Linux基礎-許可權管理
阿新 • • 發佈：2018-11-23
Linux基礎-許可權管理
一.許可權管理
1.使用者許可權：
認證：1.1 Authentication；授權：Authorization；審計：Adition
1.2 Linux使用者和組的主要配置檔案：
- /etc/passwd：使用者及其屬性資訊（名稱、UID、主組ID等）
- /etc/group：組及其屬性資訊
- /etc/shadow：使用者密碼及其相關屬性
- /etc/gshadow：組密碼及其相關屬性
1.3 安全上下文：程序代表使用者在進行：誰啟動了程序，程序就擁有誰的身份（以程序（process）發起者的身份執行）。
- root:/bin/cat
- mage:/bin/cat
1.4 使用者
1.4.1 使用者User：
- 令牌token,identity
- Linux使用者：Username/UID
- 使用者級別：
- 管理員：root, 0
- 普通使用者：1-65535
- 系統使用者：1-499, 1-999 （CentOS7）
- 對守護程序獲取資源進行許可權分配
- 登入使用者:500+, 1000+（CentOS7）
- 互動式登入
- 系統使用者：1-499, 1-999 （CentOS7）
1.4.2 passwd檔案格式：
login name：登入用名（wang）
passwd：密碼 (x)
UID：使用者身份編號 (1000)
GID：登入預設所在組編號 (1000)
GECOS：使用者全名或註釋
home directory：使用者主目錄 (/home/wang)
-
shell：使用者預設使用shell (/bin/bash)
tcpdump:x:72:72::/:/sbin/nologin vampire:x:500:500:vampire:/home/vampire:/bin/bash mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/false
1.4.3 shadow檔案格式：
- 登入用名
- 使用者密碼:一般用sha512加密
- 從1970年1月1日起到密碼最近一次被更改的時間
- 密碼再過幾天可以被變更（0表示隨時可被變更）
- 密碼再過幾天必須被變更（99999表示永不過期）
- 密碼過期前幾天系統提醒使用者（預設為一週）
- 密碼過期幾天後帳號會被鎖定
- 從1970年1月1日算起，多少天后帳號失效
tcpdump:!!:17735:::::: vampire:$6$yk7XOpZX0ZngOz6D$qVI/.Q7Ch7M.KRfjsPC. WTiN9w2qJgUofENaFlnLxXpvzIN/lICVwcIme1b3LHMixqXxnEIGkgepuUIpsoadU1:1773 5:0:99999:7::: mysql:!!:17737::::::
1.4.4 使用者建立
語法：useradd [options] LOGIN
-u UID
-o 配合-u 選項，不檢查UID的唯一性
-g GID：指明使用者所屬基本組，可為組名，也可以GID
-c "COMMENT"：使用者的註釋資訊
-d HOME_DIR: 以指定的路徑(不存在)為家目錄
-s SHELL: 指明使用者的預設shell程式
可用列表在/etc/shells檔案中-G GROUP1[,GROUP2,...]：為使用者指明附加組，組須事先存在
-N 不建立私用組做主組，使用users組做主組
-r: 建立系統使用者 CentOS 6: ID<500，CentOS 7: ID<1000
-m 建立家目錄，用於系統使用者
-
-M 不建立家目錄，用於非系統使用者
[[email protected] ~]# useradd -u 111 luqoian -c "vamp" -s /bin/csh -m [[email protected] ~]# tail -1 /etc/passwd luqoian:x:111:501:vamp:/home/luqoian:/bin/csh [[email protected] ~]#
1.4.5 使用者屬性的修改：
語法：`usermod [OPTION] login
- -u UID: 新UID
- -g GID: 新主組
- -G GROUP1[,GROUP2,...[,GROUPN]]]：新附加組，原來的附加組將會被覆蓋；若保留原有，則要同時使用-a選項
- -s SHELL：新的預設SHELL
- -c 'COMMENT'：新的註釋資訊
- -d HOME: 新家目錄不會自動建立；若要建立新家目錄並移動原家資料，同時使用-m選項
- -l login_name: 新的名字；
- -L: lock指定使用者,在/etc/shadow 密碼欄的增加 !
- -U: unlock指定使用者,將 /etc/shadow 密碼欄的 ! 拿掉
- -e YYYY-MM-DD: 指明使用者賬號過期日期
- -f INACTIVE: 設定非活動期限
1.4.6 刪除使用者：
語法：userdel [OPTION]... login
- -r: 刪除使用者家目錄
1.4.7 切換使用者或以其他使用者身份執行命令
語法：su [options...] [-] [user [args...]]
- 切換使用者的方式：
- su UserName：非登入式切換，即不會讀取目標使用者的配置檔案，不改變當前工作目錄
- su - UserName：登入式切換，會讀取目標使用者的配置檔案，切換至家目錄，完全切換
- root su至其他使用者無須密碼；非root使用者切換時需要密碼
- 換個身份執行命令：
su [-] UserName -c 'COMMAND' - 選項：
-l --loginsu -l UserName 相當於 su - UserName
1.4.8 修改密碼
語法：passwd [OPTIONS] UserName:修改指定使用者的密碼
- 常用選項：
- -d:刪除指定使用者密碼
- -l:鎖定指定使用者
- -u:解鎖指定使用者
- -e:強制使用者下次登入修改密碼
- -f: 強制操作
- -n mindays: 指定最短使用期限
- -x maxdays：最大使用期限
- -w warndays：提前多少天開始警告
- -i inactivedays：非活動期限
- --stdin：從標準輸入接收使用者密碼
echo "PASSWORD" | passwd --stdin USERNAME
1.5 組
1.5.1 Linux組的類別
- 使用者的主要組（primary group）
- 使用者必須屬於一個且只有一個主組
- 組名同用戶名，且僅包含一個使用者，私有組
- 使用者的附加組（supplementary group）
- 一個使用者可以屬於零個或多個附加組
1.5.2 組group：
- Linux組：Groupname/GID
- 管理員組：root, 0
- 普通組：
- 系統組：1-499, 1-999（CENTOS7）
- 普通組：500+, 1000+（CENTOS7）
1.5.3 group檔案格式
- 群組名稱：就是群組名稱
- 群組密碼：通常不需要設定，密碼是被記錄在 /etc/gshadow
- GID：就是群組的 ID
- 以當前組為附加組的使用者列表(分隔符為逗號)
[[email protected] ~]# cat /etc/group root:x:0: bin:x:1:bin,daemon daemon:x:2:bin,daemon
1.5.4 gshadow檔案格式
群組名稱：就是群組名稱
群組密碼：
組管理員列表：組管理員的列表，更改組密碼和成員
-
以當前組為附加組的使用者列表：(分隔符為逗號)
[[email protected] ~]# cat /etc/gshadow root::: bin:::bin,daemon daemon:::bin,daemon sys:::bin,adm
1.5.5 建立組：
語法：groupadd [OPTION]... group_name
- -g GID: 指明GID號；[GID_MIN, GID_MAX]
- -r: 建立系統組
- CentOS 6: ID<500
- CentOS 7: ID<1000
1.5.6 修改和刪除組：
- 組屬性修改：groupmod
語法：
-n group_name: 新名字
-g GID: 新的GID
- 組刪除：groupdel
groupdel GROUP
1.5.7 更改組密碼
組密碼：gpasswd
gpasswd [OPTION] GROUP
-a user 將user新增至指定組中
-d user 從指定組中移除使用者user
-A user1,user2,... 設定有管理許可權的使用者列表
newgrp命令：臨時切換主組
如果使用者本不屬於此組，則需要組密碼
2 檔案許可權：
2.1 檔案的許可權主要針對三類對進行定義
- owner: 屬主, u，文件所有者
- group: 屬組, g，文件所屬組使用者
- other: 其他, o，其他使用者
- 每個檔案針對每類訪問者都義了三種許可權
- r: Readable：讀
- w: Writable：寫
- x: eXcutable：執行
2.2 檔案和目錄許可權的區別：
- 檔案：
- r: 可使用檔案檢視類工具獲取其內容
- w: 可修改其內容
- x: 可以把此檔案提請核心啟動為一個程序
- 目錄：
- r: 可以使用ls檢視此目錄中檔案列表
- w: 可在此目錄中建立檔案，也可刪除此目錄中的檔案
- x: 可以使用ls -l檢視此目錄中檔案列表，可以cd進入此目錄
2.3 修改檔案許可權：
```
chmod [OPTION]... OCTAL-MODE FILE...
-R: 遞迴修改許可權（改目錄的時候想修改目錄內部所有檔案的許可權，但是不建議）
chmod [OPTION]... MODE[,MODE]... FILE...
MODE：
修改一類使用者的所有許可權：
u= g= o= ug= a= u=,g=
修改一類使用者某位或某些位許可權
u+ u- g+ g- o+ o- a+ a- + -
chmod [OPTION]... --reference=RFILE FILE...
（referance）參考RFILE檔案的許可權，將FILE的修改為同RFILE
```
2.4 修改檔案的屬組和屬主：
- 修改檔案的屬主：chown
- chown [OPTION]... [OWNER][:[GROUP]] FILE...
- 用法：
- OWNER
- OWNER:GROUP
- :GROUP
- 命令中的冒號可用.替換
- -R: 遞迴
- 語法：
-chown [OPTION]... --reference=RFILE FILE... - 修改檔案的屬組：chgrp
chgrp [OPTION]... GROUP FILE... chgrp [OPTION]... --reference=RFILE FILE... -R 遞迴
注意：
- (許可權一定要給全，不然會從左邊補全，例如如果給77，則預設為077）
- (目錄一定要有執行許可權，普通檔案不能隨便給執行許可權（防止一些惡意檔案留後門）)，
- (只寫+w,只有屬主加寫許可權)
2.5 新建檔案和目錄的預設許可權
- umask值 可以用來保留在建立檔案許可權
- 新建FILE許可權: 666-umask
- 如果所得結果某位存在執行（奇數）許可權，則將其許可權+1
- 新建DIR許可權: 777-umask
- 非特權使用者umask是 002
- root的umask 是 022
- umask: 檢視
- umask #: 設定
- umask 002
- umask –S 模式方式顯示
- umask –p 輸出可被呼叫
- 全域性設定： /etc/bashrc 使用者設定：~/.bashrc
2.6 訪問控制列表
ACL：Access Control List，實現靈活的許可權管理
除了檔案的所有者，所屬組和其它人，可以對更多的使用者設定許可權
CentOS7 預設建立的xfs和ext4檔案系統具有ACL功能
-
CentOS7 之前版本，預設手工建立的ext4檔案系統無ACL功能,需手動增加
- tune2fs –o acl /dev/sdb1
- mount –o acl /dev/sdb1 /mnt/test
ACL生效順序：所有者，自定義使用者，自定義組，其他人
-
為多使用者或者組的檔案和目錄賦予訪問許可權rwx
- mount -o acl /directory
- getfacl file |directory
- setfacl -m u:wang:rwx file|directory
- setfacl -Rm g:sales:rwX directory
- setfacl -M file.acl file|directory
- setfacl -m g:salesgroup:rw file| directory
- setfacl -m d:u:wang:rx directory
- setfacl -x u:wang file |directory
- setfacl -X file.acl directory
[[email protected] ~]# getfacl linux222.txt # file: linux222.txt # owner: root # group: root user::rw- group::r-- other::r-- [[email protected] ~]# setfacl -m u:vampire:wx linux222.txt [[email protected] ~]# getfacl linux222.txt # file: linux222.txt # owner: root # group: root user::rw- user:vampire:-wx group::r-- mask::rwx other::r--