6-用户和组管理
2020-02-22 本文已影响0人
Liang_JC
本章内容
◆ 解释Linux的安全模型
◆ 解释用户帐号和组群帐号的目的
◆ 用户和组相关文件
◆ 用户和组管理命令
◆ 理解并设置文件权限
◆ 默认权限
◆ 特殊权限
◆ FACL
介绍安全3A
资源分派：
Authentication：认证
Authorization：授权
Accouting|Audition：审计
用户user
● 令牌token,identity
● Linux用户：Username/UID
● 管理员：root, 0
● 普通用户：1-60000 自动分配
系统用户：1-499, 1-999 （CentOS7）
对守护进程获取资源进行权限分配
登录用户：500+, 1000+（CentOS7）
交互式登录
组group
● Linux组：Groupname/GID
● 管理员组：root, 0
● 普通组：
系统组：1-499, 1-999（CENTOS7）
普通组：500+, 1000+（CENTOS7）
安全上下文
Linux安全上下文
运行中的程序：进程 (process)
以进程发起者的身份运行：
root: /bin/cat
mage: /bin/cat
进程所能够访问资源的权限取决于进程的运行者的身份
组的类别
Linux组的类别
用户的主要组(primary group)
用户必须属于一个且只有一个主组
组名同用户名，且仅包含一个用户，私有组
用户的附加组(supplementary group)
一个用户可以属于零个或多个辅助组
用户和组的配置文件
Linux用户和组的主要配置文件：
/etc/passwd：用户及其属性信息(名称、 UID、主组ID等）
/etc/group：组及其属性信息
/etc/shadow：用户密码及其相关属性
/etc/gshadow：组密码及其相关属性
passwd文件格式
● login name：登录用名（wang）
● passwd：密码 (x)
● UID：用户身份编号 (1000)
● GID：登录默认所在组编号 (1000)
● GECOS：用户全名或注释
● home directory：用户主目录 (/home/wang)
● shell：用户默认使用shell (/bin/bash)
/etc/passwd
wang:x:1000:1000:wang:/home/wang:/bin/bash
用户名:密码:UID:GID:描述:家目录:shell
/etc/shadow
wang:$6xxxx:0:18033:99999:7:::
用户名:加密密码:最短密码有限期:密码修改时间:最大密码有效时长(1970-1-1起计):密码过期前通知:密码过期宽限期:账号有限期(1970-1-1起计):
/etc/group
wang:x:1000:wang
组名:口令:GID:附加组
/etc/gshadow
wang:!!::wang
组名:口令:管理员:附加组
openssl rand -base64 9 #生成随机密码
shadow文件格式
● 登录用名
● 用户密码:一般用sha512加密
● 从1970年1月1日起到密码最近一次被更改的时间
● 密码再过几天可以被变更（0表示随时可被变更）
● 密码再过几天必须被变更（99999表示永不过期）
● 密码过期前几天系统提醒用户（默认为一周）
● 密码过期几天后帐号会被锁定
● 从1970年1月1日算起，多少天后帐号失效
密码加密
加密机制：
加密：明文--> 密文
解密：密文--> 明文
单向加密：哈希算法，原文不同，密文必不同
相同算法定长输出，获得密文不可逆推出原始数据
雪崩效应：初始条件的微小改变，引起结果的巨大改变
md5: message digest, 128bits
sha1: secure hash algorithm, 160bits
sha224: 224bits
sha256: 256bits
sha384: 384bits
sha512: 512bits
更改加密算法：
authconfig --passalgo=sha256 --update
密码的复杂性策略
● 足够长
● 使用数字、大写字母、小写字母及特殊字符中至少3种
● 使用随机密码
● 定期更换,不要使用最近曾经使用过的密码
密码期限
image.png
group文件格式
● 群组名称：就是群组名称
● 群组密码：通常不需要设定，密码是被记录在 /etc/gshadow
● GID：就是群组的 ID
● 以当前组为附加组的用户列表(分隔符为逗号)
gshdow文件格式
● 群组名称：就是群的名称
● 群组密码：
● 组管理员列表：组管理员的列表，更改组密码和成员
● 以当前组为附加组的用户列表：多个用户间用逗号分隔
文件操作
vipw和vigr
pwck和grpck
修改用户信息
change wang
最短口令有效期
最长口令有效期
密码修改时间
提前通知
宽限期
账号有效期
getent shadow wang #过滤只看wang那行
pwck #检查passwd文件是否有错
grpck #检查group文件是否有错
用户和组管理命令
用户管理命令
useradd
usermod
userdel
组帐号维护命令
groupadd
groupmod
groupdel
groupadd #添加组
-r #系统用户id号1000以下
groupmod #修改组
groupdel #删除组
用户创建：useradd
useradd [options] LOGIN
-u UID
-o 配合-u 选项，不检查UID的唯一性
-g GID 指明用户所属基本组，可为组名，也可以GID
-c "COMMENT“ 用户的注释信息
-d HOME_DIR 以指定的路径(不存在)为家目录
-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中
-G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在
-N 不创建私用组做主组，使用users组做主组
-r 创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000
-m 创建家目录，用于系统用户
-M 不创建家目录，用于非系统用户
finger user #查看用户登陆信息
chfn user #修改用户详细信息
创建用户： useradd
默认值设定：/etc/default/useradd
显示或更改默认设置
useradd -D
useradd –D -s SHELL
useradd –D –b BASE_DIR
useradd –D –g GROUP
新建用户的相关文件和命令
/etc/default/useradd
/etc/skel/* #默认家目录文件
/etc/login.defs
newusers passwd格式文件 批量创建用户
chpasswd 批量修改用户口令
用户属性修改
usermod [OPTION] login
-u UID: 新UID
-g GID: 新主组
-G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被
覆盖；若保留原有，则要同时使用-a选项
-s SHELL：新的默认SHELL
-c 'COMMENT'：新的注释信息
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，
同时使用-m选项
-l login_name: 新的名字
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限
删除用户
userdel [OPTION]... login
-r: 删除用户家目录
批量创建相同用户
在其他机器上创建相同账号
把/etc/passwd的账号行复制到新机器上，新机器上创建文件并保存，然后执行：
newusers users.txt
vim pw.txt
wang:cenots
mage:cenots
cat pw.txt | chpasswd #批量改口令
查看用户相关的ID信息
id [OPTION]... [USER]
-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID
-n: 显示名称，需配合ugG使用
切换用户或以其他用户身份执行命令
● su [options...] [-] [user [args...]]
● 切换用户的方式：
su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录
su - UserName：登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换
● root su至其他用户无须密码；非root用户切换时需要密码
● 换个身份执行命令：
su [-] UserName -c 'COMMAND'
● 选项：-l --login
su -l UserName 相当于 su - UserName
sudo -i #ubuntu18切换root
设置密码
● passwd [OPTIONS] UserName: 修改指定用户的密码
● 常用选项：
-d：删除指定用户密码
-l：锁定指定用户
-u：解锁指定用户
-e：强制用户下次登录修改密码
-f：强制操作
-n mindays：指定最短使用期限
-x maxdays：最大使用期限
-w warndays：提前多少天开始警告
-i inactivedays：非活动期限
--stdin：从标准输入接收用户密码
示例：echo "PASSWORD" | passwd --stdin USERNAME
修改用户密码策略
chage [OPTION]... LOGIN
-d LAST_DAY
-E --expiredate EXPIRE_DATE
-I --inactive INACTIVE
-m --mindays MIN_DAYS
-M --maxdays MAX_DAYS
-W --warndays WARN_DAYS
-l 显示密码策略
示例：
chage -d 0 tom 下一次登录强制重设密码
chage -m 0 –M 42 –W 14 –I 7 tom
chage -E 2016-09-10 tom
用户相关的其它命令
● chfn 指定个人信息
● chsh 指定shell
● finger 查看用户登陆信息
创建组
groupadd [OPTION]... group_name
-g GID 指明GID号；[GID_MIN, GID_MAX]
-r 创建系统组
CentOS 6: ID<500
CentOS 7: ID<1000
修改和删除组
组属性修改：groupmod
groupmod [OPTION]... group
-n group_name: 新名字
-g GID: 新的GID
组删除：groupdel
groupdel GROUP
更改组密码
● 组密码：gpasswd
● gpasswd [OPTION] GROUP
-a user 将user添加至指定组中
-d user 从指定组中移除用户user
-A user1,user2,... 设置有管理权限的用户列表
● newgrp命令：临时切换主组
如果用户本不属于此组，则需要组密码
更改和查看组成员
groupmems [options] [action]
options：
-g, --group groupname 更改为指定组 (只有root)
actions:
-a, --add username 指定用户加入组
-d, --delete username 从组中删除用户
-p, --purge 从组中清除所有成员
-l, --list 显示组成员列表
groups [OPTION].[USERNAME]... 查看用户所属组列表
练习
1、创建用户gentoo，附加组为bin和root，默认shell为/bin/csh，注释信息为"Gentoo Distribution"
useradd -G bin,root -s /bin/csh -c "Gentoo Distribution" gentoo
2、 创建下面的用户、组和组成员关系
名字为webs 的组
用户nginx，使用webs 作为附加组
用户varnish，使用webs 作为附加组
用户mysql，不可交互登录系统，且不是webs 的成员，nginx，varnish，mysql密码都是magedu
groupadd webs
useradd -G webs nginx;useradd -G webs varnish;useradd -s /sbin/nologin mysql
echo "magedu" | passwd --stdin nginx
echo "magedu" | passwd --stdin varnish
echo "magedu" | passwd --stdin mysql
文件权限
image.png
-rw-r--r-- 1 root root 26195 dec 17 10:42 install.log
权限 引用计算 所有者 所属组 大小 创建和修改日期 文件名
文件属性操作
chown 设置文件的所有者
chgrp 设置文件的属组信息
修改文件的属主和属组
修改文件的属主：chown
chown [OPTION]... [OWNER][:[GROUP]] FILE...
用法说明：
OWNER
OWNER:GROUP
:GROUP，冒号也可用 . 替换
-R: 递归
chown [OPTION]... --reference=RFILE FILE...
修改文件的属组：chgrp
chgrp [OPTION]... GROUP FILE...
chgrp [OPTION]... --reference=RFILE FILE...
-R 递归
文件权限
文件的权限主要针对三类对象进行定义
owner 属主, u
group 属组, g
other 其他, o
每个文件针对每类访问者都定义了三种权限
r Readable
w Writable
x eXcutable
文件：
r 可使用文件查看类工具获取其内容
w 可修改其内容
x 可以把此文件提请内核启动为一个进程
目录：
r 可以使用ls查看此目录中文件列表
w 可在此目录中创建文件，也可删除此目录中的文件
x 可以使用ls -l查看此目录中文件元数据（须配合r），可以cd进入此目录
X 只给目录x权限，不给文件x权限
文件权限操作
文件权限操作命令：chmod
文件权限（rwx|X）
image.png
修改文件权限
chmod [OPTION]... OCTAL-MODE FILE...
-R: 递归修改权限
chmod [OPTION]... MODE[,MODE]... FILE...
MODE：
修改一类用户的所有权限
u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限
u+ u- g+ g- o+ o- a+ a- + -
chmod [OPTION]... --reference=RFILE FILE...
参考RFILE文件的权限，将FILE的修改为同RFILE
目录：
读：可以列出文件名
执行：可以进入目录，可以访问目录的文件内容
写：创建和删除文件
新建文件和目录的默认权限
umask值 可以用来保留在创建文件权限
新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1
新建目录的默认权限: 777-umask
非特权用户umask是 002
root的umask 是 022
umask: 查看
umask # 设定
示例：umask 002
umask u=rw,g=r,o=
umask –S 模式方式显示
umask –p 输出可被调用
全局设置： /etc/bashrc 用户设置：~/.bashrc
练习
1、当用户docker对/testdir 目录无执行权限时，意味着无法做哪些操作？
不能进入目录和不能查看目录里的文件内容
2、当用户mongodb对/testdir 目录无读权限时，意味着无法做哪些操作？
不可列出文件名
3、当用户redis 对/testdir 目录无写权限时，该目录下的只读文件file1是否可修改和删除？
可以
4、当用户zabbix对/testdir 目录有写和执行权限时，该目录下的只读文件file1是否可修改和删除？
可以
5、复制/etc/fstab文件到/var/tmp下，设置文件所有者为tomcat读写权限，所属组为apps组有读写权限，其他人无权限
cp /etc/fstab /var/tmp
chown tomcat:apps /var/tmp/fstab
chomod 660 /var/tmp/fstab
6、误删除了用户git的家目录，请重建并恢复该用户家目录及相应的权限属性
mkdir /home/git;chown git:git /home/git;chmod 700 /home/git
Linux文件系统上的特殊权限
● SUID, SGID, Sticky
● 三种常用权限：r, w, x user, group, other
● 安全上下文
● 前提：进程有属主和属组；文件有属主和属组
(1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
(2) 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
(3) 进程访问文件时的权限，取决于进程的发起者
(a) 进程的发起者，同文件的属主：则应用文件属主权限
(b) 进程的发起者，属于文件属组；则应用文件属组权限
(c) 应用文件“其它”权限
可执行文件上SUID权限
● 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
● 启动为进程之后，其进程的属主为原程序文件的属主
● SUID只对二进制可执行程序有效
● SUID设置在目录上无意义
● 权限设定：
chmod u+s FILE...
chmod u-s FILE...
可执行文件上SGID权限
● 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
● 启动为进程之后，其进程的属组为原程序文件的属组
● 权限设定：
chmod g+s FILE...
chmod g-s FILE...
目录上的SGID权限
● 默认情况下，用户创建文件时，其属组为此用户所属的主组
● 一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组
● 通常用于创建一个协作目录
● 权限设定：
chmod g+s DIR...
chmod g-s DIR...
Sticky 位
● 具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权
● 在目录设置Sticky 位，只有文件的所有者或root可以删除该文件
● sticky 设置在文件上无意义
● 权限设定：
chmod o+t DIR...
chmod o-t DIR...
例如：
ls -ld /tmp
drwxrwxrwt 12 root root 4096 Nov 2 15:44 /tmp
特殊权限
● SUID SGID STICKY
000 0
001 1
010 2
011 3
100 4
101 5
110 6
111 7
● chmod 4777 /tmp/a.txt
suid: 作用于可执行的二进制的程序，权限4，功能：用户执行此程序时，将继承此程序所有者的权限
sgid:
作用于可执行的二进制的程序，权限2，功能：用户执行此程序时，将继承此程序所属组的权限
作用于目录，功能：新建的文件将自动继承此目录的所属组
sticky:作用于目录，权限1，功能：只有删除自已的文件
权限位映射
SUID: user,占据属主的执行权限位
s：属主拥有x权限
S：属主没有x权限
SGID: group,占据属组的执行权限位
s： group拥有x权限
S：group没有x权限
Sticky: other,占据other的执行权限位
t：other拥有x权限
T：other没有x权限
设定文件特定属性
chattr +i 不能删除，改名，更改
chattr +a 只能追加内容
lsattr 显示特定属性
新建文件和目录的默认权限
● umask值 可以用来保留在创建文件权限
● 新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1
● 新建目录的默认权限: 777-umask
● 非特权用户umask是 002
● root的umask 是 022
umask: 查看
umask # 设定
示例：umask 002
umask u=rw,g=r,o=
umask –S 模式方式显示
umask –p 输出可被调用
● 全局设置： /etc/bashrc 用户设置：~/.bashrc
● 默认权限：
文件：666-umask，如果有奇数加1，偶数不变
目录：777-umask
访问控制列表
● ACL：Access Control List，实现灵活的权限管理
● 除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
● CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
● CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加
tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
● ACL生效顺序：所有者，自定义用户，自定义组，其他人
● 为多用户或者组的文件和目录赋予访问权限rwx
mount -o acl /directory
getfacl file |directory
setfacl -m u:wang:rwx file|directory
setfacl -Rm g:sales:rwX directory
setfacl -M file.acl file|directory
setfacl -m g:salesgroup:rw file| directory
setfacl -m d:u:wang:rx directory
setfacl -x u:wang file |directory
setfacl -X file.acl directory
● ACL文件上的group权限是mask 值（自定义用户，自定义组，拥有组的最大权限）,而非传统的组权限
● getfacl 可看到特殊权限：flags
● 通过ACL赋予目录默认x权限，目录内文件也不会继承x权限
● base ACL 不能删除
● setfacl -k dir 删除默认ACL权限
● setfacl –b file1清除所有ACL权限
● getfacl file1 | setfacl --set-file=- file2 复制file1的acl权限给file2
● mask只影响除所有者和other的之外的人和组的最大权限
● Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(EffectivePermission)
用户或组的设置必须存在于mask权限设定范围内才会生效 setfacl -m
mask::rx file
● --set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含
UGO的设置，不能象-m一样只是添加ACL就可以
示例：
setfacl --set u::rw,u:wang:rw,g::r,o::- file1
● 备份和恢复ACL
● 主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息
getfacl -R /tmp/dir1 > acl.txt #备份acl权限
setfacl -R -b /tmp/dir1 #恢复默认acl权限
setfacl -R --set-file=acl.txt /tmp/dir1 #还原acl权限
setfacl --restore acl.txt #还原acl权限
getfacl -R /tmp/dir1
练习
1、 在/testdir/dir里创建的新文件自动属于webs组，组apps的成员如： tomcat能对这些新文件有读写权限，组dbs的成员如：mysql只能对新文件有读权限，其它用户（不属于webs,apps,dbs）不能访问这个文件夹
mkdir -p /testdir/dir
chmod g=s
chgrp webs /testdir/dir
setfacl -m g:apps:rw /testdir/dir
setfacl -m g:dbs:r /testdir/dir
chmod o=0 /testdir/dir
2、 备份/testdir/dir里所有文件的ACL权限到/root/acl.txt中，清除
/testdir/dir中所有ACL权限，最后还原ACL权限
getfacl /testdir/dir > /root/acl.txt
setfacl -R -b /testdir/dir
setfacl -R --set-file=/root/acl.txt /testdir/dir
