用户及权限管理

 71 
 72 用户,组合权限管理
 73     
 74     multi-tasks,multi-users
 75 
 76     每个使用者:
 77         用户标识,密码;
 78 
 79     组:用户组,用户容器;
 80 
 81     用户类别:
 82         管理root
 83         普通用户:
 84             系统用户
 85             登入用户
 86 
 87         用户标识:userID,UID
 88             16bits二进制数字:0-65535
 89                 管理员:0
 90                 普通用户:1-65635
 91                     系统用户:1-499(centos6),1-999(centos7)
 92                     登入用户:500-60000(centos6),1000-60000(centos7)
 93 
 94             名称解析:名称转换
 95                 username <-> UID
 96                 根据名称解析库进行: /etc/passwd
 97     组:    
 98         组类别1:
 99             管理员组
100             普通用户组
101                 系统组
102                 登入组
103             组标识:GroupID,GID
104                 管理员组:0
105                 普通用户:1-65635
106                     系统用户:1-499(centos6),1-999(centos7)
107                     登入用户:500-60000(centos6),1000-60000(centos7)
108             名称解析:groupname <-> gid
109                 解析库: /etc/group
110         组类别2:
111             用户的主/基本组
112             用户的附加组
113         组类别3:
114             私有组:组名同用户名,且包含一个用户;
115             公共组:组内包含了多个用户;
116     认证信息:
117         通过比对事先存储的与登录是提供的信是否一致;
118         password:
119             /etc/shadow
120             /etc/gshadow
121         密码使用策略:
122             1.使用随机密码
123             2.最短长度不要低于8位
124             3.应该使用大小字母,数字和标点符号混合密码
125             4.定期更换
126         加密算法:    md5,sha
127             对此加密:加密和解密使用一个密码
128             非对称加密:加密和解密所有的一对儿密钥
129                 密钥对儿:公钥,私钥;
130             单向加密:只能加密,不能解密;提取数据特征码;
131                 定长输出;雪崩效应;
132 
133     /etc/passwd: 用户的信息库
134         name:passwd:UID:GID:GECOS:directory:shell
135 
136         name: 用户名
137         password:可以是加密的密码,也可是占位符x
138         UID: 用户ID，用来标识每个用户的唯一标示符
139         GID: 组ID，用来标识用户组的唯一标识符
140         GECOS:
141         directory:
142         shell:
143 
144     /etc/shadow : 用户密码信息
145     用户名:加密的密码:最近一次修改密码时间:最短使用期限:最长使用期限:警告期段:过期期限:保留字段
146 
147     /etc/group : 组的信息库
148         group_name:password:GID:user_list
149             user_list:该组的用户成员;以此组为附加组的用户的用户列表;
150 
151 相关命令:useradd,userdel,usermod,passwd,groupadd,groupdel,groupmod,gpasswd,chage,chsh,id,su
152 
153 groupadd: 创建组
154      groupadd [options] group
155          -g GID:指定GID;默认是上一个组的GID+1;
156          -r : 创建系统组;
157 groupdel: 删除组
158 groupmod:修改组属性
159     -g GID: 修改GID
160     -n new_name: 修改组名;
161 
162 useradd:创建用户
163     useradd [options] LOGIN
164         -u,--uid UID :指定UID;
165         -g,--gid GROUP: 指定基本组ID,此组得事先存在;
166         -G,--group GROUP1[,GROUP2,...[,GROUPN]]] : 指定用户所属组得附加组,多个组用逗号分隔;
167         -c, --comment COMMENT : 指明注释信息;
168         -d, --home HOME_DIR : 指定的路径为用户的家目录;通过复制/etc/skel此目录并重命名实现;指定的家目录路径如果事先存在,则不会为用户复制环境配置文件;
169         -s, --shell SHELL : 指定用户的默认shell,可用的所有shell列表存储在/etc/shells文件中;
170         -r, --system : 创建系统用户;
171         -M, --no-create-home: 不用创建用户的家目录;
172     注意:创建用户时的诸多默认设定配置文件为/etc/login.defs
173 
174     useradd -D : 显示创建用户的默认配置;
175     useradd -D 选项 : 修改默认选项的值;
176         修改结果保存于/etc/default/useradd文件中;
177 
178 usermod命令: 修改用户属性
179     usermod [选项] 登录
180         -u,--uid UID : 修改用户的ID为此处指定的新UID;
181         -g,--gid GROUP: 修改用户所属的基本组;
182         -G,--groups GROUP1[,GROUP2,...[,GROUPN]]] :修改用户所属的附加组;原来的附加组会被覆盖;
183         -a,append : 与-G一同使用,用于为用户追加新的附加组;
184         -c, --comment COMMENT : 修改注释信息;
185         -d, --home HOME_DIR : 修改用户的家目录; 用户原有的文件不会被转移至新位置;
186         -m,--move-home : 只能与-d选项一同使用,用于将原来的家目录移动为新的家目录;
187         -l,--login NEW_login:修改用户名;
188         -s,--shell SHELL : 修改用户的默认shell;
189         -L,--lock:锁定用户密码;即在用户原来的密码字符串之前添加一个"!";
190         -U,--unlock : 解锁用户的密码;
191 userdel命令: 删除用户
192     userdel [option] 登录
193         -r:删除用户时一并删除其家目录;
194         例如:
195         userdel linuxde       //删除用户linuxde，但不删除其家目录及文件；
196         userdel -r linuxde    //删除用户linuxde，其家目录及文件一并删除
197 
198 实操:
199     1.创建用户gentoo,UID为4001,基本组为gentoo,附加组为distro(gid为5000)和peguin(gid为5001);
200         groupadd distro -g 5000
201         groupadd peguin -g 5001
202         useradd gentoo -u 4001 -G distro,peguin
203     2.创建用户fedro,其注释信息为fedoro core,默认shell为/bin/tsch;
204         useradd fedro -c "fedoro core" -s /bin/tsch
205     3.修改gentoo用户的家目录为/var/tmp/gentoo:要求其原有文件仍能被用户访问;
206         usermod -d /var/tmp/gentoo -m gentoo
207     4.为gentoo新增附加组netadmin;
208         usermod  -a -G netadmin gentoo
209 
210 passwd命令:
211     passwd  [-k]  [-l] [-u [-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warn‐
212        days] [-i inactivedays] [-S] [--stdin] [username]
213 
214        (1) passwd : 修改用户自己的密码;
215        (2) passwd username : 修改指定用户的密码,但仅root有此权限;
216                -l,-u : 锁定和解锁用户;
217                -d : 清除用户密码串;
218                -e date : 过期期限,日期;
219                -i days :非活动期限;
220                -n days : 密码的最短使用期限;
221                -x days : 密码的最长使用期限;
222                -w days : 警告期限;
223 
224                --stdin: 
225                    用法:echo "password" | passwd --stdin username
226 gpasswd命令:
227     组密码文件: /etc/gshadow
228 
229     gpasswd [选项] group
230         -a usename : 向组中添加用户
231         -d usename : 从组中移除用户
232 
233 newgrp命令: 临时切换指定的组为基本组;
234     newgrp [-] [group] 
235      -: 会模拟用户重新登录以实现重新初始化其工作环境;
236 
237 chage命令:更改用户密码过期信息
238     chage [option] 登录名
239         -d
240         -E
241         -w
242         -m
243         -M
244 
245 id命令: 显示用户真实和有效id;
246     id [OPTION]... [USER]
247         -u : 仅显示有效的uid
248         -g : 仅显示用户的基本组id
249         -G : 仅显示用户所属的所有组的id;
250         -n : 显示名字而非id;
251 
252 su命令: switch user
253      登录式切换: 会通过读取目标用户的配置文件来重新初始化
254          su -, -l, --login username
255      非登录式切换:不会读取目标用户的配置文件进行初始化
256          su username
257          注意:管理员可无密码切换至其他任何用户;
258 
259      -c 'cmd' : 仅以指定用户的身份运行此处指定的命令;
260 
261 其他几个不常用命令:chsh chfn finger whoami
262 命令总结:groupadd,groupdel,groupmod,useradd,usermod,userdel,passwd,gpasswd,newgrp,id,su,chage
263 
264 
265 权限管理:
266      ls -l ,ll
267          rwxrwxrwx:
268              左三位: 定义user(owner)的权限
269              中三位: 定义group的权限
270              右三位: 定义other的权限
271 
272     进程安全上下文:
273         进程对文件的访问权限应用模型:
274             进程的属主与文件的属主是否相同;如果相同,则应用属主权限;
275             否则,则检查进程的属主是否属于文件的属组;如果是则应用属组权限;
276             否则,就只能应用other的权限;
277     权限:
278         r: readable,读
279         w: writable,写
280         x: excutable,执行
281 
282         文件:
283             r:可获取文件的数据;
284             w:可修改文件的数据;
285             x:可将此文件运行为进程;
286         目录:
287             r:可使用ls命令获取其下的所有文件列表;
288             w:可修改此目录下的文件列表;即创建或删除文件;
289             x:可cd至此目录,且可使用ll 来获取所有文件的详细信息;
290 
291 权限管理命令:
292     chmod命令:
293         chmod [OPTION]... MODE[,MODE]... FILE...
294            chmod [OPTION]... OCTAL-MODE FILE...
295            chmod [OPTION]... --reference=RFILE FILE...
296 
297            三类用户:
298                u:属主
299                g:属组
300                o:其他
301                a:所有
302 
303         (1) chmod [OPTION]... MODE[,MODE]... FILE...
304                mode表示法:
305                    赋权表示法:直接操作一类用户的所有权限位rwx;
306                        u=
307                        g=
308                        o=
309                        a=
310                    授权表示法:直接操作一类用户的一个权限位r,w,x;
311                        u+,u-
312                        g+,g-
313                        o+,o-
314                        a+,a-
315            (3) chmod [OPTION]... --reference=RFILE FILE...
316                    引用某个文件RFILE的权限,修改为file的权限;
317 
318            选项:
319                -R,--recursive: 递归修改;
320 
321 从属关系管理命令:chown,chgrp
322     chown命令:
323         chown [OPTION]... [OWNER][:[GROUP]] FILE...
324            chown [OPTION]... --reference=RFILE FILE...
325 
326            选项:
327                -R: 递归修改
328 
329     chgrp命令:
330         chgrp [OPTION]... GROUP FILE...
331            chgrp [OPTION]... --reference=RFILE FILE...
332 
333 思考: 用户对目录有写权限,但对目录下的文件没有写权限时,能否修改此文件内容?能否删除此文件?
334 
335 umask: 文件的的权限反向掩码,遮掩码;
336     文件: 
337         666-umask
338     目录:
339         777-umask
340 
341     注意: 之所以文件用666去减,表示文件默认不能拥有执行权限;
342         umask: 023  默认022
343             666-023=643+1=644
344             777-023=754
345 
346     umask命令:
347         umask: 查看当前umask
348         umask MASK: 设置umask
349 
350     注意:此类设定仅对当前shell进程有效(通过命令进行的都是仅对当前shell有效);
351 
352 实操:
353     1.新建系统组mariadb,新建系统用户mariadb,属于mariadb组,要求其没有家目录,且shell为/sbin/nologin;尝试root切换至用户,查看命令提示符;
354         useradd -M -r -s /sbin/nologin mariadb
355     2.新建GID为5000的组mageedu,新建用户gentoo,要求其家目录为/users/gentoo,密码同用户名;
356         groupadd -g 5000 mageedu
357         useradd -d /users/gentoo gentoo
358         echo gentoo | passwd --stdin gentoo
359     3.新建用户fedora,其家目录为/users/www;密码同用户名;
360         useradd -d /users/www fedora
361         echo gentoo | passwd --stdin fedora
362     4.新建用户www,其家目录为/users/www;删除www用户,但保留其家目录;
363         useradd -d /users/www www
364         userdel www
365     5.为用户gentoo和fedora增附加组megeedu;
366         groupmod mageedu
367         usermod -G megeedu gentoo
368         usermod -G megeedu fedora
369     6.复制目录/var/log至/tmp/目录,修改/tmp/log及其内部的所有文件的属组为mageedu,并让属组对目录本身拥有写权限;
370         cp /var/log /tmp/ 
371         chown -R :mageedu /tmp/log
372         chmod g+w /tmp/log
373 
374 install命令:
375         单源复制:
376             install [OPTION]... [-T] SOURCE DEST
377           多源复制:
378               install [OPTION]... SOURCE... DIRECTORY
379               install [OPTION]... -t DIRECTORY SOURCE...
380           创建目录:
381               install [OPTION]... -d DIRECTORY...
382 
383           常用选项:
384               -m,--mode=MODE : 设定目标文件权限,默认为755;
385               -o,--owner=OWNER: 设定目标文件属主;
386               -g,--group=GROUP: 设定目标文件属组;
387 
388 mktemp命令:
389     NAME
390        mktemp - create a temporary file or directory
391 
392     SYNOPSIS
393            mktemp [OPTION]... [TEMPLATE]
394 
395     例如:         
396         myfile=$(mktemp /tmp/mytmp.xxx)
397     常用选项:
398         -d: 创建临时目录
399 
400     注意:mktemp会创建的临时文件名直接返回,因此,可直接通过命令引用保存起来;
 
 

Linux系统上的特殊权限

	特殊权限: SUID,SGID,STICKY

	安全上下文:
		1.进程以某一户的身份运行;进程是发起此进程的用户的代理，因此以此用户的身份和权限完成所有操作;
		2.权限匹配模型:
			(1)判断进程的属主是否为被访问文件的属主，如果是，则应用属主的权限;否则,进入第2步;
			(2)判断进程的属主是否属于被访问的文件的属组，如果是，则应用属组的权限;否则,进入第3步;
			(3)应用其他权限;
	SUID:
		默认情况下:用户发起的进程，其属主是发起者。因此，进程以发起者的身份在运行
		
		SUID的功用：用户运行某程序时，如果此程序拥有SUID权限，那么此程序运行为进程时，进程的属主不是发起者，而是程序文件自己的属主

		管理文件的SUID权限:
			设置SUID：chmod u+s FileName
			取消SUID：chmod u-s FileName
			
			展示位置:属主的执行权限位
				如果属主原本有执行权限，显示为小写s
				如果属主原本没有执行权限，显示为大写S
	SGID:
		功用:当目录属组有写权限,且有SGID权限时,那么所有属于此目录的属组,且以属组身份在此目录中新建文件或目录时,新文件的属组不是用户的基本组,而是此目录的属组;

		管理文件sgid权限:
			chmod g+ | -s file...

		展示位置:属主的执行权限位
				如果属组原本有执行权限，显示为小写s
				如果属组原本没有执行权限，显示为大写S
	STICKY:
		功用:对于属组或全局可写的二目录,组内的所有用户或系统上的所有用户对此目录中都能创建新文件或删除所有的已有文件;如果为此类目录设置sticky权限,则每个用户能创建新文件,且只能删除自己的文件;

		管理文件sticky权限:
			chmod o+ | -t file...

		展示位置:属主的执行权限位
				如果属组原本有执行权限，显示为小写s
				如果属组原本没有执行权限，显示为大写S

	系统上的/tmp和/var/tmp目录默认均有sticky权限;

管理特殊权限的另一种方式:
	suid sgid sticky  	八进制权限
				0 0 0 	0
				0 0 1 	1
				0 1 0 	2
				0 1 1   3
				1 0 0   4
				1 0 1	5
				1 1 0   6
				1 1 1   7
	基于八进制方式赋权时,可于默认的三位八进制数字左侧再加一位八进制数字;
		例如:
			chmod 1777

facl: file access control lists
	
	文件的额外赋权机制:
		在原来的u,g,o之外,另一层让普通用户能控制赋权给另外的用户或组的赋权机制;

	getfacl命令:
		getfacl file
			user:username:mode
			group:groupname:mode
	setfacl命令:
		赋权给用户:
			setfacl -m u:username:mode file...
		赋权给组:
			setfacl -m g:groupname:mode file...
		撤销赋权:
			setfacl -x u:username file...
			setfacl -x g:groupname file...