Linux基礎(chǔ)-權(quán)限管理

一.權(quán)限管理

1.用戶權(quán)限：

認(rèn)證：1.1 Authentication明也；授權(quán)：Authorization丧荐；審計(jì)：Adition

1.2 Linux用戶和組的主要配置文件：

• /etc/passwd：用戶及其屬性信息（名稱见坑、UID、主組ID等）
• /etc/group：組及其屬性信息
• /etc/shadow：用戶密碼及其相關(guān)屬性
• /etc/gshadow：組密碼及其相關(guān)屬性

1.3 安全上下文：進(jìn)程代表用戶在進(jìn)行：誰(shuí)啟動(dòng)了進(jìn)程奴饮，進(jìn)程就擁有誰(shuí)的身份（以進(jìn)程（process）發(fā)起者的身份運(yùn)行）严里。

• root:/bin/cat
• mage:/bin/cat

1.4 用戶

1.4.1 用戶User：

• 令牌token,identity
• Linux用戶：Username/UID
• 用戶級(jí)別：
  • 管理員：root, 0
  • 普通用戶：1-65535
    • 系統(tǒng)用戶：1-499, 1-999 （CentOS7）
      • 對(duì)守護(hù)進(jìn)程獲取資源進(jìn)行權(quán)限分配
    • 登錄用戶:500+, 1000+（CentOS7）
      • 交互式登錄

1.4.2 passwd文件格式：

• login name：登錄用名（wang）

• passwd：密碼 (x)

• UID：用戶身份編號(hào) (1000)

• GID：登錄默認(rèn)所在組編號(hào) (1000)

• GECOS：用戶全名或注釋

• home directory：用戶主目錄 (/home/wang)

• shell：用戶默認(rèn)使用shell (/bin/bash)

  tcpdump:x:72:72::/:/sbin/nologin
  vampire:x:500:500:vampire:/home/vampire:/bin/bash
  mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/false
  
  

1.4.3 shadow文件格式：

• 登錄用名
• 用戶密碼:一般用sha512加密
• 從1970年1月1日起到密碼最近一次被更改的時(shí)間
• 密碼再過(guò)幾天可以被變更（0表示隨時(shí)可被變更）
• 密碼再過(guò)幾天必須被變更（99999表示永不過(guò)期）
• 密碼過(guò)期前幾天系統(tǒng)提醒用戶（默認(rèn)為一周）
• 密碼過(guò)期幾天后帳號(hào)會(huì)被鎖定
• 從1970年1月1日算起，多少天后帳號(hào)失效

  tcpdump:!!:17735::::::
  vampire:$6$yk7XOpZX0ZngOz6D$qVI/.Q7Ch7M.KRfjsPC.    WTiN9w2qJgUofENaFlnLxXpvzIN/lICVwcIme1b3LHMixqXxnEIGkgepuUIpsoadU1:1773 5:0:99999:7:::
  mysql:!!:17737::::::
  

1.4.4 用戶創(chuàng)建

語(yǔ)法：useradd [options] LOGIN

• -u UID

• -o 配合-u 選項(xiàng)鞋屈，不檢查UID的唯一性

• -g GID：指明用戶所屬基本組范咨，可為組名，也可以GID

• -c "COMMENT"：用戶的注釋信息

• -d HOME_DIR: 以指定的路徑(不存在)為家目錄

• -s SHELL: 指明用戶的默認(rèn)shell程序
  可用列表在/etc/shells文件中

• -G GROUP1[,GROUP2,...]：為用戶指明附加組厂庇，組須事先存在

• -N 不創(chuàng)建私用組做主組渠啊，使用users組做主組

• -r: 創(chuàng)建系統(tǒng)用戶 CentOS 6: ID<500，CentOS 7: ID<1000

• -m 創(chuàng)建家目錄权旷，用于系統(tǒng)用戶

• -M 不創(chuàng)建家目錄替蛉，用于非系統(tǒng)用戶

  [root@localhost ~]# useradd -u 111 luqoian  -c "vamp" -s /bin/csh -m
  [root@localhost ~]# tail -1 /etc/passwd
  luqoian:x:111:501:vamp:/home/luqoian:/bin/csh
  [root@localhost ~]# 
  

1.4.5 用戶屬性的修改：

語(yǔ)法：`usermod [OPTION] login

• -u UID: 新UID
• -g GID: 新主組
• -G GROUP1[,GROUP2,...[,GROUPN]]]：新附加組，原來(lái)的附加組將會(huì)被覆蓋拄氯；若保留原有灭返，則要同時(shí)使用-a選項(xiàng)
• -s SHELL：新的默認(rèn)SHELL
• -c 'COMMENT'：新的注釋信息
• -d HOME: 新家目錄不會(huì)自動(dòng)創(chuàng)建；若要?jiǎng)?chuàng)建新家目錄并移動(dòng)原家數(shù)據(jù)坤邪，同時(shí)使用-m選項(xiàng)
• -l login_name: 新的名字熙含；
• -L: lock指定用戶,在/etc/shadow 密碼欄的增加 !
• -U: unlock指定用戶,將 /etc/shadow 密碼欄的 ! 拿掉
• -e YYYY-MM-DD: 指明用戶賬號(hào)過(guò)期日期
• -f INACTIVE: 設(shè)定非活動(dòng)期限

1.4.6 刪除用戶：

語(yǔ)法：userdel [OPTION]... login

• -r: 刪除用戶家目錄

1.4.7 切換用戶或以其他用戶身份執(zhí)行命令

語(yǔ)法：su [options...] [-] [user [args...]]

• 切換用戶的方式：
  • su UserName：非登錄式切換，即不會(huì)讀取目標(biāo)用戶的配置文件艇纺，不改變當(dāng)前工作目錄
  • su - UserName：登錄式切換怎静，會(huì)讀取目標(biāo)用戶的配置文件，切換至家目錄黔衡，完全切換
• root su至其他用戶無(wú)須密碼蚓聘；非root用戶切換時(shí)需要密碼
• 換個(gè)身份執(zhí)行命令：
  su [-] UserName -c 'COMMAND'
• 選項(xiàng)：-l --login
su -l UserName 相當(dāng)于 su - UserName

1.4.8 修改密碼

語(yǔ)法：passwd [OPTIONS] UserName:修改指定用戶的密碼

• 常用選項(xiàng)：
  • -d:刪除指定用戶密碼
  • -l:鎖定指定用戶
  • -u:解鎖指定用戶
  • -e:強(qiáng)制用戶下次登錄修改密碼
  • -f: 強(qiáng)制操作
  • -n mindays: 指定最短使用期限
  • -x maxdays：最大使用期限
  • -w warndays：提前多少天開(kāi)始警告
  • -i inactivedays：非活動(dòng)期限
  • --stdin：從標(biāo)準(zhǔn)輸入接收用戶密碼
    echo "PASSWORD" | passwd --stdin USERNAME

1.5 組

1.5.1 Linux組的類別

• 用戶的主要組（primary group）
  • 用戶必須屬于一個(gè)且只有一個(gè)主組
  • 組名同用戶名，且僅包含一個(gè)用戶盟劫，私有組
• 用戶的附加組（supplementary group）
  • 一個(gè)用戶可以屬于零個(gè)或多個(gè)附加組

1.5.2 組group：

• Linux組：Groupname/GID
• 管理員組：root, 0
• 普通組：
  • 系統(tǒng)組：1-499, 1-999（CENTOS7）
  • 普通組：500+, 1000+（CENTOS7）

1.5.3 group文件格式

• 群組名稱：就是群組名稱
• 群組密碼：通常不需要設(shè)定夜牡，密碼是被記錄在 /etc/gshadow
• GID：就是群組的 ID
• 以當(dāng)前組為附加組的用戶列表(分隔符為逗號(hào))

      [root@localhost ~]# cat /etc/group
      root:x:0:
      bin:x:1:bin,daemon
      daemon:x:2:bin,daemon
  
  

1.5.4 gshadow文件格式

• 群組名稱：就是群組名稱

• 群組密碼：

• 組管理員列表：組管理員的列表，更改組密碼和成員

• 以當(dāng)前組為附加組的用戶列表：(分隔符為逗號(hào))

  [root@localhost ~]# cat /etc/gshadow
  root:::
  bin:::bin,daemon
  daemon:::bin,daemon
  sys:::bin,adm
  
  

1.5.5 創(chuàng)建組：

語(yǔ)法：groupadd [OPTION]... group_name

• -g GID: 指明GID號(hào)侣签；[GID_MIN, GID_MAX]
• -r: 創(chuàng)建系統(tǒng)組
  • CentOS 6: ID<500
  • CentOS 7: ID<1000

1.5.6 修改和刪除組：

• 組屬性修改：groupmod
  語(yǔ)法：

    -n group_name: 新名字
    -g GID: 新的GID

• 組刪除：groupdel
  groupdel GROUP

1.5.7 更改組密碼

    組密碼：gpasswd
    gpasswd [OPTION] GROUP
        -a user  將user添加至指定組中
        -d user  從指定組中移除用戶user
        -A user1,user2,...  設(shè)置有管理權(quán)限的用戶列表
    newgrp命令：臨時(shí)切換主組
            如果用戶本不屬于此組塘装，則需要組密碼

2 文件權(quán)限：

2.1 文件的權(quán)限主要針對(duì)三類對(duì)進(jìn)行定義

• owner: 屬主, u，文檔所有者
• group: 屬組, g影所，文檔所屬組用戶
• other: 其他, o蹦肴，其他用戶
• 每個(gè)文件針對(duì)每類訪問(wèn)者都義了三種權(quán)限
  • r: Readable：讀
  • w: Writable：寫(xiě)
  • x: eXcutable：執(zhí)行

2.2 文件和目錄權(quán)限的區(qū)別：

• 文件：
  • r: 可使用文件查看類工具獲取其內(nèi)容
  • w: 可修改其內(nèi)容
  • x: 可以把此文件提請(qǐng)內(nèi)核啟動(dòng)為一個(gè)進(jìn)程
• 目錄：
  • r: 可以使用ls查看此目錄中文件列表
  • w: 可在此目錄中創(chuàng)建文件，也可刪除此目錄中的文件
  • x: 可以使用ls -l查看此目錄中文件列表猴娩，可以cd進(jìn)入此目錄

2.3 修改文件權(quán)限：

```
chmod [OPTION]... OCTAL-MODE FILE...
      -R: 遞歸修改權(quán)限（改目錄的時(shí)候想修改目錄內(nèi)部所有文件的權(quán)限阴幌，但是不建議）
chmod [OPTION]... MODE[,MODE]... FILE...
      MODE：
      修改一類用戶的所有權(quán)限：
        u=  g= o= ug=  a= u=,g=
      修改一類用戶某位或某些位權(quán)限
        u+  u- g+ g- o+ o- a+ a- + -
chmod [OPTION]... --reference=RFILE FILE...
    （referance）參考RFILE文件的權(quán)限勺阐，將FILE的修改為同RFILE
```

2.4 修改文件的屬組和屬主：

• 修改文件的屬主：chown
  • chown [OPTION]... [OWNER][:[GROUP]] FILE...
  • 用法：
    • OWNER
    • OWNER:GROUP
    • :GROUP
    • 命令中的冒號(hào)可用.替換
    • -R: 遞歸
• 語(yǔ)法：-chown [OPTION]... --reference=RFILE FILE...
• 修改文件的屬組：chgrp

   chgrp [OPTION]... GROUP FILE...
   chgrp [OPTION]... --reference=RFILE FILE...
   -R 遞歸
  

注意：
- (權(quán)限一定要給全，不然會(huì)從左邊補(bǔ)全矛双，例如如果給77渊抽，則默認(rèn)為077）
- (目錄一定要有執(zhí)行權(quán)限，普通文件不能隨便給執(zhí)行權(quán)限（防止一些惡意文件留后門）)议忽，
- (只寫(xiě)+w,只有屬主加寫(xiě)權(quán)限)

2.5 新建文件和目錄的默認(rèn)權(quán)限

• umask值 可以用來(lái)保留在創(chuàng)建文件權(quán)限
• 新建FILE權(quán)限: 666-umask
  • 如果所得結(jié)果某位存在執(zhí)行（奇數(shù)）權(quán)限腰吟，則將其權(quán)限+1
• 新建DIR權(quán)限: 777-umask
• 非特權(quán)用戶umask是 002
• root的umask 是 022
• umask: 查看
• umask #: 設(shè)定
  • umask 002
• umask –S 模式方式顯示
• umask –p 輸出可被調(diào)用
• 全局設(shè)置： /etc/bashrc 用戶設(shè)置：~/.bashrc

2.6 訪問(wèn)控制列表

• ACL：Access Control List，實(shí)現(xiàn)靈活的權(quán)限管理

• 除了文件的所有者徙瓶，所屬組和其它人毛雇，可以對(duì)更多的用戶設(shè)置權(quán)限

• CentOS7 默認(rèn)創(chuàng)建的xfs和ext4文件系統(tǒng)具有ACL功能

• CentOS7 之前版本，默認(rèn)手工創(chuàng)建的ext4文件系統(tǒng)無(wú)ACL功能,需手動(dòng)增加

  • tune2fs –o acl /dev/sdb1
  • mount –o acl /dev/sdb1 /mnt/test

• ACL生效順序：所有者侦镇，自定義用戶灵疮，自定義組，其他人

• 為多用戶或者組的文件和目錄賦予訪問(wèn)權(quán)限r(nóng)wx

  • mount -o acl /directory
  • getfacl file |directory
  • setfacl -m u:wang:rwx file|directory
  • setfacl -Rm g:sales:rwX directory
  • setfacl -M file.acl file|directory
  • setfacl -m g:salesgroup:rw file| directory
  • setfacl -m d:u:wang:rx directory
  • setfacl -x u:wang file |directory
  • setfacl -X file.acl directory

  [root@localhost ~]# getfacl linux222.txt
  # file: linux222.txt
  # owner: root
  # group: root 
  user::rw-
  group::r--
  other::r--
  
  [root@localhost ~]# setfacl -m u:vampire:wx linux222.txt
  [root@localhost ~]# getfacl linux222.txt
  # file: linux222.txt
  # owner: root
  # group: root
  user::rw-
  user:vampire:-wx
  group::r--
  mask::rwx
  other::r--