用户、组和权限

理解linux的安全模型

理解用户账号和组群账号的目的

用户和组管理命令

理解并设置文件权限

默认权限

特殊权限

ACL

安全3A

• 资源分派

  Authentication : 认证
  Authorization : 授权
  AccoutingAudition : 审计

1. 用户user

• 令牌token，identity

  linux用户：Username/UID  
  管理员：root,0  
  普通用户：1-60000 自动分配  
  系统用户：1-499.1-999（Centos7）  
  对守护进程获取资源进行权限分配  
  登录用户：500+，1000+(Centos7)  
  交互式登录

2. 组 group

• 目的是为了授权
• gid 只是当前工作主工作组的展示， 而groups 包含了用户所在的所有组。

  Linux组：Groupname/GID
  管理员组：root,0
  普通组：
  系统组：1-499,1-999(centos7)
  普通组：500+，1000+(cenos7)

3. 安全上下文

Linux安全上下文
    运行中的程序：进程(procees)
    以进程发起者的身份运行：
        root：/bin/cat
        mage: /bin/cat
    进程所能够访问资源的权限取决于进程的运行者的身份

4. 用户和组的配置文件

Linux用户和组的主要配置文件：
    /etc/passwd:用户及其属性信息（名称、UID、主组ID等）
    /etc/group:组及其属性信息
    /etc/shadow:用户密码及其相关属性
    /etc/gshadow:组密码及其相关属性

passwd文件格式

login name: 登录用名
passwd:     密码(x)
UID:        用户身份编号(1000)
GID:        登录默认所在组编号(1000)
GECOS:      用户全名或注释
home directory:用户主目录(/home/wang)
shell:      用户默认使用shell(/bin/bash)

• nologin shell 表示不能登陆 作为系统账户，给程序用

• /etc/shadow中

  $1:md5加密算法   182bit
  $6:sha512加密算法  512bit 
  $...$ 表示盐(salt)

• shadow 文件格式：

  例：adong:$6$ThMn8HCsKSBbE0cr$rgsHimcyDkKyEcyZpRwBb3.HY59HJXTFJs/bUC93QuTaZm716AnlE6f5.NMX.weqPakNeotfGQilpwjImvYV4/::0:99999:7:::
  
  登录用名
  用户密码：一般用sha512加密
  从1970年1月1日起到密码最近一次被变更的时间
  密码再过几天可以被变更(0表示随时可以变更)
  密码再过几天必须被变更(9999表示永不过期)
  密码过期前几天系统提醒用户(默认为一周)
  密码过期几天后账号会被锁定
  从1970年1月1日算起，多少天后失效

• openssl rand -base64 12 生成base64编码随机口令
• 在cat /etc/login.defs文件中 定义了加密算法

文件操作

vipw =vi /etc/passwd   检查文件格式是否正确
    -s 更改shadow
vigr = vi /etc/group 
     -s 更改gshadow 

pwck 检查/etc/passwd文件格式
grpck 检查/etc/shadow 和 /etc/gshadow文件格式

5. 用户和组管理命令

新用户的相关文件和命令

/etc/skel            为新建目录的模板文件夹
/etc/login.defs      账号配置文件
/etc/default/useradd 定义新建账户模板

newusers passwd格式文件 批量创建用户

格式：user1:x:2000:2000:test user1:/home/user1:/bin/csh
创建users文件 users.txt
newusers users.txt 可以批量创建用户

chpasswd 批量修改用户口令

格式：user1：passwd1
      user2：passwd2
创建用户密码文件 passwd.txt
cat passwd.txt | chpasswd 将用户密码输出

• getent passwd|shadow|group|gshadow adong 查看用户信息

6. 用户管理命令

• 用户创建：useradd

  useradd [OPTINON] LOGIN
  -u 指定用户的UID
  -d 指定家目录的位置
  -c 指定备注的内容
  -s 指定shell程序文件名
  -G 指定用户加入某个普通组
  -g 指定用户的私有组(群组)
  -r 创建系统用户(服务账户)
  -M 不创建用户的家目录
  -m 创建用户的家目录（默认）
  -e 2014/7/25 用户过期时间
  -o 配合-u选项，不检查UID的唯一性
  例：useradd cyy -d /home/abc -c huaidan -u 2000  -s /sbin/nologin
               指定家目录      备注   指定uid    指定 shell

  默认值设定：/etc/default/useradd
  显示或更改默认设置
  useradd -D
  useradd -D -s SHELL  (bin/bash)
  useradd -D -b BASE_DIR (/home/file)
  useradd -D -g GROUP  (组)

• 用户属性修改：usermod

  usermod [OPTION] login
  -u UID:修改用户ID
  -g GID:修改用户所属的组
  -s SHELL：新的默认SHELL
  -c ‘COMMENT‘:新的注释信息
  -d HOME:新家目录不会自动创建；若要创建新家目录并移动原家目录数据，同时使用-m选项
  -(a)G 修改用户所属的附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a选项
  -l login_name:新的名字(为用户更改登录名称)
  -L lock指定用户，在/etc/shadow 密码栏的增加‘!‘   (锁定用户)
  -U unlock指定用户，将/etc/shadow 密码栏的‘!‘拿掉  (解锁用户)
  -e YYYY-MM-DD:指明用户账号过期日期
  -f INACTIVE 设定非活动期限

• 删除用户：userdel

  userdel[OPTION]...login
  -r: 删除用户家目录

• 删除用户附加组

  usermod -G "" username  
  usermod -G GROUP username 覆盖组

7. 组账号维护命令

• 创建组：groupadd

  groupadd [OPTION] ...group_name
    -g GID  指明GID号；[GID_MIN,GID_MAX]
    -r      创建系统组
            CentOS6：ID<500
            Centos7: ID<1000

• 修改组：groupmod

  groupmod [OPTION]...groupmod
      -n group_name  改组名
      -g  GID:新的GID

• 删除组：groupdel

  groupdel GROUP
  如果为用户的私有组，则在用户删除之前，无法删除组

• 更改组密码：gpasswd

gpasswd[option]group
    -a user 将user添加至指定组中
    -d user 从指定组中移除用户user
    -A user1,user2,... 设置有管理权限的用户列表
newgrp:临时切换主组
    如果用户本身不属于此组，则需要组密码

更改和查看组成员 groupmems

groupmems [options] [action]
options:
  -g,--group groupname 更改为指定组(只有root)
  -R，--root CHROOT_DIR 
Actions:
  -a,--add username 指定用户加入组
  -d,--delete username 从组中清除成员
  -p,--purge 从组中清除所有成员
  -l,--list 显示组成员列表

groups [OPTION].[USERNAME]...查看用户所属列表

示例：
查看有哪些用户属于sales组
# groupmems -g sales -l
linda  lisa 

从sales组中删除lisa
# groupmems -d lisa -g sales
# groupmems -g sales -l
linda

添加用户到组里
# id lxj2
uid=1002(lxj2) gid=0(root) groups=0(root)
# groupmems -a lxj2 -g sales
# id lxj2
uid=1002(lxj2) gid=0(root) groups=0(root),1238(sales)

也可以使用usermod命令将用户添加到组里：
usermod-AG将把用户添加到新的组中，这些组将用作他们的辅助组。
使用usermod将用户linda和lisa添加到组销售，并将lori和bob添加到组账户：
usermod -aG sales linda
usermod -aG sales lisa
usermod -aG account lori
usermod -aG account bob

练习

• (1)创建用户gentoo，附加组为bin和root,默认shell为/bin/csh，注释信息为"Gentoo Distribution""

  [[email?protected] ~]#useradd -s /bin/csh -c ‘Gentoo Distribution‘ -G bin,root gentoo
  [[email?protected] ~]#getent passwd gentoo
  gentoo:x:1002:1002:Gentoo Distribution:/home/gentoo:/bin/csh
  [[email?protected] ~]#groups gentoo
  gentoo : gentoo root bin

  • (2)创建下面的用户、组和组成员关系
    名字为webs的组
    用户nginx，使用webs作为附加组
    用户varnish，使用webs作为附加组
    用户mysql，不可交互登录系统，且不是webs的成员，nginx,vamish,mysql密码都是magedu

    # groupadd webs
    # useradd -G webs nginx
    # useradd -G webs varnish
    # useradd -s /sbin/nologin mysql 
    # echo magedu | passwd --stdin nginx
    Changing password for user nginx.
    passwd: all authentication tokens updated successfully.
    # echo magedu | passwd --stdin varnish
    Changing password for user varnish.
    passwd: all authentication tokens updated successfully.
    # echo magedu | passwd --stdin mysql
    Changing password for user mysql.
    passwd: all authentication tokens updated successfully.

• (3) 当用户docher对/testdir目录无执行权限时，意味着无法做哪些操作?

1. 无法进入目录
2.可以用ls查看列表，但是无法查看文件属性类型
3.就算对目录中文件有rw权限，也无法查看和写入 >>(追加)也不行

• (4) 当用户mongodb对/testdir目录无读权限时，意味着无法做哪些操作?

1.可以进入目录，无法查看列表，可以查看ll file 详细信息
2.可以执行目录内程序，cat file可以查看文件内容
3.如果对文件有w权限，还可以通过>>写入文件

9. 查看用户相关的ID信息

id [OPTION]...[USER]
    -u: 显示UID
    -g：显示GID
    -G: 显示用户所属的组的ID
    -n：显示名称，需配合ugG使用

10. 切换用户或以其他用户身份执行命令：su

su [username] 切换身份   不完全切换
    非登录式切换，即不会读取用户的配置文件，不改变当前工作目录
su - [username] 完全切换
    登录式切换，会读取目标用户的配置文件，切换至家目录
切换身份执行命令
    su - root -c ‘command‘ 
root su至其他用户无须密码；非root用户切换时需要密码

11. 设置密码

passwd

passwd[OPTIONS]UserName:修改指定用户的密码
常用选项：
    -d:删除指定用户密码
    -l:锁定指定用户密码
    -u:解锁指定用户密码
    -e:强制用户下次登录修改密码
    -f:强制操作
    --stdin:从标准输入接收用户密码
        实例：echo "PASSWORD" |passwd --stdin USERNAME

echo PASSWD | passwd --stdin USERNAME  &> /dev/null

useradd USERNAME;echo PASSWD | passwd --stdin USERNAME;passwd -e USERNAME

12. 修改用户密码策略

chage[option]...login
    -d last_day
    -E --expiredate expire_date
    -I --inactive inactive
    -m --mindays min_days
    -M --maxdays max_days
    -W --warndays warn_days
    -l 显示密码策略

示例：

chage -d 0 tom 下一次登录强制重设密码
chage -m 0 -M 42 -W 14-17 tom
chage -E 2016-09-10 tom

用户相关的其他命令

finger  user  查看用户信息
chfn user     更改用户描述信息
chsh -s       更改用户的shell
    例： chsh -s  /bin/nologin adong  
chage [user]    更改用户口令有效期
chage -l [user] 查看用户口令信息

文件权限

文件的权限主要针对三类对象进行定义

owner 属主，u
group 属组，g 
other 其他，o

每个文件针对每类访问者都定义了三种权限

r   Readable
w   Writable
x   eXcutable

文件

r 可使用文件查看类工具获取其内容
    w 可修改其内容
    x 可以把此文件提请内核启动为一个进程

目录

r 可以使用ls查看此目录中文件列表
    w 可在此目录中创建文件，也可删除此目录中的文件呢
    x 可以使用ls -l 查看此目录中文件元数据（需配合r），可以cd进入此目录
    X 指给目录x权限，不给文件x权限（如果某个文件有执行权限，X会给其他所有者赋予权限）

1. 修改文件的属主和属组

修改文件的属主：chown

chown [OPTION]...[OWNER][:[GROUP]]FILE...
  用法说明：
    OWNER        更改所有者
    OWNER:GROUP  更改所属组
    :GROUP       冒号也可用.替换
    chown[OPTION]...--reference=REILE FILE
    -R:递归

修改文件的属组：chgrp

chgrp[option]...group file
chgrp[option]...--reference=reile file...
-R  递归

更改文件rwx权限：chmod

1.模式法 
u=rwx,g=rw,o=r file
2.数字法
rwxrw-r--  file
222220100 转化为10进制764
--- 0

--x 
001  1
-w-
010  2
r--
100  4

chmod [option]...octal-mode file...
    -R:递归修改权限
chmod[option]...mode[mode]...file...
    mode:
    修改一类用户的所有权限
        u= g= o= ug= a= u= g=
    修改一类用户某位或某些权限
        u+ u- g+ g- o+ o- a+ a- 
chmod[option]...--reference=rfile file...
    参考refile文件的权限，将file的修改为同rfile

chgrp修改文件的属组

chgrp[OPTION]...GROUP FILE
    chgrp[OPTION]...--reference=REILE FILE
    -R 递归

权限设置示例

chgrp sales testfile
chown root:admins testfile
chmod -R g+rwx  testdir
chmod 600 file
chown mage testfile

面试题
cp f1 dir/fff 需要的命令

1.cp命令需要执行权限 
2.f1需要读权限,所在文件夹需要执行权限，否则进不去，
3.要拷贝的目标文件夹，至少要有执行和写权限