在 Linux 操作系統(tǒng)的管理領(lǐng)域中，賬號(hào)和權(quán)限管理是保障系統(tǒng)安全、穩(wěn)定運(yùn)行的核心要素。通過(guò)合理配置用戶賬號(hào)和組賬號(hào)，以及精確設(shè)置目錄與文件的權(quán)限和歸屬，能夠有效控制系統(tǒng)資源的訪問(wèn)，避免非法操作和數(shù)據(jù)泄露風(fēng)險(xiǎn)，為系統(tǒng)構(gòu)建起堅(jiān)實(shí)的安全防線。

本文將全面深入地探討 Linux 系統(tǒng)中賬號(hào)和權(quán)限管理的各個(gè)關(guān)鍵方面。從剖析用戶賬號(hào)和組賬號(hào)的基本概念、詳細(xì)介紹相關(guān)配置文件的結(jié)構(gòu)與功能，到講解用戶賬號(hào)和組賬號(hào)的創(chuàng)建、修改、刪除等操作方法，再到闡述目錄和文件權(quán)限及歸屬的查看、設(shè)置技巧，涵蓋了從理論基礎(chǔ)到實(shí)際操作的全方位知識(shí)體系，助力讀者熟練掌握這一重要的系統(tǒng)管理技能,確保Linux系統(tǒng)在安全的軌道上高效運(yùn)行。

一、管理用戶賬號(hào)和組賬號(hào)

與 windows 操作系統(tǒng)相比，Linux 操作系統(tǒng)中的用戶賬號(hào)和組賬號(hào)的作用在本質(zhì)上是一樣的，同樣都是基于用戶身份來(lái)控制對(duì)資源的訪問(wèn)，只不過(guò)在表現(xiàn)形式及個(gè)別細(xì)節(jié)方面存在一些差異。

本小節(jié)將介紹 Linux 操作系統(tǒng)中用戶賬號(hào)和組賬號(hào)、以及管理它們的相關(guān)概念。

1、用戶賬號(hào)和組賬號(hào)概述

與 windows 操作系統(tǒng)一樣，Linux 操作系統(tǒng)的每一個(gè)用戶賬號(hào)也都有唯一的用戶名與密碼。用戶在登錄時(shí)輸入正確的用戶名和密碼，就能夠進(jìn)入操作系統(tǒng)和自己的主目錄。

（1）用戶賬號(hào)類型

（2）組賬號(hào)

基于某種特定聯(lián)系（如都要訪問(wèn) FTP服務(wù)）將多個(gè)用戶集合在一起，即構(gòu)成一個(gè)用戶組，表示該組內(nèi)所有用戶的賬號(hào)稱為組賬號(hào)。

組賬號(hào)分為以下兩種：

（3）UID 和 GID 號(hào)

注意：

UID/GID 唯一性：每個(gè)用戶/組的UID/GID原則上唯一，沖突可能導(dǎo)致權(quán)限混亂。系統(tǒng)通過(guò)UID識(shí)別用戶身份，而非用戶名（如root的UID固定為0）。

權(quán)限關(guān)聯(lián)：用戶的基本組GID默認(rèn)與其UID相同（如用戶zhangsan的GID可能為1001）。文件權(quán)限中顯示的UID/GID對(duì)應(yīng)所有者及所屬組。

2、用戶賬號(hào)管理

Linux 操作系統(tǒng)中的用戶賬號(hào)、密碼等信息均保存在相應(yīng)的配置文件中，直接修改這些文件或者使用用戶管理命令都可以對(duì)用戶賬號(hào)進(jìn)行管理。

（1）用戶賬號(hào)文件

與用戶賬號(hào)相關(guān)的配置文件主要有兩個(gè)，分別是/etc/passwd 和/etc/shadow。前者用于保存用戶名稱、宿主目錄、登錄 she11 等基本信息，后者用于保存用戶的密碼、賬號(hào)有效期等信息。在這兩個(gè)配置文件中，每一行對(duì)應(yīng)一個(gè)用戶賬號(hào)，不同的配置項(xiàng)之間使用“:”(冒號(hào))進(jìn)行分隔。

1. /etc/passwd 文件

操作系統(tǒng)中所有用戶的賬號(hào)基本信息都保存在/etc/passwd 文件中，該文件是文本文件，任何用戶都可以讀取文件中的內(nèi)容。

在 passwd 文件開(kāi)頭的部分，包括超級(jí)用戶 root 及各程序用戶的賬號(hào)信息，系統(tǒng)中新增加的用戶賬號(hào)信息將保存到 passwd 文件的末尾。

passwd 文件的每一行內(nèi)容中包含了七個(gè)用“:”(冒號(hào))分隔的配置字段，從左到右各配置字段的含義分別如下所述。

文件屬性

• 權(quán)限：僅root可讀寫(xiě)，普通用戶無(wú)訪問(wèn)權(quán)限。
• 安全機(jī)制：防止密碼哈希被暴力 破解，增強(qiáng)系統(tǒng)安全性。

（2）添加、修改、刪除用戶賬號(hào)

1、添加用戶賬號(hào)——useradd

• 格式： useradd [選項(xiàng)] 用戶名

shadow 文件的每一行內(nèi)容中包含了九個(gè)用“:”(冒號(hào))分隔的配置字段，從左到右各配置字段的含義分別如下所述。

文件屬性權(quán)限：僅root可讀寫(xiě)，普通用戶無(wú)訪問(wèn)權(quán)限。安全機(jī)制：防止密碼哈希被暴力破解，增強(qiáng)系統(tǒng)安全性。

（2）添加、修改、刪除用戶賬號(hào)

1、添加用戶賬號(hào)——useradd

格式： useradd [選項(xiàng)] 用戶名

2、為用戶賬號(hào)設(shè)置密碼——passwd

通過(guò)useradd命令新增用戶賬號(hào)以后，還需要為其設(shè)置一個(gè)密碼才能正常使用。

使用passwd命令可以設(shè)置或修改密碼，root用戶有權(quán)管理其他賬號(hào)的密碼（指定賬號(hào)名稱座位參數(shù)即可）。

用戶賬號(hào)具有可用的登錄密碼以后，雖然 root 用戶可以指定用戶名為參數(shù)，對(duì)指定賬號(hào)的密碼進(jìn)行管理，但是普通用戶卻只能執(zhí)行單獨(dú)的“passwd”命令修改自己的密碼。

3、修改用戶賬號(hào)屬性——usermod

4、刪除用戶賬號(hào)——userdel

當(dāng)操作系統(tǒng)中的某個(gè)用戶賬號(hào)不在使用時(shí)，可以使用userdel命令將該用戶賬戶刪除。

• userdel -r 賬戶名
• “-r”可以刪除用戶目錄。

（3）用戶賬號(hào)的初始配置文件、

添加一個(gè)新的用戶賬號(hào)后，useradd命令會(huì)在該用戶的宿主目錄中建立一些初始配置文件。

這些文件來(lái)自于賬號(hào)模板目錄/etc/skel/，基本上都是隱藏文件，較常用的初始配置文件包括“.bash_logout”、

“.bash_profile”、“.bashrc”。

可用ls -a查看。

（4）組賬號(hào)管理

對(duì)于用戶賬號(hào)來(lái)說(shuō)，對(duì)應(yīng)的組賬號(hào)可分為基本組和附加組兩種類型。每一個(gè)用戶賬號(hào)可以是多個(gè)組賬號(hào)的成員,但是其基本組賬號(hào)只有一個(gè)。在/etc/asswd 文件中第 4 字段記錄的即為該用戶的基本組 GID號(hào)。而對(duì)于該用戶還屬于哪些附加組，則需要在對(duì)應(yīng)組賬號(hào)的文件中體現(xiàn)。

1、組賬號(hào)文件

與組賬號(hào)相關(guān)的配置文件分別是/etc/group和/etc/gshadow。前者用于保存組賬號(hào)名稱、GID 號(hào)、組成員等基本信息，后者用于保存組賬號(hào)的加密密碼字串等信息(但是很少使用到)。某一個(gè)組賬號(hào)包含哪些用戶成員，將會(huì)在 group 文件內(nèi)最后一個(gè)字段中體現(xiàn)出來(lái)(基本組對(duì)應(yīng)的用戶賬號(hào)默認(rèn)可能不會(huì)列出)，多個(gè)組成員之間使用“,”(逗號(hào))分隔。

2、添加、管理、刪除組賬號(hào) 

（5）查詢賬號(hào)信息

二、權(quán)限管理

1、管理目錄和文件的屬性

在 Linux 文件系統(tǒng)的安全模型中，系統(tǒng)中的文件(或目錄)具有兩個(gè)屬性:訪問(wèn)權(quán)限和文件所有者，簡(jiǎn)稱權(quán)限和歸屬。其中，訪問(wèn)權(quán)限包括讀取、寫(xiě)入、可執(zhí)行三種基本類型，歸屬包括屬主(擁有該文件的用戶賬號(hào))、屬組(擁有該文件的組賬號(hào))。Linux 操作系統(tǒng)根據(jù)文件或目錄的訪問(wèn)權(quán)限、歸屬來(lái)對(duì)用戶訪問(wèn)數(shù)據(jù)的過(guò)程進(jìn)行控制。

（1）查看目錄和文件的屬性

以上，第 3、4 字段的數(shù)據(jù)分別表示該文件(或目錄)的屬主、屬組。

/etc/passwd 文件都屬于 root 用戶、root 組;

• 第1字段的數(shù)據(jù)表示該文件(或目錄)的訪問(wèn)權(quán)限，如“&rwxr-xx-x”和“-rw-r一r一”。權(quán)限字段由四部分組成，各自的含義如下所述。
• 第 1個(gè)字符:表示該文件的類型，可以是d(目錄)、b(塊設(shè)備文件)、c(字符設(shè)備文件)、“_”(普通文件)、字母“1”(鏈接文件)等。
• 第 2~4 個(gè)字符:表示該文件的屬主用戶(user)對(duì)該文件的訪問(wèn)權(quán)限。
• 第 5~7個(gè)字符:表示該文件的屬組內(nèi)各成員用戶(Group)對(duì)該文件的訪問(wèn)權(quán)限。
• 第 8~10 個(gè)字符:表示其他任何用戶(other)對(duì)該文件的訪問(wèn)權(quán)限。
• 第 11個(gè)字符:這里的“.”與 SELinux 有關(guān)，目前不必關(guān)注。

若用戶在對(duì)要訪問(wèn)的文件或目錄中不具備相應(yīng)的權(quán)限，則操作將被拒絕。

（2）設(shè)置目錄和文件的權(quán)限

需要設(shè)置文件或者目錄的權(quán)限時(shí)，主要通過(guò) chmod 命令進(jìn)行。在設(shè)置針對(duì)每一類用戶的訪問(wèn)權(quán)限時(shí)可以采用兩種形式的權(quán)限表示方法:字符形式和數(shù)字形式。

r、w、x權(quán)限字符可分別表示為八進(jìn)制數(shù)字 4、2、1，表示一個(gè)權(quán)限組合時(shí)需要將數(shù)字進(jìn)行累加。

chmod [ugoa...] [+-=] [rwx] 文件或目錄

或

• chmod nnn 文件或目錄
• “nnn”為需要設(shè)置的具體權(quán)限值，如“755”“644”等；
• “ugoa”表示該權(quán)限設(shè)置所針對(duì)的用戶類別。“u”代表文件屬主，“”代表文件屬組內(nèi)的用戶，“o”代表其他任何用戶，“a”代表所有用戶(u、g、o的總和)。
• “+-=”表示設(shè)置權(quán)限的操作動(dòng)作。“+”代表增加相應(yīng)權(quán)限，“-”代表減少相應(yīng)權(quán)限，“=”代表僅設(shè)置對(duì)應(yīng)的權(quán)限。
• “rwx”是權(quán)限的字符組合形式，也可以拆分使用，如“r”“rx”等。

（3）設(shè)置目錄和文件的歸屬

需要設(shè)置文件或者目錄的歸屬時(shí)，主要通過(guò) chowm 命令進(jìn)行?？梢灾辉O(shè)置屬主或?qū)俳M，也可以同時(shí)設(shè)置屬主、屬組。使用 chow 命令的基本格式如下:

• chown 屬主:屬組 文件或目錄...
• 同時(shí)設(shè)置屬主、屬組時(shí)，用戶名和組名之間用“:”進(jìn)行分隔。若只設(shè)置屬組，則需使用“:組名”的形式。

（4）設(shè)置目錄和文件的默認(rèn)權(quán)限

umask 就是默認(rèn)指定目前用戶在新建文件或目錄時(shí)的權(quán)限默認(rèn)值。

直接執(zhí)行“uwask”命令就是查看當(dāng)前系統(tǒng)的默認(rèn)權(quán)限。

例如：執(zhí)行“umask 022”即可以設(shè)置當(dāng)前用戶的默認(rèn)權(quán)限。

要注意的是，uwask 的分?jǐn)?shù)指的是“該默認(rèn)值需要減掉的權(quán)限”。因此r、w、x分別是 4、2、1，如果執(zhí)行“umask 022”代表 group和 other 被拿掉了權(quán)限“2”,也就是被拿掉了“寫(xiě)”權(quán)限。

如果執(zhí)行命令“umask 000”，代表文件的默認(rèn)權(quán)限是“777”。

總結(jié)

以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。