搜索

[25067] 2016-06-02_LFCS系列第八讲：管理用户和用户组、文件权限和属性以及启用账户sudo访问权限

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-06-02_LFCS系列第八讲：管理用户和用户组、文件权限和属性以及启用账户sudo访问权限 L F C S   系 列 第 八 讲 ： 管 理 用 户 和 用 户 组 、 文 件 权 限 和 属 性 以 及 启 用 账 户   s u d o   访 问 权 限 译 者 ： G H L a n d y   L i n u x 中 国   2 0 1 6 - 0 6 - 0 2 去 年 八 月 份 ， L i n u x   基 金 会 发 起 了 全 新 的   L F C S （ L i n u x   F o u n d a t i o n   C e r t i f i e d   S y s a d m i n L i n u x   基 金 会 认 证 系 统 管 理 员 ） 认 证 ， 旨 在 让 世 界 各 地 的 人 能 够 参 与 到 中 等 水 平 的   L i n u x 系 统 的 基 本 管 理 操 作 的 认 证 考 试 中 去 ， 这 项 认 证 包 括 ： 维 护 正 在 运 行 的 系 统 和 服 务 的 能 力 、 全 面 监 控 和 分 析 的 能 力 以 及 何 时 向 上 游 团 队 请 求 支 持 的 决 策 能 力 。 第 八 讲 ：   L i n u x   基 金 会 认 证 系 统 管 理 员 本 讲 是 系 列 教 程 的 第 八 讲 ， 在 这 一 讲 中 ， 我 们 将 引 导 你 学 习 如 何 在   L i n u x   管 理 用 户 和 用 户 组 权 限 的 设 置 ， 这 些 内 容 是   L F C S   认 证 的 必 备 知 识 。 由 于   L i n u x   是 一 个 多 用 户 的 操 作 系 统 （ 允 许 多 个 用 户 通 过 不 同 主 机 或 者 终 端 访 问 一 个 独 立 系 统 ） ， 因 此 你 需 要 知 道 如 何 才 能 有 效 地 管 理 用 户 ： 如 何 添 加 、 编 辑 、 禁 用 和 删 除 用 户 账 户 ， 并 赋 予 他 们 足 以 完 成 自 身 任 务 的 必 要 权 限 。 （ L C T T   译 注 ： 本 篇 原 文 章 节 顺 序 有 误 ， 根 据 理 解 做 了 调 整 。 ） 添 加 用 户 账 户 添 加 用 户 账 户 添 加 新 用 户 账 户 ， 你 需 要 以   r o o t   运 行 以 下 两 条 命 令 中 的 任 意 一 条 ： 当 新 用 户 账 户 添 加 到 系 统 时 ， 会 自 动 执 行 以 下 操 作 ： 1 .   自 动 创 建 用 户 家 目 录 （ 默 认 是   / h o m e / u s e r n a m e ） 。 1 .   #   a d d u s e r   [ n e w _ a c c o u n t ] 2 .   #   u s e r a d d   [ n e w _ a c c o u n t ]
2 .   自 动 拷 贝 下 列 隐 藏 文 件 到 新 建 用 户 的 家 目 录 ， 用 来 设 置 新 用 户 会 话 的 环 境 变 量 。 3 .   自 动 创 建 邮 件 缓 存 目 录   / v a r / s p o o l / m a i l / u s e r n a m e 。 4 .   自 动 创 建 与 用 户 名 相 同 的 用 户 组 。 理 解 理 解   / e t c / p a s s w d   中 的 内 容 中 的 内 容 / e t c / p a s s w d   文 件 中 存 储 了 所 有 用 户 账 户 的 信 息 ， 每 个 用 户 在 里 边 都 有 一 条 对 应 的 记 录 ， 其 格 式 （ 每 个 字 段 用 冒 号 隔 开 ） 如 下 ： 字 段   [ u s e r n a m e ]   和   [ C o m m e n t ]   是 不 言 自 明 的 。 第 二 个 字 段 中   x   表 明 通 过 用 户 名   u s e r n a m e   登 录 系 统 是 有 密 码 保 护 的 ，   密 码 保 存 在   / e t c / s h a d o w   文 件 中 。 [ U I D ]   和   [ G I D ]   字 段 用 整 数 表 示 ， 代 表 该 用 户 的 用 户 标 识 符 和 对 应 所 在 组 的 组 标 志 符 。 字 段   [ H o m e   d i r e c t o r y ]   为   u s e r n a m e   用 户 家 目 录 的 绝 对 路 径 。 字 段   [ D e f a u l t   s h e l l ]   指 定 用 户 登 录 系 统 时 默 认 使 用 的   s h e l l 。 理 解 理 解   / e t c / g r o u p   中 的 内 容 中 的 内 容 / e t c / g r o u p   文 件 存 储 所 有 用 户 组 的 信 息 。 每 行 记 录 的 格 式 如 下 ： [ G r o u p   n a m e ]   为 用 户 组 名 称 。 字 段   [ G r o u p   p a s s w o r d ]   为   x   的 话 ， 则 说 明 不 使 用 用 户 组 密 码 。 [ G I D ]   与   / e t c / p a s s w d   中 保 存 的   G I D   相 同 。 [ G r o u p   m e m b e r s ]   用 户 组 中 的 用 户 使 用 逗 号 隔 开 。 添 加 用 户 账 户 修 改 用 户 信 息 修 改 用 户 信 息 添 加 用 户 账 户 之 后 ， 你 可 以 使 用   u s e r m o d   命 令 来 修 改 用 户 信 息 中 的 部 分 字 段 ， 该 命 令 基 本 语 法 如 下 ： a .   . b a s h _ l o g o u t b .   . b a s h _ p r o f i l e c .   . b a s h r c 1 .   [ u s e r n a m e ] : [ x ] : [ U I D ] : [ G I D ] : [ C o m m e n t ] : [ H o m e   d i r e c t o r y ] : [ D e f a u l t   s h e l l ] 1 .   [ G r o u p   n a m e ] : [ G r o u p   p a s s w o r d ] : [ G I D ] : [ G r o u p   m e m b e r s ] 1 .   #   u s e r m o d   [ o p t i o n s ]   [ u s e r n a m e ]
设 置 账 户 的 过 期 时 间 设 置 账 户 的 过 期 时 间 通 过   – e x p i r e d a t e   标 记 后 边 接   年 - 月 - 日   格 式 的 日 期 ， 如 下 ： 将 用 户 添 加 到 其 他 组 将 用 户 添 加 到 其 他 组 使 用   - a G   或 者   – a p p e n d   – g r o u p s   选 项 ， 后 边 跟 着 用 户 组 ， 如 果 有 多 个 用 户 组 ， 每 个 用 户 组 之 间 使 用 逗 号 隔 开 。 改 变 用 户 家 目 录 的 默 认 位 置 改 变 用 户 家 目 录 的 默 认 位 置 使 用   - d   或 者   – h o m e   选 项 ， 后 边 跟 着 新 的 家 目 录 的 绝 对 路 径 。 改 变 用 户 的 默 认 改 变 用 户 的 默 认   s h e l l 使 用   – s h e l l   选 项 ， 后 边 跟 着 新   s h e l l   的 路 径 。 下 面 ， 我 们 一 次 运 行 上 述 命 令 ： 1 .   #   u s e r m o d   [ o p t i o n s ]   [ u s e r n a m e ] 1 .   #   u s e r m o d   - - e x p i r e d a t e   2 0 1 4 - 1 0 - 3 0   t e c m i n t 1 .   #   u s e r m o d   - - a p p e n d   - - g r o u p s   r o o t , u s e r s   t e c m i n t 1 .   #   u s e r m o d   - - h o m e   / t m p   t e c m i n t 1 .   #   u s e r m o d   - - s h e l l   / b i n / s h   t e c m i n t 1 .   #   u s e r m o d   - - e x p i r e d a t e   2 0 1 4 - 1 0 - 3 0   - - a p p e n d   - - g r o u p s   r o o t , u s e r s   - - h o m e   / t m p   - - s h e l l   / b i n / s h   t e c m i n t
u s e r m o d   命 令 例 示 扩 展 阅 读 1 5   u s e r a d d   C o m m a n d   E x a m p l e s   i n   L i n u x [ 1 ] 1 5   u s e r m o d   C o m m a n d   E x a m p l e s   i n   L i n u x [ 2 ] 锁 定 和 解 锁 账 户 锁 定 和 解 锁 账 户 对 于 已 有 用 户 账 户 ， 我 们 还 可 以 ： 通 过 锁 定 密 码 来 禁 用 账 户 通 过 锁 定 密 码 来 禁 用 账 户 使 用   - L   （ 大 写   l ） 或 者   – l o c k   选 项 来 锁 定 用 户 密 码 。 解 锁 用 户 密 码 解 锁 用 户 密 码 使 用   – u   或 者   – u n l o c k   选 项 来 解 锁 我 们 之 前 锁 定 的 账 户 。 锁 定 用 户 账 户 删 除 用 户 账 户 删 除 用 户 账 户 你 可 以 通 过   u s e r d e l   - - r e m o v e   命 令 来 删 除 用 户 账 户 。 这 样 会 删 除 用 户 拥 有 的 家 目 录 和 家 目 录 下 的 所 有 文 件 ， 以 及 邮 件 缓 存 目 录 。 用 户 组 管 理 用 户 组 管 理 1 .   #   u s e r m o d   - - l o c k   t e c m i n t 1 .   #   u s e r m o d   - - u n l o c k   t e c m i n t 1 .   #   u s e r d e l   - - r e m o v e   [ u s e r n a m e ]
每 次 添 加 新 用 户 ， 系 统 会 为 该 用 户 创 建 同 名 的 用 户 组 ， 此 时 用 户 组 里 边 只 有 新 建 的 用 户 ， 其 他 用 户 可 以 随 后 添 加 进 去 。 建 立 用 户 组 的 目 的 之 一 ， 就 是 为 了 通 过 对 指 定 资 源 设 置 权 限 来 完 成 对 这 些 资 源 和 文 件 进 行 访 问 控 制 。 比 如 ， 你 有 下 列 用 户 ： u s e r 1   ( 主 组   u s e r 1 ) u s e r 2   ( 主 组   u s e r 2 ) u s e r 3   ( 主 组   u s e r 3 ) 他 们 都 需 要 对 你 系 统 里 边 某 个 位 置 的   c o m m o n . t x t   文 件 ， 或 者   u s e r 1   用 户 刚 刚 创 建 的 共 享 进 行 读 写 。 你 可 能 会 运 行 下 列 命 令 ： 然 而 ， 这 样 仅 仅 给 文 件 所 属 的 用 户 和 用 户 组 （ 本 例 为   u s e r 1 ） 成 员 的 提 供 了 读 写 权 限 。 你 还 需 要 将   u s e r 2   和   u s e r 3   添 加 到   u s e r 1   组 ， 打 这 样 做 也 将   u s e r 1   用 户 和 用 户 组 的 其 他 文 件 的 权 限 开 放 给 了   u s e r 2   和   u s e r 3 。 这 时 候 ， 用 户 组 就 派 上 用 场 了 ， 下 面 将 演 示 怎 么 做 。 显 示 用 户 所 属 的 用 户 组 显 示 用 户 所 属 的 用 户 组 为 需 要 对 指 定 文 件 进 行 读 写 的 多 个 用 户 建 立 用 户 组 为 需 要 对 指 定 文 件 进 行 读 写 的 多 个 用 户 建 立 用 户 组 运 行 下 列 几 条 命 令 来 完 成 ： 删 除 用 户 组 删 除 用 户 组 通 过 以 下 命 令 删 除 用 户 组 ： 1 .   #   c h m o d   6 6 0   c o m m o n . t x t 2 .   或 3 .   #   c h m o d   u = r w , g = r w , o =   c o m m o n . t x t   [ 注 意 最 后 那 个   =   号 和 文 件 名 之 间 的 空 格 ] 1 .   #   g r o u p s   t e c m i n t 2 .   #   i d   t e c m i n t 1 .   #   g r o u p a d d   c o m m o n _ g r o u p   #   添 加 新 用 户 组 2 .   #   c h o w n   : c o m m o n _ g r o u p   c o m m o n . t x t   #   将   c o m m o n . t x t   的 用 户 组 修 改 为   c o m m o n _ g r o u p 3 .   #   u s e r m o d   - a G   c o m m o n _ g r o u p   u s e r 1   #   添 加 用 户   u s e r 1   到   c o m m o n _ g r o u p   用 户 组 4 .   #   u s e r m o d   - a G   c o m m o n _ g r o u p   u s e r 2   #   添 加 用 户   u s e r 2   到   c o m m o n _ g r o u p   用 户 组 5 .   #   u s e r m o d   - a G   c o m m o n _ g r o u p   u s e r 3   #   添 加 用 户   u s e r 3   到   c o m m o n _ g r o u p   用 户 组 1 .   #   g r o u p d e l   [ g r o u p _ n a m e ]
属 于 这 个   g r o u p _ n a m e   用 户 组 的 文 件 是 不 会 被 删 除 的 ， 而 仅 仅 是 删 除 了 用 户 组 。 L i n u x   文 件 权 限 文 件 权 限 除 了 我 们 在   L F C S   系 列 第 三 讲 ： 归 档 / 压 缩 文 件 及 目 录 、 设 置 文 件 属 性 和 搜 索 文 件   中 说 到 的 基 本 的 读 取 、 写 入 和 执 行 权 限 外 ， 文 件 还 有 一 些 不 常 用 却 很 重 要 的 的 权 限 设 置 ， 有 时 候 把 它 当 做 “ 特 殊 权 限 ” 。 就 像 之 前 我 们 讨 论 的 基 本 权 限 ， 这 里 同 样 使 用 八 进 制 数 字 或 者 一 个 字 母 （ 象 征 性 符 号 ） 表 示 该 权 限 类 型 。 理 解 理 解   S e t u i d   位 位 当 为 可 执 行 文 件 设 置   s e t u i d   位 之 后 ， 用 户 运 行 程 序 时 会 继 承 该 程 序 属 主 的 有 效 特 权 。 由 于 这 样 做 会 引 起 安 全 风 险 ， 因 此 设 置   s e t u i d   权 限 的 文 件 及 程 序 必 须 尽 量 少 。 你 会 发 现 ， 当 系 统 中 有 用 户 需 要 访 问 属 于   r o o t   用 户 的 文 件 是 所 运 行 的 程 序 就 带 有 了   s e t u i d   权 限 。 也 就 是 说 ， 用 户 不 仅 仅 可 以 运 行 这 个 可 执 行 文 件 ， 而 且 能 以   r o o t   权 限 来 运 行 。 比 如 ， 让 我 们 来 看 看   / b i n / p a s s w d   的 权 限 ， 这 个 可 执 行 文 件 用 于 改 变 账 户 的 密 码 ， 修 改   / e t c / s h a d o w   文 件 。 超 级 用 户 可 以 改 变 任 意 账 户 的 密 码 ， 但 是 其 他 用 户 只 能 改 变 自 己 账 户 的 密 码 。 p a s s w d   命 令 例 示 因 此 ， 所 有 用 户 都 有 权 限 运 行   / b i n / p a s s w d ， 但 只 有   r o o t   用 户 可 以 指 定 改 变 指 定 用 户 账 户 的 密 码 。 其 他 用 户 只 能 改 变 其 自 身 的 密 码 。 修 改 用 户 密 码 以 八 进 制 形 式 来 设 置   s e t u i d   位 ， 在 当 前 基 本 权 限 （ 或 者 想 要 设 置 的 权 限 ） 前 加 上 数 字   4   就 行 了 。 理 解 理 解   S e t g i d   位 位 设 置   s e t g i d   位 之 后 ， 真 实 用 户 的 有 效   G I D   变 为 属 组 的   G I D 。 因 此 ， 任 何 用 户 都 能 以 属 组 用 户 的 权 限 来 访 问 文 件 。 另 外 ， 当 目 录 置 了   s e t g i d 1 .   #   g r o u p d e l   [ g r o u p _ n a m e ] 1 .   #   c h m o d   o + u   [ f i l e n a m e ] 1 .   #   c h m o d   4 7 5 5   [ f i l e n a m e ]
位 之 后 ， 新 建 的 文 件 将 继 承 其 所 属 目 录 的   G I D ， 并 且 新 建 的 子 目 录 会 继 承 父 目 录 的   s e t g i d   位 。 通 过 这 个 方 法 ， 你 能 够 以 一 个 指 定 的 用 户 组 身 份 来 访 问 该 目 录 里 边 的 文 件 ， 而 不 必 管 文 件 属 主 的 主 属 组 。 以 八 进 制 形 式 来 设 置   s e t g i d   位 ， 在 当 前 基 本 权 限 （ 或 者 想 要 设 置 的 权 限 ） 前 加 上 数 字   2   就 行 了 。 给 目 录 设 置 给 目 录 设 置   S e t g i d   位 位 给 命 令 设 置   s e t g i d   位 理 解 理 解 S t i c k y 黏 连 黏 连 位 位 文 件 设 置 了 黏 连 位 是 没 有 意 义 ， L i n u x   会 忽 略 该 位 。 如 果 设 置 到 目 录 上 ， 会 防 止 其 内 的 文 件 被 删 除 或 改 名 ， 除 非 你 是 该 目 录 或 文 件 的 属 主 、 或 者 是   r o o t   用 户 。 以 八 进 制 形 式 来 设 置 黏 连 位 ， 在 当 前 基 本 权 限 （ 或 者 想 要 设 置 的 权 限 ） 前 加 上 数 字   1   就 行 了 。 若 没 有 黏 连 位 ， 任 何 有 权 限 读 写 目 录 的 用 户 都 可 删 除 和 重 命 名 其 中 的 文 件 。 因 此 ， 黏 连 位 通 常 出 现 在 像   / t m p   之 类 的 目 录 ， 这 些 目 录 是 所 有 人 都 具 有 写 权 限 的 。 1 .   #   c h m o d   g + s   [ f i l e n a m e ] 1 .   #   c h m o d   2 7 5 5   [ f i l e n a m e ] 1 .   #   c h m o d   o + t   [ d i r e c t o r y ] 1 .   #   c h m o d   1 7 5 5   [ d i r e c t o r y ]
给 目 录 设 置 黏 连 位 L i n u x   特 殊 文 件 属 性 特 殊 文 件 属 性 文 件 还 有 其 他 一 些 属 性 ， 用 来 做 进 一 步 的 操 作 限 制 。 比 如 ， 阻 止 对 文 件 的 重 命 名 、 移 动 、 删 除 甚 至 是 修 改 。 可 以 通 过 使 用 c h a t t r   命 令 [ 3 ]   来 设 置 ， 并 可 以 使 用   l s a t t r   工 具 来 查 看 这 些 属 性 。 设 置 如 下 ： 运 行 这 些 命 令 之 后 ， f i l e 1   成 为 不 可 变 状 态 （ 即 不 可 移 动 、 重 命 名 、 修 改 或 删 除 ） ， 而   f i l e 2   进 入 “ 仅 追 加 ” 模 式 （ 仅 在 追 加 内 容 模 式 中 打 开 ） 。 通 过   C h a t t r   命 令 来 包 含 文 件 访 问 访 问   r o o t   账 户 并 启 用 账 户 并 启 用   s u d o 访 问   r o o t   账 户 的 方 法 之 一 ， 就 是 通 过 输 入 ： 1 .   #   c h a t t r   + i   f i l e 1 2 .   #   c h a t t r   + a   f i l e 2
然 后 输 入   r o o t   账 户 密 码 。 倘 若 授 权 成 功 ， 你 将 以   r o o t   身 份 登 录 ， 工 作 目 录 则 是 登 录 前 所 在 的 位 置 。 如 果 是 想 要 一 登 录 就 自 动 进 入   r o o t   用 户 的 家 目 录 ， 请 运 行 ： 然 后 输 入   r o o t   账 户 密 码 。 用 户 通 过   s u   切 换 执 行 上 个 步 骤 需 要 普 通 用 户 知 道   r o o t   账 户 的 密 码 ， 这 样 会 引 起 非 常 严 重 的 安 全 问 题 。 于 是 ， 系 统 管 理 员 通 常 会 配 置   s u d o   命 令 来 让 普 通 用 户 在 严 格 控 制 的 环 境 中 以 其 他 用 户 身 份 （ 通 常 是   r o o t ） 来 执 行 命 令 。 所 以 ， 可 以 在 严 格 控 制 用 户 的 情 况 下 ， 又 允 许 他 运 行 一 条 或 多 条 特 权 命 令 。 扩 展 阅 读 ： D i f f e r e n c e   B e t w e e n   s u   a n d   s u d o   U s e r [ 4 ] 普 通 用 户 通 过 他 自 己 的 用 户 密 码 来 完 成   s u d o   授 权 。 输 入 命 令 之 后 会 出 现 输 入 密 码 （ 并 不 是 超 级 用 户 密 码 ） 的 提 示 ， 授 权 成 功 （ 只 要 赋 予 了 用 户 运 行 该 命 令 的 权 限 ） 的 话 ， 指 定 的 命 令 就 会 运 行 。 系 统 管 理 员 必 须 编 辑   / e t c / s u d o e r s   文 件 ， 才 能 为   s u d o   赋 予 相 应 权 限 。 通 常 建 议 使 用   v i s u d o   命 令 来 编 辑 这 个 文 件 ， 而 不 是 使 用 文 本 编 辑 器 来 打 开 它 。 这 样 会 使 用   v i m （ 你 可 以 按 照   L F C S   系 列 第 二 讲 ： 如 何 安 装 和 使 用 纯 文 本 编 辑 器   v i / v i m   里 边 说 的 来 编 辑 文 件 ） 来 打 开   / e t c / s u d o e r s   文 件 。 以 下 是 需 要 设 置 的 相 关 的 行 ： 1 .   $   s u 1 .   $   s u   - 1 .   #   v i s u d o 1 .   D e f a u l t s         s e c u r e _ p a t h = " / u s r / s b i n : / u s r / b i n : / s b i n " 2 .   r o o t                 A L L = ( A L L )   A L L
来 更 加 深 入 了 解 这 些 项 ： 这 一 行 指 定   s u d o   将 要 使 用 的 目 录 ， 这 样 可 以 阻 止 使 用 某 些 用 户 指 定 的 目 录 ， 那 样 的 话 可 能 会 危 及 系 统 。 下 一 行 是 用 来 指 定 权 限 的 ： 第 一 个   A L L   关 键 词 表 明 这 条 规 则 适 用 于 所 有 主 机 。 第 二 个   A L L   关 键 词 表 明 第 一 个 字 段 中 所 指 定 的 用 户 能 以 任 何 用 户 身 份 的 权 限 来 运 行 相 应 命 令 。 第 三 个   A L L   关 键 词 表 明 可 以 运 行 任 何 命 令 。 如 果   =   号 后 边 没 有 指 定 用 户 ， s u d o   则 默 认 为   r o o t   用 户 。 本 例 中 ， t e c m i n t   用 户 能 以   r o o t   身 份 运 行   y u m   u p d a t e   命 令 。 N O P A S S W D   关 键 词 表 明   g a c a n e p a   用 户 不 需 要 密 码 ， 可 以 直 接 运 行   / b i n / u p d a t e d b   命 令 。 %   符 号 表 示 该 行 应 用 于   a d m i n   用 户 组 。 其 他 部 分 的 含 义 与 对 于 用 户 的 含 义 是 一 样 的 。 本 例 表 示   a d m i n   用 户 组 的 成 员 可 以 通 过 任 何 主 机 连 接 来 运 行 任 何 命 令 。 通 过   s u d o   - l   命 令 可 以 查 看 ， 你 的 账 户 拥 有 什 么 样 的 权 限 。 3 .   t e c m i n t           A L L = / b i n / y u m   u p d a t e 4 .   g a c a n e p a         A L L = N O P A S S W D : / b i n / u p d a t e d b 5 .   % a d m i n             A L L = ( A L L )   A L L 1 .   D e f a u l t s         s e c u r e _ p a t h = " / u s r / s b i n : / u s r / b i n : / s b i n : / u s r / l o c a l / b i n " 1 .   r o o t                 A L L = ( A L L )   A L L 1 .   t e c m i n t   A L L = / b i n / y u m   u p d a t e 1 .   g a c a n e p a         A L L = N O P A S S W D : / b i n / u p d a t e d b 1 .   % a d m i n             A L L = ( A L L )   A L L
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理