Centos7安裝完系統(tǒng)后如果沒有創(chuàng)建用戶，默認只有root用戶，權(quán)限最大可以做任何事，但實際生產(chǎn)環(huán)境中我們一般不會使用這個用戶，因為權(quán)限太大所有命令都能執(zhí)行，很危險，所以在生產(chǎn)環(huán)境中會創(chuàng)建一個或者多個用戶賬戶，分配合適的權(quán)限來使用操作.

• /etc/passwd          //此文件保存著,用戶名、密碼、UID、GID、用戶描述、主目錄
• /etc/shadow         //此文件記錄的行與passwd中的行一一對應(yīng)，保存著：用戶名：密碼：最后一次修改時間：最小時間間隔：最大時間間隔：警告時間：不活動時間：失效時間：標志
• /etc/group          //次文件保存著,用戶名稱、用戶組密碼、GID、用戶列表
• /etc/profile          //次文件保存著全局環(huán)境變量，由系統(tǒng)管理員管理

一.用戶管理

1.創(chuàng)建用戶

命令用法：useradd 或 adduser [option] 用戶名

• useradd 或 adduser –D                    用來查看創(chuàng)建賬戶時的默認值
• useradd 或 adduser –D [option]        用來指定或修改創(chuàng)建賬戶時的默認值

一般可以修改默認值的參數(shù)有：-b –e –f –g –s）

創(chuàng)建名為jerry的用戶，指定HOME目錄:/home/h_jerry,指定UID 1022，不創(chuàng)建同名用戶組，指定密碼：jerry，指定shell:/bin/sh，指定賬戶過期時間：2017-08-09，允許密碼過期后使用，添加用戶描述：first user

useradd -m -d /home/h_jerry -u 1022 -N -p jerry -s /bin/sh -e 2017-08-09 -f -1 -c "first user" jerry

驗證用戶的uid

[root@master ~]#id jerry
uid=1022(jerry) gid=100(users) groups=100(users)

 /etc/passwd文件對應(yīng)的jerry行的信息

[root@master ~]#cat /etc/passwd |grep jerry
jerry:x:1022:100:first user:/home/h_jerry:/bin/sh

• 此文件由7段冒號隔開的字段
• 第一字段  jerry表是用戶名
• 第二字段  X表示加密碼后的密碼
• 第三字段  1022表示UID
• 第四字段  100表示組ID
• 第五字段  first user表示描述信息
• 第六字段  /home/h_jerry表示家目錄
• 第七字段  /bin/sh表示登錄的sehll

看一下/etc/shadow文件中的內(nèi)容jerry的信息

[root@master ~]#cat /etc/shadow |grep jerry
jerry:jerry:17386:0:99999:7::17387:

/etc/shadow文件由9個字段組成，用:分隔

• 第一字段    jerry:表示用戶名
• 第二字段    jerry:表示密碼，這里看到是明文的，并沒有被加密碼，但是passwd jerry來修改密碼后就會是加密的。
• 第三字段    17386：表示上次修改密碼的時間，這個時間是從1970年1月1號到最近一次修改密碼的時間間隔天數(shù)
• 第四字段    0：表示2次修改密碼間隔的天數(shù)，0表示禁用此功能
• 第五字段    99999：表示2次修改密碼間隔最多的天數(shù)，也有默認值，是通過/etc/login.defs中PASS_MAX_DAYS定義
• 第六字段    7：表示提前7天警告用戶密碼過期，也有默認值，是通過/etc/login.defs中PASS_WARN_AGE定義
• 第七字段    在密碼過期之后多少天禁用此用戶，也就是過期多少天后系統(tǒng)禁用此用戶，不能登錄，不會提示過期，完全禁用，空：表示密碼過期后賬號仍然可用（-f –1）
• 第八字段   17387:用戶過期日期（從19700101開始的天數(shù)）和創(chuàng)建用戶指定過期日期正好相符（-e 2017-08-09)
• 第九字段   保留字段 留空

看一下jerry的家目錄home目錄

[root@master ~]#ll /home

total 0

drwx------. 2 jerry users 62 Aug  8 21:37 h_jerry

[root@master ~]# ll -a /home/h_jerry/

total 16

drwx------. 2 jerry users  83 Aug  9 18:45 .

drwxr-xr-x. 4 root  root   33 Aug  9 18:39 ..

-rw-------. 1 jerry users  11 Aug  9 18:45 .bash_history

-rw-r--r--. 1 jerry users  18 Aug  3  2016 .bash_logout

-rw-r--r--. 1 jerry users 193 Aug  3  2016 .bash_profile

-rw-r--r--. 1 jerry users 231 Aug  3  2016 .bashrc

到這里用戶創(chuàng)建已經(jīng)成功，簡單梳理一下創(chuàng)建用戶時系統(tǒng)做了哪些事

• 如果創(chuàng)建用戶不帶參數(shù)，系統(tǒng)會根據(jù)默認值（/etc/default/useradd,/etc/login.defs)創(chuàng)建用戶及同名用戶組，并在HOME目錄里創(chuàng)建同名家目錄，默認的登錄shell為/bin/bash。
• 如果創(chuàng)建用戶時帶了參數(shù)，那么系統(tǒng)會根據(jù)參數(shù)來創(chuàng)建指定用戶信息。
• 用戶創(chuàng)建完成后，/etc/passwd,/etc/shadow這2個文件都會有相應(yīng)的用戶信息。
• 在用戶家目錄里都會產(chǎn)生.bash_history .bash_logou .bash_profile .bashrc4個隱藏文件。

2.用戶設(shè)置密碼

[root@master ~]#passwd jerry

Changing password for user jerry.

New password:

3.刪除用戶

userdel –r 用戶名 刪除用戶及家目錄

[root@master ~]#userdel -r tcl

[root@master ~]#ll /home

total 0

drwx------. 2 jerry users 83 Aug  9 18:45 h_jerry

drwx------. 2 test  test  83 Aug  9 18:45 test

4.修改用戶

選項參數(shù)   和useradd命令參數(shù)大致相同

• -d  --home HOME_DIR     指定新的家目錄
• -a  --append                   將用戶追加到附加組中而不移出其它組
• -l   --login NEW_LOGIN    指定新的用戶名
• -L  --lock                        鎖定用戶
• -m  --move-home            和-d選項結(jié)合使用，移動家目錄中的內(nèi)容到新的位置

舉例說明：

將jerry用戶改名為natasha，移動家目錄的內(nèi)容到/home/natasha，指定新的UID為1010，登錄shell改為/bin/bash，并鎖定用戶

[root@ha1 ~]# usermod -l natasha -d /home/natasha -m -u 1010 -s /bin/bash jerry

[root@ha1 ~]# ll /home

total 0

drwx------. 2 natasha users 83 Aug  9 18:45 natasha

drwx------. 2 test    test  83 Aug  9 18:45 test

[root@ha1 ~]# id natasha

uid=1010(natasha) gid=100(users) groups=100(users)

[root@ha1 ~]# cat /etc/passwd |grep natasha

natasha:x:1010:100:first user:/home/natasha:/bin/bash

二.用戶組管理

1.創(chuàng)建組

選項：

• -f    --force     強制創(chuàng)建組即使組已存在，如果GID已存在將取消-g選項
• -g   --gid GID 指定組GID號

舉例說明：

創(chuàng)建一個名為natasha的組，并將用戶natasha和test分別加入natasha和test組中

[root@ha1 ~]# groupadd -g 1010 natasha 

[root@ha1 ~]# usermod -a -G test test 

[root@ha1 ~]# cat /etc/group |grep -E "natasha|test"

test:x:1023:test

natasha:x:1010:test,natasha

[root@ha1 ~]# usermod -a -G test natasha

[root@ha1 ~]# cat /etc/group |grep -E "natasha|test"

test:x:1023:test,natasha

natasha:x:1010:test,natasha

2.刪除組

groupdel 組名

3.修改組

groupmod 選項  組名 

選項：

• -g  --gid GID      改變組的ID號
• -n  --new-name  改變組名

用法和usermod類似 

總結(jié)一下，創(chuàng)建組后會在/etc/group,/etc/gshadow文件中產(chǎn)生相應(yīng)的組信息 

/etc/group文件格式說明：分為4個字段,用冒號隔開

natasha:x:1010:test,natasha

• 第一字段：表示組名
• 第二字段：表示組密碼，存放在/etc/gshadow文件中
• 第三字段：表示組ID號
• 第四字段：表示組成員，多個組成員用逗號隔開

/etc/gshadow文件格式說明：分為4個字段,用冒號隔開

natasha:!::test,natasha

• 第一字段：組名
• 第二字段：加密碼后的密碼
• 第三字段：組管理員（多個用,分隔）
• 第四字段：組成員（多個用,分隔）

三.文件,目錄權(quán)限管理

在linux中設(shè)置文件權(quán)限非常重要，也是最基本的。

linux文件的權(quán)限分為讀（r-4）寫（w-2）執(zhí)行（x-1），和windows一樣設(shè)置權(quán)限需要針對用戶，用戶所屬的組，還有其它用戶。

只有設(shè)置了正確的權(quán)限，相應(yīng)的用戶才能根據(jù)權(quán)限執(zhí)行相應(yīng)的操作，很多時候我們配置WEB服務(wù)，F(xiàn)TP服務(wù)等都需要對相應(yīng)的文件或文件夾賦與相應(yīng)的權(quán)限才能正常跑起來，有時遇到問題通過查看錯誤日志會發(fā)現(xiàn)很多情況下是由于權(quán)限不當(dāng)引起的。

文件權(quán)限分一般權(quán)限和特殊權(quán)限 

• 一般權(quán)限主要指的是：文件所有者的權(quán)限，所屬組的權(quán)限，其它用戶權(quán)限
• 特殊權(quán)限主要指的是：權(quán)限中帶s或S（SUID,SGID),t或T標志位

和文件權(quán)限有關(guān)的工具命令 

• ls –l    查看文件或目錄的權(quán)限
• umask   查看或設(shè)置權(quán)限遮罩（即實際權(quán)限=最大權(quán)限-遮罩值）
• chmod   改變文件或目錄的權(quán)限
• chown   更改文件或目錄的所有者
• chgrp    更改文件或目錄的所屬組
• getfacl   獲取文件或目錄權(quán)限訪問控制列表
• setfacl   設(shè)置文件或目錄權(quán)限訪問控制列表

先來看一下文件權(quán)限的查看方式，使用ll命令就可以查看長格式的文件權(quán)限等信息 

[root@ha1 test]# ll

 -rw-r--r--. 1 root root 67 Mar 29 20:07 README.md
 drwxr-xr-x. 3 root root 36 Mar 29 20:15 shell

[root@ha1 test]# ll /bin/passwd

-rwsr-xr-x. 1 root root 27832 Jun 10  2014 /bin/passwd

權(quán)限有3段組成，rwxrwxrwx代表最高權(quán)限，修改權(quán)限時也可以用777表示，-表示沒有此項權(quán)限,本該出現(xiàn)x的位置出現(xiàn)s表示擁有SUID權(quán)限。

SUID對應(yīng)4,SGID對應(yīng)2,SBIT對應(yīng)1

SUID只對二進制程序有效，執(zhí)行者對于程序需要有X權(quán)限，在程序運行過程中，執(zhí)行者(普通用戶)將臨時擁有程序所有者的權(quán)限

SGID對于文件來說只對二進制程序有效，普通用戶將會臨時擁有所屬組的權(quán)限，對于目錄來說，用戶對此目錄有RX權(quán)限可以進入目錄，用戶進入目錄后，有效用戶組會變成該目錄的用戶組，若用戶在此目錄有w權(quán)限，則用戶創(chuàng)建的文件用戶組與該目錄用戶組相同。

修改文件權(quán)限 chmod

例：將 a 文件權(quán)限修改為：所有者有rwx，所屬組：rx，其它用戶：無權(quán)限

[root@ha1 test]# chmod u+x,g+x,o-r a

[root@ha1 test]# ll

total 8

-rwxr-x---. 1 root root  0 Aug 10 19:01 a

修改文件所有者或所有組 chown chgrp 

例：將a文件所屬組改為natasha,將b目錄的所有者改為natasha

[root@ha1 test]# chgrp natasha a

[root@ha1 test]# chown -R natasha:root b

[root@ha1 test]# ll

total 8

-rwxr-x---. 1 root    natasha  0 Aug 10 19:01 a

drwxr-xr-x. 2 natasha root     6 Aug 10 19:05

設(shè)置更詳細的權(quán)限 getfacl setfacl 

例：查看a文件的詳細權(quán)限信息

[root@ha1 test]# getfacl a

# file: a

# owner: root

# group: natasha

user::rwx

group::r-x

other::---

例：將a文件權(quán)限設(shè)置為，test1用戶擁有rw權(quán)限，test2用戶擁有x權(quán)限，其它用戶擁有rx權(quán)限 

[root@ha1 test]# setfacl -m u:test1:rw,u:test2:x,o::rx a

[root@ha1 test]# getfacl a

# file: a

# owner: root

# group: natasha

user::rwx

user:test1:rw-

user:test2:--x

group::r-x

mask::rwx

other::r-x

總結(jié)

以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。

最新評論