用户、用户组、其他的权限
多用户:多人同时使用系统资源;
多任务:同行运行多个进程;
AAA:
Authentication认证
Authorization授权
Account账户
用户的类别:
管理员:root
普通用户:
系统用户:仅用于运行服务程序;
登录用户:系统资源的正常使用者;
用户标识:UserID, UID
16bits二进制数字:0-65535;
管理员:0
普通用户:
系统用户:
CentOS 5, 6: 1-499
CentOS 7: 1-999
普通用户:
CentOS 5,6: 500+
CentOS 7: 1000+
名称解析:名称转换;
解析库: username <--> UID
/etc/passwd:用户名、UID及其它属性信息解析库;
用户组:
组类别:
管理员组
普通用户组
系统组
登录组
组标识:GroupID, GroupID
管理员组:0
普通用户组:
系统组:
CentOS 5,6: 1-499
CentOS 7: 1-999
登录组:
CentOS 5,6: 500+
CentOS 7: 1000+
名称解析:groupname <--> gid
解析库:/etc/group
组类别:以用户为核心
用户的主组:基本组;
用户的附加组:额外组;
组类别:根据组内容纳的用户来划分
私有组:与用户名相同,且只有一个此用户;
公共组:组内包含了多个用户;
认证机制:验正用户的确是他所声称的人;
通过对比事先存储的,与登录时所提供的信息是否一致;
存储于何处:
用户的认证信息库:/etc/shadow
组的认证信息库:/etc/gshadow
密码:加密存放,使用单向加密机制;
单向加密:仅能加密,不能解密;提取数据特征码;
数据相同:加密结果相同;
定长输出:
雪崩效应:
算法:
md5: message digest, 128bits
sha1: secure hash algorithm, 160bits
sha224
sha256
sha384
sha512
添加salt:取随机数;
随机数:
熵池:
伪随机数:软件模拟产生;
/dev/random:仅从熵池返回随机数,随机数耗尽时会阻塞进程;
/dev/urandom:先从熵池返回随机数,熵池耗尽时,则从伪随机数生成器返回随机数;
安全上下文:
进程:以某个用户的身份运行,进程对资源的操作权限取决于它所代表的用户;
文件:权限模型
属主:owner
属组:group
其它:other
权限模型生效的机制:
进程的运行者:
是否与文件的属主相同,如果是,则以文件属主的身份来访问此文件;否则
是否属于文件的属组,如果是,则以文件属组的身份来访问此文件;否则
以文件的其它用户的身份来访问此文件;
用户和组的管理:
主要以命令进行:
组:groupadd, groupmod, groupdel
用户:useradd, usermod, userdel
认证:passwd
组解析库文件:/etc/group
GRPNAME:x:GID:user1, user2, ...
组名:密码点位符:GID:以此组为附加组的用户列表,以逗号分隔
groupadd命令:添加组
groupadd
-g GID:指明GID;
-r, --system:系统组;
groupmod命令:修改组信息
groupmod
-g GID
-n NEW_NAME:修改组名;
groupdel命令:删除组
groupdel
用户解析库:/etc/passwd
name:password:UID:GID:GECOS:directory:shell
useradd命令:添加用户
useradd [选项] 登录名
-c, --comment COMMENT:注释信息,一般为Full Name;
-d, --home /PATH/TO/HOME_DIR:家目录路径;目标路径不能事先存在,否则会有警告,不会得利skel相关的文件给用户;
-g, --gid GROUP:用户的基本组组名或GID;
-G, --groups GROUP1[,GROUP2,...[,GROUPN]]]:用户所属的附加组列表,彼此间用逗号隔开,中间没有空格;
-m, --create-home:强制创建家目录;
-M:不创建用户主目录,即使系统在 /etc/login.defs 中的设置 (CREATE_HOME) 为 yes;
-r, --system:创建一个系统账户
-s, --shell SHELL:用户的登录 shell 名,默认为留空,让系统根据 /etc/default/useradd 中的 SHELL 变量选择默认的登录shell;
-u, --uid UID:用户 ID 的数字值。此值必须为唯一的,除非使用了 -o 选项。此值必须非负,默认使用大于等于UID_MIN,且大于任何其他用户 ID 最小值。
注意:创建登录用户时,为其自定义的shell程序必须为可登录shell,且要位于/etc/shells文件中;
useradd -D:显示创建用户时的默认设置;
useradd -D 选项:设置某默认选项;
-e, --expiredate EXPIRE_DATE:用户账号的过期期限;过期后会被锁定;日期以 YYYY-MM-DD 格式指定
-f, --inactive INACTIVE:密码过期后,账户被彻底禁用之前的天数。0 表示立即禁用,-1 表示禁用这个功能。
为用户提供默认配置的配置文件:
/etc/login.defs, /etc/default/useradd
影子口令文件:/etc/shadow
登录名:密码:最近一次的修改时间:密码的最短使用期限:密码最长使用期限:提前警告的天数:非活动期限:账号的禁用日期:保留字段
密码:$加密算法$salt$加密的密码字符串
usermod命令:修改账号信息
-c, --comment COMMENT
-d, --home HOME_DIR:修改家目录为新的位置,但一般应该同时使用-m选项以保证原家目录中的文件会移动到新目录中;
-g, --gid GROUP
-G, --groups GROUP1[,GROUP2,...[,GROUPN]]]:修改时会覆盖原有的附加组;一同使用-a选项,表示为用户添加新的附加组;
-l, --login NEW_LOGIN:修改当前用户的用户名;
-s, --shell SHELL
-u, --uid UID
-L, --lock:锁定用户的密码。这会在用户加密的密码之前放置一个“!”
-U, --unlock:解锁用户的密码。这将移除加密的密码之前的“!”
userdel命令:删除用户账号
userdel
-r, --remove:用户主目录中的文件将随用户主目录和用户邮箱一起删除
passwd命令:密码管理命令
passwd [-l] [-u [-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warndays] [-i inactivedays] [--stdin] [username]
(1) passwd:修改自己的密码;
(2) passwd username:修改其它用户的密码,仅root有此权限;
密码复杂度:
(1) 不能少于8个字符;
(2) 不能使用与过去的密码太相似的密码;
(3) 应该使用四类字符中的至少三类;
选项:
-l:锁定密码
-u:解锁解密
-d:清除密码
--stdin:从标准输入接收密码;
echo "PASSWORD" | passwd --stdin USERNAME
id命令:查看用户相关的id信息;
id [OPTION]... [USER]
-u:仅查看uid
-g:仅查看gid
-G:查看所属的所有组的ID;
-n:显示名称,而非ID;
su命令:switch user
切换用户时:
(1) 不读取目标用户的配置文件(非登录式切换,半切换);
su USERNAME
(2) 读取目标用户的配置文件(登录式切换,完全切换);
su -l USERNAME
su - USERNAME
-c command, --command=command:仅以指定的用户的身份运行此处指定的命令,而不执行真正的身份切换操作;
注意:root切换至任何其它用户无须认证密码;普通用户切换至其它用户,都需要密码;
gpasswd命令:为组添加密码
组密码文件:/etc/gshadow
gpasswd
-a USERNAME:把用户添加至组中;
-d USERNAME:从此组中移除此用户;
newgrp命令:登录到一个新组
chage命令:修改用户账号的各种期限;
课外实践:
其它几个命令:chsh, chfn, finger, pwck, grpck
for example:
(1) 创建用户gentoo,UID为5000,基于组为gentoo,附加组为distro和peguin;
~]# groupadd distro,peguin
~]# useradd -u 5000 gentoo
~]# usermod -G distro,peguin
(2) 创建用户fedora,基于注释信息为"Fedora Core",默认shell为/bin/tcsh;
~]# useradd fedora
~]# usermod -c "Fedora Core" fedora -s /bin/tcsh
权限管理:
进程安全上下文:
进程:运行一个程序文件而产生,通常由一个用户发起;进程则以发起者的身份运行;
判断进程的发起者是否与文件属主相同,如果是,则以属主的身份来访问,从而应用属主权限;否则
判断进程的发起者是否属于文件的属组,如果是,则应用属组权限;否则
特殊权限:factl, suid, sgid, sticky
文件系统文件权限:
三类用户:
属主:owner, u
属组:group, g
其它:other, o
权限:
r: readable,可读
w: writable, 可写
x:excutable, 可执行
权限管理:
文件:
r:可获取文件的数据;
w:可修改文件的数据;
x:可将此文件运行为进程;
目录:
r:可使用ls命令获取其下的所有文件列表;但不可以使用“ls -l”去获取详细信息,也不可以cd至此目录中;
w:可修改此目录下的文件列表, 即可以在此目录下创建或删除文件;
x:可以使用"ls -l“命令来获取其下的文件的详细属性信息,也可cd至此目录中;
rwxrwxrwx:
owner: rwx
group: rwx
other: rwx
权限组合机制:
--- 000 0
--x 001 1
-w- 010 2
-wx 011 3
r-- 100 4
r-x 101 5
rw- 110 6
rwx 111 7
r=4 w=2 x=1 -=0 将出现的数相加即可
练习:
rwxr-xr--:754
rw-r-----: 640
750: rwxr-x---, 770: rwxrwx---
权限管理:
ownership: 仅管理员有权限
改属主:chown
改属组:chgrp
chmod
chmod命令:
作用:change file mode bits
chmod [OPTION]... MODE[,MODE]... FILE...
chmod [OPTION]... OCTAL-MODE FILE...
chmod [OPTION]... --reference=RFILE FILE...
用户的标识符:u,g,o,a
(1) chmod
赋权表示法:直接操作一类用户的所有权限位rwx;
u=,g=,o=,a=
两类用户权限相同:ug=, go=
不同类的用户权限不同:u=,g=,o=
授权表示法:操作一类用户一位或多位权限;
u+, u-
g+, g-
o+, o-
a+, a-
两类用户权限收授机制相同:ug+, ug-, ...
不同类的用户权限不同:u+,g+,o+
(2) chmod [OPTION]... OCTAL-MODE FILE...
(3) chmod [OPTION]... --reference=RFILE FILE...
--reference=RFILE:RFILE表示参考其权限模型;
常用选项:
-R, --recursive:递归修改;
chown命令:
chown [OPTION]... [OWNER][:[GROUP]] FILE...
chown [OPTION]... --reference=RFILE FILE...
修改文件夹及其内文件属性
常用选项:
-R, --recursive:递归修改;
chgrp命令:
chgrp [OPTION]... GROUP FILE...
chgrp [OPTION]... --reference=RFILE FILE...
umask:显示或设定文件模式掩码
文件:
666-umask
目录:
777-umask
注意:之所以文件用666去减,表示文件默认不能有执行权限;如果减得的结果中,u,g或o有执行权限时,则需要加1;
显示:
umask
设定:
umask MASK
注意:此设定仅对当前shell进程有效;