----将yxl添加为myteam的群组管理员

    $ su yxl          ----却换到yxl

    $ gpasswd -a anderson myteam           ----用易小丽的身份将anderson加为myteam的群组组员

    $ grep myteam /etc/group        ----查看

---

     帐号管理实战：

    案例一：新建一个群组mathwebteam,然后提供一个项目的开发目录，帐号信息如下

帐号	帐号备注	支援次要群组	是否可以登录主机	passwd
neo	the boss	mathwebteam	yes	truman
xk	the crew	mathwebteam	yes	truman
yl	the crew	no	no	truman

       一：建立群组

        $ sudo groupadd mathwebteam 

        二：建立帐号

        $  sudo useradd -G mathwebteam -c "the caption" neo

        $  sudo useradd -G mathwebteam -c "the crew" xk

        $  sudo useradd -c "the crew" -s /sbin/nologin yl

        三：给帐号设置密码

        $  sudo passwd neo

        $  sudo passwd yxl

        $  sudo passwd xk

        四：建立项目目录

        $ sudo mkdir /srv/project

        $ sudo chgrp mathwebteam /srv/project

        $ sudo chmod  2770 /srv/project

        $ ll -d /srv/project

        五：让anderson具备对/srv/project rx的权限（acl应用）

        测试yl能否进入/srv/project

        $ su anderson         ----切换

        $ cd  /srv/project          ----不行

                 bash: cd: /srv/project/: 权限不够

        #$ sudo setfacl -m u:anderson:rx   /srv/project          ----让anderson对/srv/project具备rx的权限

        $ sudo setfacl -m d:u:anderson:rx   /srv/project          ----让anderson对/srv/project及其地下的所有文件都具备rx的权限

        $ cd /srv/priject                  ----现在anderson已经可以进入/srv/project中了

        $ touch te       ----anderson仍然不具备w的权限

        $ getfacl /srv/project

                # file: srv/project/

                # owner: root

                # group: mathwebteam

                # flags: -s-

                user::rwx

                user:anderson:r-x         ----增加了anderson的权限

                group::rwx

                mask::rwx

                other::---

                    

---

15.acl(access control list)

---

        一：查看我的机器是否支持acl

        $ mount | grep acl           ----我的ubuntu没有查到任何信息

        $ sudo dumpe2fs -h /dev/sda9 | grep acl   ----通过产看根目录（我的ubuntu的根目录在/dev/sda9）的超级块来看看有没有acl的信息

                     dumpe2fs 1.42.8 (20-Jun-2013)

                     Default mount options:    user_xattr acl          ----看来我的ubuntu默认支持acl

        如果不支持可以执行以下命令是系统的文件系统支持：

       $ sudo mount -o remount,acl /

       [sudo] password for anderson: 

       $ mount |grep acl

        /dev/sda9 on / type ext4 (rw,errors=remount-ro,acl)

        二：acl的使用技巧

           setfacl     [1-20]

            案例一：在test中创建一个文档acl_test1并使用setfacl对acl_test1的权限进行设置

            $ mkdir /home/anderson/test

            $ touch /home/anderson/test/acl_test1

            $ setfacl -m u:yxl:rwx acl_test1              ----使yxl具备rwx权限

            $ ll -d acl_test1 

                -rw-rwxr--+ 1 anderson anderson 0 11月 16 14:14 acl_test1*

            $ setfacl -m u::rwx acl_test1 

            $ ll -d acl_test1 

                -rwxrwxr--+ 1 anderson anderson 0 11月 16 14:14 acl_test1*

    

            $ getfacl acl_test1         ----查看acl_test1档案的acl属性

                        # file: acl_test1

                        # owner: anderson

                        # group: anderson

                        user::rwx

                        user:yxl:rwx

                        group::r--

                        mask::rwx

                        other::r--

            $ setfacl -m g:myteam:rx acl_test1       ----给myteam这个群组rx权限

            $ getfacl acl_test1                               ----查看acl_text1这个的档案的acl权限设置

                        # file: acl_test1

                        # owner: anderson

                        # group: anderson

                        user::rwx

                        user:yxl:rwx

                        group::r--

                        group:myteam:r-x                    ----多了这个群组的权限设定

                        mask::rwx

                        other::r--

            针对有效权限mask的设置

            $ setf -m m:r     acl_test1          ----针对acl_test1设置mask（权限上限）为r,这样acl设置最高权限只有r

    三：帐号的切换

            su

            $ su               ----切换为root账户，变量设定方式为no-login shell，环境变量不会改变

            $ su -            ----以login shell的方式切换为root

            $ su -c "head -n 3 /etc/shadow"               ----切换为root执行一条命令，执行完毕后马上切换回来

            $ su -l yxl    or      $ su yxl            ----切换到yxl这个普通用户

            

            sudo

            $ sudo -u yxl touch /home/yxl/sudotest        ----使用yxl帐号建立sudotest

            $ sudo -u yxl sh -c "mkdir ~yxl/www;cd ~yxl/www; echo 'This is index.html file' "   -----一串指令

            visudo和/etc/sudoers   [1-21]

            案例一：让yxl可以通过sudo切换为root，限制仅可以使用passwd帮助anderson修改帐号的密码，但不能修改anderson的密码

            $ sudo visudo 

                    yxl ALL=(root) !/usr/bin/passwd,/usr/bin/passwd [a-zA-Z]*,!/usr/bin/passwd anderson,!/usr/bin/passwd root

            案例二：针对案例一优化，以一种更加有弹性更易扩展维护的方式设置[1-23]

            $ sudo visudo

                    #User_Alias and Cmnd_Alias

                    User_Alias ADMPW =yxl,yl   #这次添加两个助手

                    Cmnd_Alias ADMPWCOM=!/usr/bin/passwd,/usr/bin/passwd [a-zA-Z]*,!/usr/bin/passwd anderson,!/usr/bin/passwd root 

                    ADMPW  ALL=(root) ADMPWCOM

             案例三：sudo 搭配su实现普通帐号在不知道root密码的情况下使用root身份进行工作(sudo su -)

            注意：仅在这些帐号您都十分信任的情况下

            $ sudo visudo

            User_Alias ADMINS=user1,user2,user3

            ADMINS ALL=(root) /bin/su -

四.用户的特殊shell与PAM模块

           1： nologin shell :我的ubuntu的nologin shell为/usr/sbin/nologin，而且我没在/etc/下找到nologin.txt，新建了一个也不起作用

           2：passwd呼叫PAM接口的过程[1-24]

以下的学习平台更换为centos 6.4 on vmware 10.0.1

           3：PAM控制旗标所造成的回报流程[1-25]

           4：centos 6的PAM预设档案

                         /etc/pam.d/login             ----登入系统执行的pam验证流程

                         /etc/pam.d/ststem-auth        ----被多次呼叫

                        /etc/pam.d/*                          ----各个程序的pam配置文件

                        /etc/security/*                 ----其它环境的pam配置文件