linux用户管理与文件权限

linux用户管理与文件权限

一、用户、用户组管理

1.用户管理

1.添加用户

useradd 选项 用户名
选项:
	-c comment 指定一段注释性描述。
	-d 目录 指定用户主目录，如果此目录不存在，则同时使用-m选项，可以创建主目录。
	-g 用户组 指定用户所属的用户组。
	-G 用户组，用户组 指定用户所属的附加组。
	-s Shell文件 指定用户的登录Shell。
	-u 用户号 指定用户的用户号，如果同时有-o选项，则可以重复使用其他用户的标识号。

2.删除用户

userdel 选项 用户名
  -r, --remove                  删除主目录和邮件池

3.修改用户

usermod 选项 用户名
  -c, --comment 注释            GECOS 字段的新值
  -d, --home HOME_DIR           用户的新主目录
  -e, --expiredate EXPIRE_DATE  设定帐户过期的日期为 EXPIRE_DATE
  -f, --inactive INACTIVE       过期 INACTIVE 天数后，设定密码为失效状态
  -g, --gid GROUP               强制使用 GROUP 为新主组
  -G, --groups GROUPS           新的附加组列表 GROUPS
  -a, --append GROUP            将用户追加至上边 -G 中提到的附加组中，
                                并不从其它组中删除此用户
  -h, --help                    显示此帮助信息并推出
  -l, --login LOGIN             新的登录名称
  -L, --lock                    锁定用户帐号
  -m, --move-home               将家目录内容移至新位置 (仅于 -d 一起使用)
  -o, --non-unique              允许使用重复的(非唯一的) UID
  -p, --password PASSWORD       将加密过的密码 (PASSWORD) 设为新密码
  -R, --root CHROOT_DIR         chroot 到的目录
  -s, --shell SHELL             该用户帐号的新登录 shell
  -u, --uid UID                 用户帐号的新 UID
  -U, --unlock                  解锁用户帐号
  -Z, --selinux-user  SEUSER       用户账户的新 SELinux 用户映射

4、用户口令的管理

passwd 选项 用户名
	-l 锁定口令，即禁用账号。
	-u 口令解锁。
	-d 使账号无口令。
	-f 强迫用户下次登录时修改口令。

2.用户组管理

1.添加用户组

groupadd 选项 用户组

2.删除用户组

groupdel 用户组

3.修改用户组

groupmod 选项 用户组
	-g GID 为用户组指定新的组标识号。
	-o 与-g选项同时使用，用户组的新GID可以与系统已有用户组的GID相同。
	-n新用户组 将用户组的名字改为新名字

4.组管理

gpasswd [可选项] 组名
	-a：添加用户到组；
	-d：从组删除用户；
	-A：指定管理员；
	-M：指定组成员和-A的用途差不多；
	-r：删除密码；
	-R：限制用户登入组，只有组中的成员才可以用newgrp加入该组。

5、su，su - 与 sudo

• su 可以切换到用户 user，执行时需要输入目标用户的密码
• sudo 可以以特权级别运行 cmd 命令，需要当前用户属于 sudo 组，且需要输入当前用户的密码。
• su - 命令也是切换用户，同时环境变量也会跟着改变成目标用户的环境变量。

3.相关文件

3.1 /etc/passwd

用户管理工作涉及的最重要的一个文件

格式：
用户名:口令:用户标识号:组标识号:注释性描述:主目录:登录Shell

eg:
sam:x:200:50:Sam san:/home/sam:/bin/sh

• 口令： “口令”一些系统中，存放着加密后的用户口令。因为/etc/passwd文件对所有用户都可读，所以这是一个安全隐患。因此，现在许多Linux 系统都使用了shadow技术，把真正的加密后的用户口令字存放到/etc/shadow文件中，而在/etc/passwd文件的口令字段中只存放一个特殊的字符，例如“x”或者“*”。
• 用户标识号： 一般情况下它与用户名是一一对应的。如果几个用户名对应的用户标识号是一样的，系统内部将把它们视为同一个用户，但是它们可以有不同的口令、不同的主目录以及不同的登录Shell等。通常用户标识号的取值范围是0～65 535。0是超级用户root的标识号，1～99由系统保留，作为管理账号，普通用户的标识号范围100~500
• 组标识号：字段记录的是用户所属的用户组。它对应着/etc/group文件中的一条记录。
• 主目录：用户的起始工作目录。它是用户在登录到系统之后所处的目录。在大多数系统中，各用户的主目录都被组织在同一个特定的目录下，而用户主目录的名称就是该用户的登录名。各用户对自己的主目录有读、写、执行（搜索）权限，其他用户对此目录的访问权限则根据具体情况设置。
• 登录Shell：用户登录后，要启动一个进程，负责将用户的操作传给内核，这个进程是用户登录到系统后运行的命令解释器，即Shell。系统中有一类用户称为伪用户（pseudo users）。这些用户在/etc/passwd文件中也占有一条记录，但是不能登录，因为它们的登录Shell为空。它们的存在主要是方便系统管理，满足相应的系统进程对文件属主的要求。

3.2 /etc/shadow

/etc/shadow中的记录行与/etc/passwd中的一一对应，它由pwconv命令根据/etc/passwd中的数据自动产生

格式：
登录名:加密口令:最后一次修改时间:最小时间间隔:最大时间间隔:警告时间:不活动时间:失效时间:标志

eg:
sam:EkdiSECLWPdSa:9740:0:0::::

• "登录名"是与/etc/passwd文件中的登录名相一致的用户账号
• "口令"字段存放的是加密后的用户口令字，长度为13个字符。如果为空，则对应用户没有口令，登录时不需要口令；如果含有不属于集合 { ./0-9A-Za-z }中的字符，则对应的用户不能登录。
• "最后一次修改时间"表示的是从某个时刻起，到用户最后一次修改口令时的天数。时间起点对不同的系统可能不一样。例如在SCO Linux 中，这个时间起点是1970年1月1日。
• "最小时间间隔"指的是两次修改口令之间所需的最小天数。
• "最大时间间隔"指的是口令保持有效的最大天数。
• "警告时间"字段表示的是从系统开始警告用户到用户密码正式失效之间的天数。
• "不活动时间"表示的是用户没有登录活动但账号仍能保持有效的最大天数。
• "失效时间"字段给出的是一个绝对的天数，如果使用了这个字段，那么就给出相应账号的生存期。期满后，该账号就不再是一个合法的账号，也就不能再用来登录了。

3.3 /etc/group

用户组的所有信息都存放在/etc/group文件中

格式：
组名:口令:组标识号:组内用户列表

eg:
users::20:root,sam

• 口令：字段存放的是用户组加密后的口令字。一般Linux 系统的用户组都没有口令，即这个字段一般为空，或者是*。
• 组内用户列表：是属于这个组的所有用户的列表，不同用户之间用逗号(,)分隔。这个用户组可能是用户的主组，也可能是附加组。

二、文件权限

1.基本权限UGO

• 权限对象：
  • 属主： u
  • 属组： g
  • 其他人：o
• 基本权限类型：
  • 读：r 4
  • 写：w 2
  • 执行：x 1

   -       rwx      rw-       r--      1    alice  hr  test.txt
文件类型   属主权限   属组权限  其他人权限  链接数  属主   属组   文件名

1.1设置权限

• chown :Linux中用来改变某个文件或目录的属主、属组的命令

  [root@newrain ~]# chown alice.hr testfile  //改属主、属组
  [root@newrain ~]# chown alice testfile    //只改属主
  [root@newrain ~]# chown .hr testfile       //只改属组
  [root@newrain ~]# chown -R zhouchen.hr dir1   //-R递归 修改dir1目录下的所有文件的属主、属组
  
  charge：修改属组
  [root@newrain ~]# chgrp it testfile
  

1.2更改权限

chmod:Linux中用于改变某个文件或目录的访问模式的命令

使用符号

[root@newrain ~]# chmod u+x testfile //属主增加执行
[root@newrain ~]# chmod a=rwx testfile //所有人可以rwx
[root@newrain ~]# chmod a=- testfile //所有人没有权限
[root@newrain ~]# chmod ug=rw,o=r testfile //属主属组可以读写，其他人只能读
[root@newrain ~]# ll testfile //以长模式方式查看文件权限
-rw-rw-r-- 1 alice it 17 10-25 16:45 testfile //显示的结果

使用数字

# chmod 644 testfile

1.3设置权限案例

针对hr部门的访问目录/home/hr设置权限，要求如下：

  1. root用户和hr组的员工可以读、写、执行
  2. 其他用户没有任何权限

[root@newrain ~]# groupadd hr
[root@newrain ~]# useradd hr01 -G hr 
//-G修改一个附属组 -g修改基本组 -a表示追加
//也可用命令  usermod -G hr hr01 
        
[root@newrain ~]# useradd hr02 -G hr
[root@newrain ~]# mkdir /home/hr
[root@newrain ~]# chown hr /home/hr
[root@newrain ~]# chmod 770 /home/hr
[root@newrain ~]# ll -d /home/hr/
drwxrwx---. 2 root hr 4096 3? 13 14:26 /home/hr/

扩展 在root组中移除hr用户：gpasswd -d hr root

2.高级权限

2.1 高级权限类型

• suid //基本针对所有用户，用户使用该权限的一些命令时,都是以root的身份执行
• sgid //新建文件集成目录属组（针对目录）
• sticky //用户只能够删除自己的文件（针对目录）

2.2 设置特殊权限

a.字符
chmod u+s file
chmod g+s dir
chmod o+t dir
b.数字
chmod 4777 file
chmod 7777 file
chmod 2770 dir
chmod 3770 dir