本章节介绍如何管理本地用户和组。都是基础中必须要掌握的技能,需要多理解和实 *** 。
文章目录运维基本功专栏地址:https://blog.csdn.net/qq_41765918/category_11608412.html
九、管理本地用户和组
9.1 Linux 安全模型
9.1.1 用户9.1.2 用户组9.1.3 用户和组的关系 9.2 用户和组的配置文件
9.2.1 用户和组的主要配置文件9.2.2 passwd文件格式9.2.3 shadow文件格式9.2.4 group文件格式9.2.5 gshdow文件格式9.2.6 文件 *** 作 9.3 用户和组管理命令
9.3.1 用户创建9.3.2 用户属性修改9.3.3 删除用户9.3.4 查看用户相关的ID信息9.3.5 切换用户或以其他用户身份执行命令9.3.6 设置密码9.3.7 修改用户密码策略9.3.8 创建组9.3.9 组删除9.3.10 更改和查看组成员 总结
9.1 Linux 安全模型 9.1.1 用户Linux中每个用户是通过User Id (UID)来唯一标识的
管理员:root, 0普通用户:1-60000 自动分配
系统用户:1-499 (rhel 6以前), 1-999 (rhel 7以后)
对守护进程获取资源进行权限分配登录用户:500+ (rhel6 以前), 1000+(rhel7以后)
给用户进行交互式登录使用
9.1.2 用户组
Linux中可以将一个或多个用户加入用户组中,用户组是通过Group ID(GID) 来唯一标识的。
管理员组:root, 0普通组:
系统组:1-499(rhel 6以前), 1-999(rhel7以后), 对守护进程获取资源进行权限分
配普通组:500+(rhel 6以前), 1000+(rhel7以后), 给用户使用
9.1.3 用户和组的关系
用户的主要组(primary group):用户必须属于一个且只有一个主组,默认创建用户时会自动创建
和用户名同名的组,做为用户的主要组,由于此组中只有一个用户,又称为私有组用户的附加组(supplementary group): 一个用户可以属于零个或多个辅助组,附属组
范例:
[root@servera ~]# id mysql uid=27(mysql) gid=27(mysql) groups=27(mysql) [root@servera ~]# id student
Linux安全上下文Context:运行中的程序,即进程 (process),以进程发起者的身份运行,进程所能够
访问资源的权限取决于进程的运行者的身份
比如:分别以root 和普通用户的身份运行/bin/cat /etc/shadow ,得到的结果是不同的,资源能否能
被访问,是由运行者的身份决定,非程序本身
范例:
[student@servera ~]$ cat /etc/shadow cat: /etc/shadow: Permission denied [root@servera ~]# cat /etc/shadow root:$dV.Vb.MYhHB82gJz$FnOeixf0W.UgV.Vd4xx8yWuJT.fSJbGTXpdpQ0K9BwWzI5hWeG4lWQYisFNz.LReR5rcz6QFg9sc9SBZxYXhP0::0:99999:7::: bin:*:18199:0:99999:7::: daemon:*:18199:0:99999:7::: adm:*:18199:0:99999:7:::9.2 用户和组的配置文件 9.2.1 用户和组的主要配置文件
/etc/passwd:用户及其属性信息(名称、UID、主组ID等)/etc/shadow:用户密码及其相关属性/etc/group:组及其属性信息/etc/gshadow:组密码及其相关属性 9.2.2 passwd文件格式
student:x:1000:1000:student:/home/student:/bin/bash
login name:登录用名(student)passwd:密码 (x)UID:用户身份编号 (1000)GID:登录默认所在组编号 (1000)GECOS:用户全名或注释home directory:用户主目录 (/home/student)shell:用户默认使用shell (/bin/bash) 9.2.3 shadow文件格式
student:NaBMjQ...::0:99999:7:::
登录用名用户密码:一般用sha512加密从1970年1月1日起到密码最近一次被更改的时间密码再过几天可以被变更(0表示随时可被变更)密码再过几天必须被变更(99999表示永不过期)密码过期前几天系统提醒用户(默认为一周)密码过期几天后帐号会被锁定从1970年1月1日算起,多少天后帐号失效字段保留
更改密码加密算法:
authconfig --passalgo=sha256 --update
密码的安全策略
足够长使用数字、大写字母、小写字母及特殊字符中至少3种使用随机密码定期更换,不要使用最近曾经使用过的密码
范例:生成随机密码
[root@servera ~]# openssl rand -base64 9 JcEFSIbX3xGl
生成随机密码:https://suijimimashengcheng.51240.com/
9.2.4 group文件格式student:x:1000: mail:x:12:postfix
群组名称:就是群组名称
群组密码:通常不需要设定,密码是被记录在 /etc/gshadow
GID:就是群组的 ID
以当前组为附加组的用户列表(分隔符为逗号)
student:!::
群组名称:就是群的名称
群组密码:
组管理员列表:组管理员的列表,更改组密码和成员
以当前组为附加组的用户列表:多个用户间用逗号分隔
vipw和vigrpwck和grpck 9.3 用户和组管理命令
用户管理命令
useradd 创建用户usermod 修改用户属性userdel 删除用户
组帐号维护命令
groupadd 创建组groupmod 修改属性groupdel 删除组 9.3.1 用户创建
useradd 命令可以创建新的Linux用户
格式:
useradd [options] LOGIN
常见选项:
-u UID -e 设定用户什么时候失效 -o 配合-u 选项,不检查UID的唯一性 -g GID 指明用户所属基本组,可为组名,也可以GID -c "COMMENT“ 用户的注释信息 -d HOME_DIR 以指定的路径(不存在)为家目录 -s SHELL 指明用户的默认shell程序,可用列表在/etc/shells文件中 -G GROUP1[,GROUP2,...] 为用户指明附加组,组须事先存在 -N 不创建私用组做主组,使用users组做主组 -r 创建系统用户 rhel 6之前: ID<500,rhel 7以后: ID<1000 -m 创建家目录,用于系统用户 -M 不创建家目录,用于非系统用户
范例:
useradd -r -u 48 -g apache -s /sbin/nologin -d /var/www -c "Apache" apache9.3.2 用户属性修改
usermod 命令可以修改用户属性
格式:
usermod [OPTION] login
常见选项:
-u UID: 新UID -g GID: 新主组 -G GROUP1[,GROUP2,...[,GROUPN]]]:新附加组,原来的附加组将会被覆盖;若保留原有,则要同时使 用-a选项 -s SHELL:新的默认SHELL -c 'COMMENT':新的注释信息 -d HOME: 新家目录不会自动创建;若要创建新家目录并移动原家数据,同时使用-m选项 -l login_name: 新的名字 -L: lock指定用户,在/etc/shadow 密码栏的增加 ! -U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉 -e YYYY-MM-DD: 指明用户账号过期日期 -f INACTIVE: 设定非活动期限,即宽限期9.3.3 删除用户
userdel 可删除Linux 用户
格式:
userdel [OPTION]... Login
常见选项:
-f, --force 强制 -r, --remove 删除用户家目录和邮箱9.3.4 查看用户相关的ID信息
id 命令可以查看用户的UID,GID等信息
id [OPTION]... [USER]
常见选项:
-u: 显示UID -g: 显示GID -G: 显示用户所属的组的ID -n: 显示名称,需配合ugG使用9.3.5 切换用户或以其他用户身份执行命令
su: 即 switch user,命令可以切换用户身份,并且以指定用户的身份执行命令
格式:
su [options...] [-] [user [args...]]
常见选项:
-l --login su -l UserName 相当于 su - UserName -c, --commandpass a single command to the shell with -c
切换用户的方式:
su UserName:非登录式切换,即不会读取目标用户的配置文件,不改变当前工作目录,即不完
全切换su - UserName:登录式切换,会读取目标用户的配置文件,切换至自已的家目录,即完全切换
说明:root su至其他用户无须密码;非root用户切换时需要密码
注意:su 切换新用户后,使用 exit 退回至旧的用户,而不要再用 su 切换至旧用户,否则会生成很多的
bash子进程,环境可能会混乱。
换个身份执行命令:
su [-] UserName -c 'COMMAND'
范例:
[root@servera hao]# su - hao -c "touch hao.txt" [root@servera hao]# ll ~hao total 0 -rw-rw-r--. 1 hao hao 0 Mar 26 22:07 hao.txt9.3.6 设置密码
格式:
passwd [OPTIONS] UserName
常用选项:
-d:删除指定用户密码 -l:锁定指定用户 -u:解锁指定用户 -e:强制用户下次登录修改密码 -f:强制 *** 作 -n mindays:指定最短使用期限 -x maxdays:最大使用期限 -w warndays:提前多少天开始警告 -i inactivedays:非活动期限 --stdin:从标准输入接收用户密码,Ubuntu无此选项
范例:非交互式修改用户密码
[root@servera ~]# echo 'redhat' | passwd --stdin redhat Changing password for user redhat. passwd: all authentication tokens updated successfully.9.3.7 修改用户密码策略
chage 可以修改用户密码策略
格式:
chage [OPTION]... LOGIN
常见选项:
-d LAST_DAY #更改密码的时间 -m --mindays MIN_DAYS -M --maxdays MAX_DAYS -W --warndays WARN_DAYS -I --inactive INACTIVE #密码过期后的宽限期 -E --expiredate EXPIRE_DATE #用户的有效期 -l 显示密码策略
范例:
[root@servera ~]# chage -m 3 -M 30 -W 14 -I 7 -E 2021-03-27 hao [root@servera ~]# chage -l hao Last password change : password must be changed Password expires : password must be changed Password inactive : password must be changed Account expires : Mar 27, 2021 Minimum number of days between password change : 3 Maximum number of days between password change : 30 Number of days of warning before password expires : 14
范例:用户下次登录需要更改密码
[root@servera ~]# chage -d 0 hao9.3.8 创建组
groupadd实现创建组
格式
groupadd [OPTION]... group_name
常见选项:
-g GID 指明GID号;[GID_MIN, GID_MAX]
-r 创建系统组,CentOS 6之前: ID<500,CentOS 7以后: ID<1000
范例:
groupadd -g 48 -r apache
groupmod 组属性修改
格式:
groupmod [OPTION]... group
常见选项:
-n group_name: 新名字
-g GID: 新的GID
groupdel 可以删除组
格式
groupdel [options] GROUP
常见选项:
-f, --force 强制删除,即使是用户的主组也强制删除组
groupmems 可以管理附加组的成员关系
格式
groupmems [options] [action]
常见选项:
-g, --group groupname #更改为指定组 (只有root) -a, --add username #指定用户加入组 -d, --delete username #从组中删除用户 -p, --purge #从组中清除所有成员 -l, --list #显示组成员列表
范例:
[root@servera ~]# id student uid=1000(student) gid=1000(student) groups=1000(student) [root@servera ~]# groupmems -l -g admins [root@servera ~]# groupmems -a student -g admins [root@servera ~]# groupmems -l -g admins student [root@servera ~]# id student uid=1000(student) gid=1000(student) groups=1000(student),1001(admins) [root@servera ~]# groupmems -a student -g mysql [root@servera ~]# id student uid=1000(student) gid=1000(student) groups=1000(student),27(mysql),1001(admins)
groups 可查看用户组关系
格式:
#查看用户所属组列表 groups [OPTION].[USERNAME]...总结
介绍Linux 安全模型。介绍如何运用用户和组的配置文件。介绍如何运用用户和组管理命令。若喜欢金鱼哥的文章,顺手点个赞。也可点个关注,因为后续会不断上干货。
欢迎分享,转载请注明来源:内存溢出
评论列表(0条)