密碼

• /usr/share/doc/setup*/uidgid
  保留的用戶名和組的ID記錄UID,GID

• /etc/login.defs

  • 用戶郵件目錄
  • 用戶密碼 期限
  • 用戶uid/gid 可用的范圍(最小值儡羔，最大值)
  • 用戶uid/gid 可用的范圍(最小值逝钥，最大值)
  • 用戶創(chuàng)建時(shí)是否創(chuàng)建home目錄
  • UMASK 創(chuàng)建用戶家目錄的權(quán)限
  • 使用userdel時(shí)疗锐，如果組內(nèi)沒有成員，可以刪除用戶組
  • passwd 創(chuàng)建密碼時(shí)的加密方式（SHA512）

• /etc/security/pwquality.conf
  密碼規(guī)則蝴簇，密碼的復(fù)雜度要求

• chage ---更改用戶密碼有效期信息
  chage -M 90 username
  設(shè)置用戶密碼在90天內(nèi)過期
  chage <username>
  交互式的設(shè)置用戶密碼有效期信息

• /etc/bashrc
  PS1
  umask 設(shè)置對(duì)新創(chuàng)建的文件或目錄應(yīng)用哪些權(quán)限
  對(duì)PS1修改，shell的定制到/etc/profile.d/下進(jìn)行

• /etc/profile /etc/profile.d/*.sh
  環(huán)境變量、 登陸初始化

• UMASK
  出于安全原因，默認(rèn)情況下泞莉，常規(guī)文件不能具有執(zhí)行權(quán)限。因此船殉，即使umask為0000（不禁止任何權(quán)限）鲫趁，新的常規(guī)文件仍然沒有執(zhí)行權(quán)限。但是捺弦，可以使用執(zhí)行權(quán)限創(chuàng)建目錄(目錄777 文件666)：

  • -S 顯示mask后的實(shí)際字符權(quán)限

[john@server tmp]$ umask 0000
[john@server tmp]$ touch file
[john@server tmp]$ mkdir directory
[john@server tmp]$ ls -lh .
total 0
drwxrwxrwx. 2 john john 40 Nov  2 13:17 directory
-rw-rw-rw-. 1 john john  0 Nov  2 13:17 file

[tom@localhost ~]$ umask
0002
[tom@localhost ~]$ umask -S
u=rwx,g=rwx,o=rx
[tom@localhost ~]$ 

目錄777 文件666

• 添加用戶

useradd [options] username

juan:!!:14798:0:99999:7:::

在/etc/shadow文件的密碼字段中會(huì)出現(xiàn)兩個(gè)感嘆號(hào)（!!）火俄，它會(huì)鎖定該帳戶犯建。

• 創(chuàng)建組

groupadd [options] group_name

• usermod 將現(xiàn)有用戶添加到現(xiàn)有組

usermod -g group_name user_name # 改變用戶的屬組 (不保留原有的)
usermod -G group_name1,group_name2,... user_name # 改變用戶的有多個(gè)屬組(不保留原有)
usermod -aG group_name1,group_name2,... user_name # 為用戶添加多個(gè)屬組(保留原有的)

• passwd [選項(xiàng)] user
  passwd [-k] [-l] [-u [-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warndays] [-i inactivedays] [-S] [--stdin] [username]

• /etc/passwd
  name:password:UID:GID:GECOS:directory:shell
  GECOS: 注釋，常用全名

• /etc/shadow

• ACLS
  • 設(shè)置ACL
    setfacl -m rules files
    rules:
    • u:uid:perms
      設(shè)置用戶的訪問ACL胶惰。可以指定用戶名或UID霞溪。該用戶可以是系統(tǒng)上的任何有效用戶孵滞。
    • g:gid:perms
      設(shè)置組的訪問ACL中捆。可以指定組名或GID坊饶。該組可以是系統(tǒng)上的任何有效組泄伪。
    • m:perms
      設(shè)置有效權(quán)限掩碼。掩碼是擁有組的所有權(quán)限以及所有用戶和組條目的并集幼东。
    • o:perms
      為文件組中的用戶以外的用戶設(shè)置訪問ACL臂容。
      perms（權(quán)限）必須是字符r科雳，w和x的組合根蟹，才能進(jìn)行讀取，寫入和執(zhí)行糟秘。
      例如简逮，向用戶andrius授予讀寫權(quán)限：
      # setfacl -m u:andrius:rw /project/somefile
      例如，要?jiǎng)h除用戶尿赚，組或其他用戶的所有權(quán)限散庶，請(qǐng)使用-x選項(xiàng)，并且不要指定任何權(quán)限：
      # setfacl -x rules files
      例如凌净，要從具有UID 500的用戶中刪除所有權(quán)限悲龟，請(qǐng)執(zhí)行以下操作：
      # setfacl -x u:500 /project/somefile
  • 恢復(fù)默認(rèn)ACLs
    要設(shè)置默認(rèn)ACL，請(qǐng)?jiān)谝?guī)則前添加d:并指定目錄而不是文件名冰寻。
    例如须教，要將/ share /目錄的默認(rèn)ACL設(shè)置為對(duì)不在用戶組中的用戶讀取和執(zhí)行（單個(gè)文件的訪問ACL可以覆蓋它）：
    # setfacl -m d:o:rx /share
  • 查看ACLs
    getfacl

https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/index

特殊權(quán)限 suid sgid sticky

• SUID(setuid)
  功用：用戶運(yùn)行某程序時(shí)，如果此程序擁有SUID權(quán)限斩芭，那么程序運(yùn)行時(shí)轻腺，進(jìn)程的屬主不是發(fā)起者，而是程序文件自己的屬主划乖。
  
  
  
  
  設(shè)置setuid后在屬主的x位表示

• sgid(setgid)

功用：當(dāng)目錄屬組有寫權(quán)限贬养，且有SGID權(quán)限時(shí)，那么所有屬于此目錄的屬組琴庵，且以屬組的身份在此目錄中新建文件或者目錄時(shí)误算，新文件的屬組不是用戶的基本組，而是此目錄的屬組迷殿。

設(shè)置setgid后在屬組的x位表示

• sticky
  功用：對(duì)于屬組或全局可寫的目錄尉桩，組內(nèi)的所有用戶或系統(tǒng)上的所有用戶對(duì)在此目錄中都能創(chuàng)建新文件或刪除所有的已有文件，如果為此類目錄設(shè)置sticky權(quán)限贪庙，則每個(gè)用戶都能創(chuàng)建新文件蜘犁，且只能刪除自己的文件。
  
  
  
  
  

設(shè)置sticky后在全局(other)的x位表示

設(shè)置方法