账号和权限管理

管理用户账号和组账号
管理目录和文件属性

一、用户账号和组账号概述

Linux基于用户身份对资源访问进行控制

  • 用户账号

    超级用户、普通用户、程序用户

  • 组账号

    基本组(私有组)

    附加组(公共组)

  • UID和GID

​ UID(User IDentily,用户标识号)

​ GID(Group IDentify,组标识号)

用户账号

超级用户:root 用户是 Linux 操作系统中默认的超级用户账号,对本主机拥有最高的权限。系统中超级用户是唯一的。

普通用户:由 root 用户或其他管理员用户创建,拥有的权限会受到限制,一般只在用户自己的宿主目录中拥有完整权限。

程序用户:在安装Linux操作系统及部分应用程序时,会添加一些特定的低权限用户账号,这些用户一般不允许登陆到系统,仅用于维持系统或某个程序的正常运行,如bin、daemon、ftp、mail等。

组账号

基本组(私有组):基本组账号只有一个,一般为创建用户时指定的组。

附加组(公共组):用户除了基本组以外,额外添加指定的组。

UID:用户标识号
GID:组标识号
root 用户账号的UID和GID 号为固定值0
程序用户账号的UID和GID号默认为Centos5,6: 1~499,Centos7: 1~999
普通用户的UID和GID 号默认为Centos5,6: 500~60000, Centos7: 1000~ 60000

二、用户账号文件/etc/passwd

用户账号文件/etc/passwd
基于系统运行和管理需要,所有用户都可以访问passwd文件中的内容,但是只有root用户才能进行更改。
在早期的UNIX操作系统中,用户帐号的密码信息是保存在passwd文件中的,不法用户可以很容易的获取密码字串并进行暴力破解,因此存在一定的安全隐患。后来经改进后,将mima转存入专门的shadow文件中,而passwd文 件中仅保留mima占位符”x“。

root:x:0:0:root:/root:/bin/bash

字段1:用户帐号的名称
字段2:用户mima占位符“x”
字段3:用户帐号的UID号
字段4:所属基本组帐号的GID号
字段5:用户全名
字段6:宿主目录
字段7:登录Shel1信息( /bin/bash为可登陆系统,/sbin/ nologin和/bin/ false为禁止用户登陆系统)

shadow文件中的配置行格式

shadow中保存有各用户账号的密码信息
/etc/shadow文件默认只有root用户能读取shadow中的内容,且不能编辑该内容。

[root@localhost ~]# vim /etc/shadow
root:$6$4uUI7JWNHo7aj5sQ$PZrdCnbStj.PMfhGQYigt4hTI0vCRYqgeTbsJ0lgoURaMyk36L3MsFE4E6uy.q6xWUNncC8loecV7rBMnQbaQ0::0:99999:7:::

字段1:用户账号的名称

字段2:使用MD5加密,当为“*”或者“!!”表示用户不能登录到系统 。若字段内容为空,则用户无需密码即可登录到系统。

字段3:上次修改mima的时间,从1970.1.1日算起到最近一次修改mima的时间。

字段4:mima的最短有效天数, 代表本次修改密码后,必须经过至少多少天后才能再次修改mima。默认值为0。表示不进行限制,就代表一天可以无限次修改mima。

字段5:密码最长有效天数,代表本次修改密码之后,经过该天数后必须修改密码,默认值为99999,表示不进行限制。

字段6:提前多少天警告密码即将过期,默认值为7.

字段7:在密码过期多少天后禁用此用户。

字段8:账号失效时间,默认值为空,表示账号永久可用。

字段9:保留字段(未使用)

1.png

3、useradd命令------添加用户账号

在/etc/passwd文件和/etc/ shadow文件的末尾增加该用户账号的记录。
若未明确指定用户的宿主目录,则在/home目录下自动创建与该用户账号同名的宿主目录,并在该目录中建立用户的各种初始配置文件。若没有明确指定用户所属的组,则自动创建与该用户账号同名的基本组账号,组账号的记录信息将保存到/etc/group和/etc/gshadow文件中。

useradd  [选项]   用户名                           添加新的用户
adduser  [选项]   用户名                           添加新的用户

-u:指定用户的UID号。

-d:指定用户的宿主目录位置(如果没有该目录,则创建一个)

-e:指定用户的账户失效时间,YYYY-MM-DD的日期格式。

-g:指定用户的基本组名,对应的组名必须已存在

-G:指定用户附加组名,对应的组名必须已存在

-M:不建立宿主目录

-s:指定用户登录Shell。(比如/bin/bash为可登陆系统,/sbin/nologin和/bin/false为禁止用户登陆系统)

[ root@centos3 ky10]# useradd -M -s /sbin/nologin -e 2021-12-31 lp
创建名为lp用户  不建立宿主目录,禁止用户登陆系统 有效期到 2021-12-31

4、passwd命令------设置/更改用户命令

root用户可以指定用户名作为参数,对指定账号的密码进行管理:不指定用户名时,修改当前账号的密码。
普通用户却只能执行单独的“passwd"命令修改自己的密码。
常用选项:
-d:清空指定用户的密码,仪使用用户名即可登录系统。
-l:锁定用户账户,锁定的用户账号将无法再登录系统。
-S: 查看用户账户的状态(是否被锁定)。
-u:解锁用户账户。

[root@localhost ~]# useradd lp -s /sbin/nologin 
[root@localhost ~]# vim /etc/passwd

2.png

5、usermod命令------修改用户账号属性

-u: 修改用户的UID号。
-d:修改用户的宿主目录位置。
-e: 修改用户的账户失效时间,可使用YYY -MM-DD 的日期格式。
-g: 修改用户的基本组名(或使用GID号)。
-G: 修改用户的附加组名(或使用GID号)。
-s:指定用户的登录Shell。
-l: 更改用户账号的登录名称。
-L: 锁定用户账户。
-U: 解锁用户账户。

将ky10用户的登录名称更改为lz
usermod -l lz ky10

3.png

6、userdel命令------删除用户帐号

命令格式:
userdel [-r] 用户名

添加-r选项时,表示连用户的宿主目录一并删除

4.png
5.png

7、用户账号的初始配置文件

1、用户宿主模式
用户宿主目录下的初始配置文件只对当前用户有效:

~/.bash_profile:此文件中的命令将在该用户每次登录时被执行,它会设置一些环境变量,并且会调用该用户的 ~/.bashrc文件

~/.bashrc:此文件中的命令会在每次打开新的bash shell时(也包括登录系统)被执行,并且会调用/etc/bashrc文件

~/.bash_logout:此文件中的命令将在用户每次退出登录或退出bash shell时执行

2、全局模式
/etc/profile:这个文件是为系统全局变量配置文件,可通过重启系统或者执行source /etc/profile 命令使profile文件被读取

/etc/profile.d:这个文件实际上是/etc/profile的子目录,存放的是一些应用程序所需的启动脚本

/etc/bashrc:每一个运行bash shell的用户都会执行此文件,可通过执行bash命令打开一个新的bash shell时,使bashrc文件被读取

profile只在系统启动时被读取一次,而.bashrc在系统启动和每次调用shell的时候都要被读取。

export 全局模式下自动调用 例:export HISTCONTROL= igno reboth

三、组账号文件

1、与用户账号文件相类似

/etc/group:保存组帐号基本信息
/etc/gshadow:保存组帐号的密码信息

组账号文件:

grep "postfix"  /etc/group
mail:x:12:postfix
postfix:x:89:
字段1:组帐号的名称
字段2:占位符"x"
字段3:组账号的GID
字段4:组账号包含的用户成员(一般不包括基本组对应的用户帐号) ,多个成员之间以逗号","分隔

当需要查询的组作为基本组的时候不显示它的基本组的成员,只会显示作为附加组的成员。

2、添加组账号groupadd

groupadd 命令

groupadd 【-g GID】 组账号名

示例

6.png
添加组账号groupadd
-g:指定GID号

3、添加删除组成员gpasswd

1、gpasswd命令
设置组帐号密码(极少用)、添加删除组成员

gpasswd 【选项】...  组账号名

2、常用选项

-a:向组内添加一个用户
-d:从组内删除一个用户成员
-M:定义组成员列表,以逗号分隔

删除 admin5 的时候要加上它相应的组名zhangsan :
使用 -M命令进行组成员的覆盖:

7.png

4、删除组账号groupdel

1、groupdel命令

groupdel 组账号名

2、示例

groupdel yumenge

grep “yumenge” /etc/group

四、查询账号信息

1、groups命令

查询用户所属的组

groups 用户名

查询用户身份标识

id 用户名

使用groups查询组账号信息(需要时可以加上grep进行筛选)
使用 id 查询组信息:

8.png

2、finger命令

查询用户账号的登录属性
注:需要先进行安装finger软件包(yum install -y finger 安装finger软件包)

finger 用户名

安装finger软件包:

9.png
w、who、users命令

查询已登录到主机的用户信息

补充:通常使用tty来简称各种类型的终端设备,,Centos7系统, tty1表示图形界面,,tty2-tty6表示文字界面,可以用ctrl+Alt+F1-F6切换。
按Ctrl+Alt+F2登陆,执行w命令,查看使用的终端就是tty2

pts说明是用远程工具连接的,比如xshell,后面的数字代表登录的时间顺序,越小证明登录的越早。

五、文件目录的权限和归属

1、访问权限

读取r:允许查看文件内容、显示目录列表
写入w:允许修改文件内容,允许在目录中新建、移动、删除文件或子目录
可执行x:允许运行程序、切换目录

读取 写入 可执行
r w x -
4 2 1 0

(s) setuid:该位是让普通用户可以以root用户的角色运行只有root帐号才能运行的程序或命令

2、归属(所有权)

1、属主:拥有该文件或目录的用户帐号
2、属组:拥有该文件或目录的组帐号

3、查看文件/目录的权限和归属

权限项 执行 执行 执行
字符表示 r w x r w x r w x
数字表示 4 2 1 4 2 1 4 2 1

4、设置文件和目录的归属chown

chown命令

chown 属主    文件或目录

chown :属组   文件或目录

chown 属主:属组   文件或目录

常用选项

-R:递归修改指定目录下所有文件、子目录的归属

举例:修改lisi的属主为yumenge

chown yumenge lisi/

10.png

设置文件或目录权限chmod

1、chmod   [ugoa...]    [+-=]    [rwx]    文件或目录
"ugoa"表示该权限设置所针对的用户类别。"u"代表文件属主,"g"代表文件属组内的用户, "o"代表其他任何用户,,"a"代表所有用户(缺省时为a)。

"+-="表示设置权限的操作动作。“+"代表增加相应权限,"-"代表减少相应权限, "="代表仅设置对应的权限。

"rwx"是权限的字符组合形式,也可以拆分使用,如""rx"等。

chmod nnn 文件或目录

-R:递归修改指定目录下所有子目录及文件的权限
11.png