Linux系统入门第三章账号和权限管理

技能目标:
了解常见的账号配置文件

会管理用户账号、组账号

会设置目录和文件的权限

会设置目录和文件的归属

3.1.1用户账号和组账号概述

1.用户账号
        在 Linux 操作系统中，根据系统管理的需要将用户账号分为不同的类型，主要包括超级用户、普通用户和程序用户，各类型拥有的权限、担任的角色也各不相同。

• 超级用户:root 用户是 Linux 操作系统中默认的超级用户账号，对本主机拥有至高无上的权限，类似于 windows 操作系统中的 Administrator 用户。只有当进行系统管理、维护任务时，才建议使用 root 用户登录系统，日常事务处理建议只使用普通用户账号。
• 普通用户:普通用户账号需要由 root 用户或其他管理员用户创建，拥有的权限受到一定限制一般只在用户自己的宿主目录中拥有完整权限。
• 程序用户:在安装 Linux 操作系统及部分应用程序时，会添加一些特定的低权限用户账号，这些用户一般不允许登录到系统，而仅用于维持系统或某个程序的正常运行，如 bin、daemon、ftp、mail 等。

2.组账号
        基于某种特定联系(如都需要访问 FIP服务)将多个用户集合在一起，即构成一个用户组，表示该组内所有用户的账号称为组账号。每一个用户账号至少属于一个组，这个组称为该用户的基本组(或私有组);若该用户同时还包含在其他的组中,则这些组称为该用户的附加组(或公共组)。例如,用户 zhargsamn是技术部的员工，与部门内的其他同事同属于基本组 tech，后来因工作安排需要，公司将 zhangsam 加入邮件管理员组 mailad,则此时用户 zhangsam 同时属于 tech、mailad 组，tech 组是其基本组账号而 mailadm 组是其附加组账号。

        对组账号设置的权限将适用于组内的每一个用户账号。

3.UID和GID号
        Linux 操作系统中的每一个用户账号都有一个数字形式的身份标记，称为 UID(User IDentity，用户标识号)，对于操作系统核心来说，UID 是区分用户的基本依据，原则上每个用户的 UID 号应该是唯一的。root 用户账号的 UID 号为固定值0，而程序用户账号的 UID号默认为 1~499，500~~60000 的UID 号默认分配给普通用户使用。
        与 UID 类似，每一个组账号也有一个数字形式的身份标记，称为 GID(Group IDentity，组标识号)。root 组账号的 GID 号为固定值0，而程序组账号的 GID号默认为1~~499，500~~60000 的 GID 号默认分配给普通组使用。

3.1.2 用户账号管理
        Linux 操作系统中的用户账号、密码等信息均保存在相应的配置文件中，直接修改这些文件或者使用用户管理命令都可以对用户账号进行管理。
1.用户账号文件
        与用户账号相关的配置文件主要有两个，分别是/etc/asswd 和/etc/shadow。前者用于保存用户名称、宿主目录、登录 she11 等基本信息，后者用于保存用户的密码、账号有效期等信息。在这两个配置文件中，每一行对应一个用户账号，不同的配置项之间使用“:”(冒号)进行分隔。

(1)passwd 文件中的配置行格式

        在 passwd 文件开头的部分，包括超级用户 root 及各程序用户的账号信息，系统中新增加的用户账号信息将保存到 passwd 文件的末尾。passwd 文件的每一行内容中包含了七个用“:”(冒号)分隔的配置字段，从左到右各配置字段的含义分别如下所述。

• 第 1字段:用户账号的名称，也是登录系统时使用的识别名称。
• 第 2字段:经过加密的用户密码字串，或者密码占位符“x”。
• 第 3字段:用户账号的 UID 号。
• 第 4字段:所属基本组账号的 GID号。
• 第 5 字段:用户全名，可填写与用户相关的说明信息。
• 第 6字段:宿主目录，即该用户登录后所在的默认工作目录。
• 第 7字段:登录 she11 等信息，用户完成登录后使用的 she11。

(2)shadow 文件中的配置行格式

        shadow 文件的每一行内容中包含了九个用“:”(冒号)分隔的配置字段，从左到右各配置字段的含义分别如下所述。

• 第 1 字段:用户账号名称。
• 第 2字段:使用 SHA-512(哈希算法中的一种)加密的密码字串信息，当为“*”或“!!”时表示此用户不能登录到系统。若该字段内容为空，则该用户无须密码即可登录系统。
• 第 3字段:上次修改密码的时间，表示从1970年 01月 01 日算起到最近一次修改密码时间隔的天数。
• 第 4 字段:密码的最短有效天数，自本次修改密码后，必须至少经过该天数才能再次修改密码。
• 默认值为 0，表示不进行限制。
• 第 5 字段:密码的最长有效天数，自本次修改密码后，经过该天数以后必须再次修改密码。默认值为 99999，表示不进行限制。
• 第 6 字段:提前多少天警告用户密码将过期，默认值为7。
• 第 ?字段:在密码过期之后多少天内禁用此用户。
• 第 8字段:账号失效时间，此字段指定了用户作废的天数(从1970年01月01日起计算)，
• 默认值为空，表示账号永久可用。
• 第 9字段:保留字段，目前没有特定用途

2.添加、修改、删除用户账号

(1)useradd 命令--添加用户账号useradd 命令用于添加用户账号，其基本的命令格式如下useradd[选项]用户名

        如果结合 useradd 命令的各种选项，可以在添加用户账号的同时对 UID 号、宿主目录、登录 she11等相关属性进行指定。以下列出了 useradd 命令中用于设置账号属性的几个常见选项。-u:指定用户的 UID号，要求该 UID 号码未被其他用户使用。

• -d:指定用户的宿主目录位置(当与-㎡ 一起使用时，不生效)。
• -e:指定用户的账户失效时间，可使用 rrYY-1T-DD 的日期格式。
• -g:指定用户的基本组名(或使用 GID 号)。
• -G:指定用户的附加组名(或使用 GID 号)。
• -:不建立宿主目录，即使/ete/login.defs 系统配置中已设定要建立宿主目录。
• -s:指定用户的登录 shel1。

(2)passwd 命令-一为用户账号设置密码

更改密码登陆

        使用 passwd 命令除了可以修改账号的密码以外，还能够对用户账号进行锁定、解锁，也可以将用户的密码设置为空(无须密码即可登录)。与上述功能相关的几个选项如下所示。

• -d：清空指定用户的密码，仅使用用户名即可登录系统。
• -l：锁定用户账户。
• -s：查看用户账户的状态(是否被锁定)。
• -u：解锁用户账户。

(3)usermod 命令-一修改用户账号属性

        对于操作系统中已经存在的用户账号，可以使用 usermod 命令重新设置各种属性。usermod 命令同样需要指定账号名称作为参数。usermod 命令中较常使用的几个选项如下所述。

• -u：修改用户的 UID 号。
• -d：修改用户的宿主目录位置。
• -e：修改用户的账户失效时间，可使用 yrrY-m0-DD 的日期格式。
• -g：修改用户的基本组名(或使用 GID 号)。
• -G：修改用户的附加组名(或使用 GID 号)。
• -s：指定用户的登录 shel1。
• -l：更改用户账号的登录名称(Login wame)
• -L：锁定用户账户。
• -U:解锁用户账户。

4)userdel 命令--删除用户账号

3.用户账号的初始配置文件

3.1.3组账号管理

        1.组账号文件

2.添加、管理、删除组账号
        （1）groupadd 命令--添加组账号

(2)gpasswd 命令-一添加、设置、删除组成员

(3)groupdel 命令-一删除组账号

3.1.4 查询账号信息

1.groups--查询用户账号所属的组

2.id--查询用户账号的身份标识

3.w命令--查询当前主机的用户登录情况

3.2管理目录和文件的属性

        在 Linux 文件系统的安全模型中，系统中的文件(或目录)具有两个属性:访问权限和文件所有者简称权限和归属。其中，访问权限包括读取、写入、可执行三种基本类型，归属包括属主(拥有该文件的用户账号)、属组(拥有该文件的组账号)。Linux操作系统根据文件或目录的访问权限、归属来对用户访问数据的过程进行控制。

3.2.1 查看目录和文件的属性

        使用带“-1”选项的 1s命令时，将以长格式显示文件或目录的详细信息，其中包括该文件的权限和归属等参数

• 第 1个字符:表示该文件的类型，可以是 d(目录)、b(块设备文件)、c(字符设备文件)
• (普通文件)、字母“1”(链接文件)等。
• 第 2~4 个字符:表示该文件的属主用户(user)对该文件的访问权限。
• 第 5~7个字符:表示该文件的属组内各成员用户(Group)对该文件的访问权限。
• 第 8~10 个字符:表示其他任何用户(0ther)对该文件的访问限。
• 第 11个字符:这里的“.”与 SELinux有关，目前不必关注

[mike@localhost rootl$ 1s -l /etc/shadowa

[mike@localhost root]$ cat /etc/shadow

3.2.2 设置目录和文件的权限

使用 chmod 命令设置文件或目录的权限时，基本的命令格式如下

chmod [ugoa.][+--][rwx]文件或目录.

或者chmod nnn 文件或目录..

        上述格式中，字符组合“[ugoa…][+=][rwx]”或数字组合“nnn”的形式表示要设置的权限模式。其中，“nmn”为需要设置的具体权限值，如“755”“644”等;而“[ugoa…][+=][rwx]”的形式中，三个组成部分的含义及用法如下所述。

• “ugoa”表示该权限设置所针对的用户类别。“u”代表文件属主，“”代表文件属组内的用户，“。”代表其他任何用户，“a”代表所有用户(u、g、。的总和)。
• “+=”表示设置权限的操作动作。“+”代表增加相应权限，“_”代表减少相应权限，“=”代表仅设置对应的权限。
• “rwx”是权限的字符组合形式，也可以拆分使用，如“”“rx”等

3.2.3 设置目录和文件的归属

[root@localgost~]#ls -ld /var/ftp/pub/

[root@localgost~]#chown -R ftp /var/ftp/pub/

[root@localgost~]#ls -ld /var/ftp/pub/

[root@localgost~]#ls -ld mymkdor

[root@localgost~]#chown daemon:wheel mymkdir

[root@localgost~]#ls -ld mymkdir

3.2.3 设置目录和文件的默认权限

[root@localgost~]#umask 000

[root@localgost~]#mkdir /umask1

[root@localgost~]#ls -ld /umas1/

[root@localgost~]#umask 022

[root@localgost~]#mkdir /umask2

[root@localgost~]#ls -ld /umask2/

本章总结
本章围绕 Linux 系统的账号和权限管理展开。首先介绍了用户账号和组账号，包括其类型、相关配置文件(如 passwd、shadow、group、gshadow)及管理命令(useradd、passwd 等)，还提及账号查询命令。接着讲解目录和文件属性管理，通过 1s-1 查看属性，chmod 设置权限(字符或数字形式)，chom设置归属，同时说明了 umask 对新建文件和目录默认权限的影响，为 Limux 系统安全管理奠定基础。