用户组和权限管理

1.安全AAA(3A)

  • Authentication:认证
  • Authorization:授权
  • Accouting|Audition:审计

2.用户user

 令牌token,identity
 Linux用户:Username/UID
 管理员:root, 0
 普通用户:1-65535
系统用户:1-499, 1-999 (CentOS7)
对守护进程获取资源进行权限分配
登录用户:500+, 1000+(CentOS7)
交互式登录

3.组group

 Linux组:Groupname/GID
 管理员组:root, 0
 普通组:
系统组:1-499, 1-999(CENTOS7)
普通组:500+, 1000+(CENTOS7)

4.安全上下文

 Linux安全上下文
运行中的程序:进程 (process)
以进程发起者的身份运行:
root: /bin/cat
mage: /bin/cat
进程所能够访问资源的权限取决于进程的运行者的身份

5.组的类别

 Linux组的类别:
用户的主要组(primary group):
用户必须属于一个且只有一个主组
组名同用户名,且仅包含一个用户:私有组
用户的附加组(supplementary group):
一个用户可以属于零个或多个辅助组
用户和组的配置文件

6. Linux用户和组的主要配置文件:

/etc/passwd:用户及其属性信息(名称、UID、主组ID等)
/etc/group:组及其属性信息
/etc/shadow:用户密码及其相关属性
/etc/gshadow:组密码及其相关属性
用户和组的配置文件


Paste_Image.png

pwunconv 不转换

7. Linux用户和组的主要配置文件:

/etc/passwd:用户及其属性信息(名称、UID、主组ID等)
/etc/group:组及其属性信息
/etc/shadow:用户密码及其相关属性
/etc/gshadow:组密码及其相关属性
用户和组的配置文件

8. Linux用户和组的主要配置文件:

/etc/passwd:用户及其属性信息(名称、UID、主组ID等)
(name:password:UID:GID:GECOS(描述信息):directory:shell)
/etc/group:组及其属性信息
/etc/shadow:用户密码及其相关属性
/etc/gshadow:组密码及其相关属性

9.passwd文件格式

 login name:登录用名(wang)
 passwd:密码 (x)
 UID:用户身份编号 (1000)
 GID:登录默认所在组编号 (1000)
 GECOS:用户全名或注释
 home directory:用户主目录 (/home/wang)
 shell:用户默认使用shell (/bin/bash)

10.shadow文件格式

 登录用名
 用户密码:一般用sha512加密
 从1970年1月1日起到密码最近一次被更改的时间
 密码再过几天可以被变更(0表示随时可被变更)
 密码再过几天必须被变更(99999表示永不过期)
 密码过期前几天系统提醒用户(默认为一周)
 密码过期几天后帐号会被锁定
 从1970年1月1日算起,多少天后帐号失效

11.加密

 加密机制:
加密:明文--> 密文
解密:密文--> 明文
 单向加密:哈希算法,原文不同,密文必不同
相同算法定长输出,获得密文不可逆推出原始数据
雪崩效应:初始条件的微小改变,引起结果的巨大改变
md5: message digest, 128bits
sha1: secure hash algorithm, 160bits
sha224: 224bits
sha256: 256bits
sha384: 384bits
sha512: 512bits(CentOS6,CentOS7)
 更改加密算法 authconfig --passalgo=sha256 --update
哈希算法是单向算法
salt加入随机数
#openssl passwd -1 -salt "ptdyewkufhk (加密的密码)"

12.密码的复杂性策略

 使用数字、大写字母、小写字母及特殊字符中至少3种
 足够长
 使用随机密码
 定期更换,不要使用最近曾经使用过的密码

Paste_Image.png

13.group文件格式

 群组名称:就是群组名称
 群组密码:通常不需要设定,密码是被记录在
/etc/gshadow

 GID:就是群组的 ID
 以当前组为附加组的用户列表(分隔符为逗号)

14.gshdow文件格式

 群组名称:就是群组名称
 群组密码:
 组管理员列表:组管理员的列表,更改组密码和成员
 以当前组为附加组的用户列表:(分隔符为逗号)

15.文件操作

 vipw和vigr
vipw 相当于vim /etc/passwd 并具有语法检查功能
vigr相当于vim /etc/group 并具有语法检查功能
 pwck和grpck
pwck检查命令的语法
grpck对组进行检查,组成员关系

16.用户和组管理命令

 用户管理命令
 useradd  usermod  userdel

 组帐号维护命令
 groupadd  groupmod groupdel

17.用户创建:useradd

 useradd [options] LOGIN
-u UID: [UID_MIN, UID_MAX]定义在/etc/login.defs
-o 配合-u 选项,不检查UID的唯一性
-g GID:指明用户所属基本组,可为组名,也可以GID
-c "COMMENT":用户的注释信息
-d HOME_DIR: 以指定的路径(不存在)为家目录
-s SHELL: 指明用户的默认shell程序
可用列表在/etc/shells文件中
-G GROUP1[,GROUP2,...]:为用户指明附加组,组须事先存在
-N 不创建私用组做主组,使用users组做主组
-r: 创建系统用户 CentOS 6: ID<500,CentOS 7: ID<1000
创建用户: useradd

 默认值设定:/etc/default/useradd文件中

Paste_Image.png

 显示或更改默认设置:
useradd -D
useradd –D -s SHELL
useradd –D –b BASE_DIR
useradd –D –g

新建用户的相关文件和命令
 /etc/default/useradd
 /etc/skel/*
 /etc/login.defs
 newusers passwd格式文件 批量创建用户
 chpasswd 批量修改用户口令

  • 创建系统用户最好加入shell类型(例如-s /sbin/nologin),因为系统用户不需要登录


    Paste_Image.png

18.用户属性修改usermod

 usermod [OPTION] login
-u UID: 新UID
-g GID: 新主组
-G GROUP1[,GROUP2,...[,GROUPN]]]:新附加组,原来的
附加组将会被覆盖;若保留原有,则要同时使用-a选项
-s SHELL:新的默认SHELL
-c 'COMMENT':新的注释信息
-d HOME: 新家目录不会自动创建;若要创建新家目录并移
动原家数据,同时使用-m选项
-l login_name: 新的名字;
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限
删除用户
 userdel [OPTION]... login
-r: 删除用户家目录
查看用户相关的ID信息
 id [OPTION]... [USER]
-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID
-n: 显示名称,需配合ugG使用

Paste_Image.png

19.su切换用户或以其他用户身份执行命令

 su [options...] [-] [user [args...]]
 切换用户的方式:
su UserName:非登录式切换,即不会读取目标用户的配置文件,不改变当前工作目录
su - UserName:登录式切换,会读取目标用户的配置文件,切换至家目录,完全切换
 root su至其他用户无须密码;非root用户切换时需要密码
 换个身份执行命令:
su [-] UserName -c 'COMMAND'
 选项:-l --login
su -l UserName 相当于 su - UserName

20.passwd设置密码

 passwd [OPTIONS] UserName: 修改指定用户的密码,仅root用户权限
 passwd: 修改自己的密码
 常用选项:
-l:锁定指定用户
-u:解锁指定用户
-e:强制用户下次登录修改密码
-n mindays: 指定最短使用期限
-x maxdays:最大使用期限
-w warndays:提前多少天开始警告
-i inactivedays:非活动期限
--stdin:从标准输入接收用户密码
echo "PASSWORD" | passwd --stdin USERNAME

21.chage修改用户密码策略

 chage [OPTION]... LOGIN
-d LAST_DAY
-E --expiredate EXPIRE_DATE
-I --inactive INACTIVE
-m --mindays MIN_DAYS
-M --maxdays MAX_DAYS
-W --warndays WARN_DAYS
–l 显示密码策略
* 示例:
chage -d 0 tom 下一次登录强制重设密码
chage -m 0 –M 42 –W 14 –I 7 tom
chage -E 2016-09-10 tom *

22.用户相关的其它命令

chfn修改描述信息
finger查看描述信息
chsh (change shell)
-s 指定新的shell类型

Paste_Image.png

Paste_Image.png

Paste_Image.png

23.group组

group创建组 groupadd [OPTION]... group_name
-g GID: 指明GID号;[GID_MIN, GID_MAX]
-r: 创建系统组
CentOS 6: ID<500
CentOS 7: ID<1000

groupmod修改和删除组
 组属性修改:groupmod
groupmod [OPTION]... group
-n group_name: 新名字
-g GID: 新的GID

groupdel 组删除
groupdel GROUP

gpasswd更改组密码
 组密码:gpasswd
 gpasswd [OPTION] GROUP
-a user: 将user添加至指定组中
-d user: 从指定组中移除用户user
-A user1,user2,...: 设置有管理权限的用户列表
 newgrp命令:临时切换主组
如果用户本不属于此组,则需要组密码

更改和查看组成员
 groupmems [options] [action]
options:
-g, --group groupname 更改为指定组 (只有root)
Actions:
-a, --add username 指定用户加入组
-d, --delete username 从组中删除用户
-p, --purge 从组中清除所有成员
-l, --list 显示组成员列表
 groups [OPTION].[USERNAME]... 查看用户所属组列表
#newgroup yin临时把文件的主组更改为yin

Paste_Image.png

24.文件权限

Paste_Image.png

 文件属性操作
 chown 设置文件的所有者
 chgrp 设置文件的属组信息
[root@pc root]# ls -l install.log
-rw-r--r-- 1 root root 26195 Dec 17 10:42 install.log
删除文件和文件本身没有关系,和其所在的目录有关

修改文件的属主和属组
 修改文件的属主:chown
chown [OPTION]... [OWNER][:[GROUP]] FILE...
用法:
OWNER
OWNER:GROUP
:GROUP

  • 普通用户不能更改文件的所有者
  • 所有者有资格更改文件
  • 用户访问文件的时候匹配顺序:所有者,所属组,其他人
Paste_Image.png

命令中的冒号可用.替换
-R: 递归
chown [OPTION]... --reference=RFILE FILE...
 修改文件的属组:chgrp
chgrp [OPTION]... GROUP FILE...
chgrp [OPTION]... --reference=RFILE FILE...

Paste_Image.png

26.文件权限

 文件的权限主要针对三类对象进行定义:
owner: 属主, u
group: 属组, g
other: 其他, o
all:所有用户(包括以上三种),a

 每个文件针对每类访问者都定义了三种权限:
r: Readable
w: Writable
x: eXcutable
文件权限
 文件:
r: 可使用文件查看类工具获取其内容
w: 可修改其内容
x: 可以把此文件提请内核启动为一个进程
*(x可以cd,不能ls,可以访问目录中的文件,执行权限是基础权限,
写权限:配合x才生效) *
 目录:
r: 可以使用ls查看此目录中文件列表
w: 可在此目录中创建文件,也可删除此目录中的文件
x: 可以使用ls -l查看此目录中文件列表,可以cd进入此
目录
X:只给目录x权限,不给文件x权限
(1.无执行的权限不会增加X权限
2.三种人中的一种人有执行权限,也会加X权限)

Paste_Image.png

25.文件权限操作

Paste_Image.png

八进制数字
Paste_Image.png

 例如:
640: rw-r-----
755: rwxr-xr-x

26.修改文件权限

 chmod [OPTION]... OCTAL-MODE FILE...
-R: 递归修改权限
 chmod [OPTION]... MODE[,MODE]... FILE...
MODE:
修改一类用户的所有权限:
u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限
u+ u- g+ g- o+ o- a+ a- + -
 chmod [OPTION]... --reference=RFILE FILE...
参考RFILE文件的权限,将FILE的修改为同RFILE
权限设置示例:
 chgrp sales testfile
 chown root:admins testfile
 chmod u+wx,g-r,o=rx file
 chmod -R g+rwX /testdir
 chmod 600 file
 chown mage testfile

27.新建文件和目录的默认权限

 umask值 可以用来保留在创建文件权限
 新建FILE权限: 666-umask
如果所得结果某位存在执行(奇数)权限,则将其权限+1
 新建DIR权限: 777-umask
 非特权用户umask是 002

 root的umask 是 022
 umask: 查看
 umask #: 设定
umask 002
 umask –S 模式方式显示
 umask –p 输出可被调用(显示umask值)
 全局设置: /etc/bashrc 用户设置:~/.bashrc

Paste_Image.png

28.Linux文件系统上的特殊权限

 SUID, SGID, Sticky
 安全上下文
 前提:进程有属主和属组;文件有属主和属组
(1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
(2) 启动为进程之后,其进程的属主为发起者,进程的属组为发起者所属的组
(3) 进程访问文件时的权限,取决于进程的发起者
(a) 进程的发起者,同文件的属主:则应用文件属主权限
(b) 进程的发起者,属于文件属组;则应用文件属组权限
(c) 应用文件“其它”权限

可执行文件上SUID权限

 任何一个可执行程序文件能不能启动为进程:取决发起者对程序文件是否拥有执行权限

 启动为进程之后,其进程的属主为原程序文件的属主

 SUID只对二进制可执行程序有效
 SUID设置在目录上无意义

 权限设定:
chmod u+s FILE...
chmod u-s FILE...

Paste_Image.png
可执行文件上SGID权限

 任何一个可执行程序文件能不能启动为进程:取决发起者对
程序文件是否拥有执行权限
 启动为进程之后,其进程的属主为原程序文件的属组
 权限设定:
chmod g+s FILE...
chmod g-s FILE...目录上的SGID权限
 默认情况下,用户创建文件时,其属组为此用户所属的主组
 一旦某目录被设定了SGID,则对此目录有写权限的用户在此
目录中创建的文件所属的组为此目录的属组
 通常用于创建一个协作目录
 权限设定:
chmod g+s DIR...
chmod g-s DIR...

Sticky 位(粘滞位)

具有写权限的目录通常用户可以删除该目录中的任何
文件,无论该文件的权限或拥有权
在目录设置Sticky 位,只有文件的所有者或root可
以删除该文件
sticky 设置在文件上无意义
权限设定:
chmod o+t DIR...
chmod o-t DIR...
例如:
 ls -ld /tmp
drwxrwxrwt 12 root root 4096 Nov 2 15:44 /tmp
特殊权限数字法
 SUID SGID STICKY

Paste_Image.png

权限位映射

 SUID: user,占据属主的执行权限位
s: 属主拥有x权限
S:属主没有x权限
 SGID: group,占据属组的执行权限位
s: group拥有x权限
S:group没有x权限
 Sticky: other,占据other的执行权限位
t: other拥有x权限
T:other没有x权限

  • SUID 4和SGID2
    作用在二进制的可执行程序上
    功能:继承所有者或所属组的文件
  • sticky 粘滞位1
    作用在目录上才有意义
    功能:只有自己才能删除自己的文件
  • SGID 2
    作用在目录
    功能:新建立的文件的所属组自动继承父目录的所属组

29.chattr,lsattr设定文件特定属性

 chattr +i 不能删除,改名,更改
 chattr +a 只能追加内容
 lsattr 显示特定隐藏属性

30.ACL

 ACL:Access Control List,实现灵活的权限管理
 除了文件的所有者,所属组和其它人,可以对更多的用户设置权限
 CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
 CentOS7 之前版本,默认手工创建的ext4文件系统无ACL功能,需手动增加
tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
 ACL生效顺序:所有者,自定义用户,自定义组,其他人
访问控制列表
 为多用户或者组的文件和目录赋予访问权限rwx

• mount -o acl /directory
• getfacl file |directory
• setfacl -m u:wang:rwx file|directory
• setfacl -Rm g:sales:rwX directory
• setfacl -M file.acl file|directory
• setfacl -m g:salesgroup:rw file| directory
• setfacl -m d:u:wang:rx directory
• setfacl -x u:wang file |directory
• setfacl -X file.acl directory

 ACL文件上的group权限是mask 值(自定义用户,自定义组,拥有组的最大权限),而非传统的组权限
 getfacl 可看到特殊权限:flags
 通过ACL赋予目录默认x权限,目录内文件也不会继承x权限
 base ACL 不能删除
 setfacl -k dir 删除默认ACL权限
 setfacl –b file1清除所有ACL权限
setfacl -X file1清除acl但不彻底
 getfacl file1 | setfacl --set-file=- file2 复制file1的acl权限给file2


Paste_Image.png

31.访问控制列表(1)

 mask只影响除所有者和other的之外的人和组的最大权限
Mask需要与用户的权限进行逻辑与运算后,才能变成有限的
权限(Effective Permission)
用户或组的设置必须存在于mask权限设定范围内才会生效
setfacl -m mask::rx file
 --set选项会把原有的ACL项都删除,用新的替代,需要注意的是一定要包含UGO的设置,不能象-m一样只是添加
ACL就可以
 示例:

setfacl --set u::rw,u:wang:rw,g::r,o::- file1,
访问控制列表
 备份和恢复ACL
 主要的文件操作命令cp和mv都支持ACL,只是cp命令需要加上-p 参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息
CentOS6自己建立的分区默认不支持ACL
getfacl -R /tmp/dir1 > acl.txt (-R代表递归 备份)
setfacl -R -b /tmp/dir1(递归清除所有的acl)
setfacl -R --set-file=acl.txt /tmp/dir1(还原文件的acl)
setfacl --restore acl.txt(还原文件的acl)
getfacl -R /tmp/dir1
如果一个用户属于多个组,则继承多个组的权限(累加)传统权限不存在累积

Paste_Image.png
最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 155,770评论 4 358
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 66,116评论 1 286
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 105,656评论 0 237
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 43,372评论 0 201
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 51,704评论 3 285
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 40,166评论 1 204
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 31,535评论 2 306
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 30,259评论 0 193
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 33,882评论 1 236
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 30,218评论 2 239
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 31,760评论 1 255
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 28,126评论 2 249
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 32,667评论 3 228
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 25,935评论 0 8
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,644评论 0 192
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 35,171评论 2 265
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 35,119评论 2 258

推荐阅读更多精彩内容