码迷,mamicode.com
首页 > 其他好文 > 详细

3.1-3.9 用户相关

时间:2018-05-21 12:23:28      阅读:214      评论:0      收藏:0      [点我收藏+]

标签:用户   centos   linux   

3.1 用户配置文件和密码配置文件

/etc/passwd是用户配置文件

[root@localhost ~]# cat /etc/passwd | head
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin

  
  在该文件中,每一行用户记录的各个数据段用“:”分隔,分别定义了用户的各方面属性。各个字段的顺序和含义如下:

用户名:口令:用户标识号:组标识号:注释说明:用户名:用户主目录:命令解释程序 
  •   用户名(如第一行中的root就是用户名):代表用户账号的字符串。用户名字符可以是大小写字母、数字、减号(不能出现在首位)、点以及下划线,其他字符不合法。虽然用户名中可以出现点,但不建议使用,尤其是首位为点时,另外减号也不建议使用,因为容易造成混淆。

  •   口令(passwd):存放的就是该账号的口令,为什么是 ‘x’ 呢?早期的unix系统口令确实是存放在这里,但基于安全因素,后来就将其存放到 ‘/etc/shadow’ 中了,在这里只用一个 ‘x’ 代替。

现在的Unix/Linux系统中,口令不再直接保存在passwd文件中,通常将passwd文件中的口令字段使用一个“x”来代替,将/etc /shadow作为真正的口令文件,用于保存包括个人口令在内的数据。当然shadow文件是不能被普通用户读取的,只有超级用户才有权读取。

  此外,需要注意的是,如果passwd字段中的第一个字符是“*”的话,那么,就表示该账号被查封了,系统不允许持有该账号的用户登录。

  •   用户标识号(UID):这个数字代表用户标识号,也叫做uid。系统识别用户身份就是通过这个数字来的,0就是root,也就是说你可以修改test用户的uid为0,那么系统会认为root和test为同一个账户。通常uid的取值范围是0~65535(但实际上已经可以支持到4294967294),0是超级用户(root)的标识号,1~499由系统保留,作为管理账号,普通用户的标识号从500开始,如果我们自定义建立一个普通用户,你会看到该账户的标识号是大于或等于500的。

  •   组标识号(GID):表示组标识号,也叫做gid。这个字段对应着/etc/group 中的一条记录,其实/etc/group和/etc/passwd基本上类似。

  • 注释说明,该字段没有实际意义,通常记录该用户的一些属性,例如姓名、电话、地址等等。不过,当你使用finger的功能时就会显示这些信息的

  •   用户的家目录,当用户登录时就处在这个目录下。root的家目录是/root,普通用户的家目录则为/home/username,这个字段是可以自定义的,比如你建立一个普通用户test1,要想让test1的家目录在/data目录下,只要修改/etc/passwd文件中test1那行中的该字段为/data即可。

  •   shell,用户登录后要启动一个进程,用来将用户下达的指令传给内核,这就是shell。Linux的shell有很多种sh, csh, ksh, tcsh, bash等,而Redhat/CentOS的shell就是bash。查看/etc/passwd文件,该字段中除了/bin/bash外还有/sbin/nologin比较多,它表示不允许该账号登录。如果你想建立一个账号不让他登录,那么就可以把该字段改成/sbin/nologin,默认是/bin/bash.

/etc/shadow是密码配置文件

/etc/shadow文件格式与/etc/passwd文件格式类似,同样由若
干个字段组成,字段之间用“:”隔开。通过命令行输入sudo cat /etc/shadow进行文件内容查看:

root:!:17043:0:99999:7:::
daemon:*:16652:0:99999:7:::
bin:*:16652:0:99999:7:::
sys:*:16652:0:99999:7:::
sync:*:16652:0:99999:7:::
games:*:16652:0:99999:7:::
man:*:16652:0:99999:7:::
lp:*:16652:0:99999:7:::
mail:*:16652:0:99999:7:::
news:*:16652:0:99999:7:::
uucp:*:16652:0:99999:7:::
proxy:*:16652:0:99999:7:::
www-data:*:16652:0:99999:7:::
backup:*:16652:0:99999:7:::
list:*:16652:0:99999:7:::
irc:*:16652:0:99999:7:::
gnats:*:16652:0:99999:7:::
nobody:*:16652:0:99999:7:::
libuuid:!:16652:0:99999:7:::
syslog:*:16652:0:99999:7:::
messagebus:*:16652:0:99999:7:::
usbmux:*:16652:0:99999:7:::
dnsmasq:*:16652:0:99999:7:::
avahi-autoipd:*:16652:0:99999:7:::
kernoops:*:16652:0:99999:7:::
rtkit:*:16652:0:99999:7:::

文件中字段主要含义为:

用户名:加密口令:最后一次修改时间:最小时间间隔:最大时间间隔:警告时间:不活动时间:失效时间:标志
  • 每个字段的含义是:
  1. 用户名,跟/etc/passwd对应。

  2. 用户密码,这个才是该账号的真正的密码,不过这个密码已经加密过了,但是有些黑客还是能够解密的。所以,该文件属性设置为000,但是root账户是可以访问或更改的。

     [root@localhost ~]# ls -l /etc/shadow---------- 1 root root 719 5月  10 09:02 /etc/shadow
  3. 上次更改密码的日期,这个数字是这样计算得来的,距离1970年1月1日到上次更改密码的日期,例如上次更改密码的日期为2012年1月1日,则这个值就是 ‘365 x (2012-1970) + (2012-1970)/4 + 1 = 15341’. 因为如果是闰年,则有366天。

  4. 要过多少天才可以更改密码,默认是0,即不限制。

  5. 密码多少天后到期。即在多少天内必须更改密码,例如这里设置成30,则30天内必须更改一次密码,否则将不能登录系统,默认是99999,可以理解为永远不需要改。

  6. 密码到期前的警告期限,若这个值设置成7,则表示当7天后密码过期时,系统就发出警告告诉用户,提醒用户他的密码将在7天后到期。

  7. 账号失效期限。你可以这样理解,如果设置这个值为3,则表示:密码已经到期,然而用户并没有在到期前修改密码,那么再过3天,则这个账号就失效了,即锁定了。

  8. 账号的生命周期,跟第三段一样,是按距离1970年1月1日多少天算的。它表示的含义是,账号在这个日期前可以使用,到期后账号作废。

  9. 作为保留用的,没有什么意义。

3.2 用户组管理

新增一个组

命令 : groupadd

语法 : groupadd [-g GID] groupname
[root@localhost ~]# groupadd grptest1
[root@localhost ~]# tail -n1 /etc/group
grptest1:x:502:

不加 “-g” 选项则按照系统默认的gid创建组,跟用户一样,gid也是从500开始的。

[root@localhost ~]# groupadd -g 511 grptest2
[root@localhost ~]# tail -n2 /etc/group
grptest1:x:502:
grptest2:x:511:

“-g” 选项可以自定义gid.

删除一个组

命令 : groupdel
[root@localhost ~]# groupdel grptest2
[root@localhost ~]# tail -n3 /etc/group
testgroup:x:500:
user1:x:501:
grptest1:x:502:

该命令没有特殊选项,但有一种情况不能删除组:

[root@localhost ~]# groupdel user1
groupdel: cannot remove the primary group of user ‘user1‘

这是因为user1组中包含user1账户,只有删除user1账户后才可以删除该组。


3.3 用户管理

增加账户

命令 : useradd

语法 : useradd [-u UID] [-g GID] [-d HOME] [-M] [-s]

‘-u’ 自定义UID

‘-g’ 使其属于已经存在的某个组,后面可以跟组id, 也可以跟组名

‘-d’ 自定义用户的家目录

‘-M’ 不建立家目录

‘-s’ 自定义shell
[root@localhost ~]# useradd test10
[root@localhost ~]# tail -n1 /etc/passwd
test10:x:500:503::/home/test10:/bin/bash
[root@localhost ~]# tail -n1 /etc/group
test10:x:503:

‘useradd’ 不加任何选项直接跟用户名,则会创建一个跟用户名同样名字的组。

[root@localhost ~]# useradd -u510 -g 513 -M -s /sbin/nologin user11
useradd: group ‘513‘ does not exist
[root@localhost ~]# useradd -u510 -g 502 -M -s /sbin/nologin user11
[root@localhost ~]# useradd -u511 -g grptest1 user12
[root@localhost ~]# tail -n2 /etc/passwd
user11:x:510:502::/home/user11:/sbin/nologin
user12:x:511:502::/home/user12:/bin/bash
[root@localhost ~]# tail -n2 /etc/group
grptest1:x:502:
test10:x:503:

‘-g’ 选项后面跟一个不存在的gid会报错,提示该组不存在。刚刚上面说过 ‘-M’ 选项加上后则不建立用户家目录,但是在/etc/passwd文件中仍然有这个字段。但是你使用 ls /home/user11 查看一下会提示该目录不存在。所以 ‘-M’ 选项的作用只是不创建那个目录。

[root@localhost ~]# ls /home/user11
ls: 无法访问/home/user11: 没有那个文件或目录

删除账户

命令 : userdel

语法 : userdel [-r] username
[root@localhost ~]# ls -ld /home/user12
drwx------ 3 user12 grptest1 4096 5月  11 07:12 /home/user12
[root@localhost ~]# userdel user12
[root@localhost ~]# ls -ld /home/user12
drwx------ 3 511 grptest1 4096 5月  11 07:12 /home/user12
[root@localhost ~]# ls -ld /home/test10/
drwx------ 3 test10 test10 4096 5月  11 07:09 /home/test10/
[root@localhost ~]# userdel  -r test10
[root@localhost ~]# ls -ld /home/test10/
ls: 无法访问/home/test10/: 没有那个文件或目录

3.4 usermod命令

usermod命令用于修改用户的基本信息。usermod命令不允许你改变正在线上的使用者帐号名称。当usermod命令用来改变user id,必须确认这名user没在电脑上执行任何程序。你需手动更改使用者的crontab档。也需手动更改使用者的at工作档。采用NIS server须在server上更动相关的NIS设定。

  • 语法

    usermod(选项)(参数)

  • 选项

    -c<备注>:修改用户帐号的备注文字;
    -d<登入目录>:修改用户登入时的目录;
    -e<有效期限>:修改帐号的有效期限;
    -f<缓冲天数>:修改在密码过期后多少天即关闭该帐号;
    -g<群组>:修改用户所属的群组;
    -G<群组>;修改用户所属的附加群组;
    -l<帐号名称>:修改用户帐号名称;
    -L:锁定用户密码,使密码无效;
    -s:修改用户登入后所使用的shell; -u:修改用户ID;
    -U:解除密码锁定。

  • 参数

    登录名:指定要修改信息的用户登录名。

  • 实例
  1. 将newuser2添加到组staff中:
usermod -G staff newuser2
  1. 修改newuser的用户名为newuser1:
usermod -l newuser1 newuser
  1. 锁定账号newuser1:
usermod -L newuser1
  1. 解除对newuser1的锁定:
usermod -U newuser1
  1. 改变用户newuser1的uid:
usermod -u 777 newuser1

3.5 用户密码管理

更改用户密码

  • root用户下更改root用户密码
passwd       直接敲passwd命令就会提示更改密码了
  • root用户下更改普通用户user1密码
passwd user1     需要passwd后面接需要更改的普通用户用户名

passwd常用命令

passwd命令用于设置用户的认证信息,包括用户密码、密码过期时间等。系统管理者则能用它管理系统用户的密码。只有管理者可以指定用户名称,一般用户只能变更自己的密码。

  • 语法

    passwd(选项)(参数)

  • 选项

    -d:删除密码,仅有系统管理者才能使用;

    -f:强制执行;

    -k:设置只有在密码过期失效后,方能更新;

    -l:锁住密码;

    -s:列出密码的相关信息,仅有系统管理者才能使用;

    -u:解开已上锁的帐号。

    --stdin:(写shell脚本可能用到这个)

    比如:echo 12345 |passwd --stdin user1,这样就避免了交互,直接一条命令就修改密码了,使用到了管道符|。

  • 参数

    用户名:需要设置密码的用户名。

  • 实例

如:

passwd -l user1    锁定user1
  1. 如果是普通用户执行passwd只能修改自己的密码。如果新建用户后,要为新用户创建密码,则用passwd用户名,注意要以root用户的权限来创建。

  2. 普通用户如果想更改自己的密码,直接运行passwd即可,比如当前操作的用户是linuxde。

  3. 如果我们想让某个用户不能修改密码,可以用-l选项来锁定

  4. 当我们清除一个用户的密码时,登录时就无需密码,这一点要加以注意。

下面是/etc/shadow的一个例子:

#cat/etc/shadow

root:Dnakfw28zf38w:8764:0:168:7:::
daemon:*::0:0::::
bin:*::0:0::::
sys:*::0:0::::
adm:*::0:0::::
uucp:*::0:0::::
nuucp:*::0:0::::
auth:*::0:0::::
cron:*::0:0::::
listen:*::0:0::::
lp:*::0:0::::
sam:EkdiSECLWPdSa:9740:0:0::

*号代表密码是被passwd命令锁定的,::代表没有密码,中间是空的,!号是被usermod命令锁定的。这三种情况都是不能登陆这个用户的。

知识总结

与用户、组账户信息相关的文件

存放用户信息:

/etc/passwd

/etc/shadow

存放组信息:

/etc/group

/etc/gshadow


3.6 mkpasswd命令

这个命令可以制作一个随机字符串,我们可以用作密码,可以生成一个强度很高的密码,shell脚本中常用。

  1. 先安装这个命令的包,默认是不存在这个命令的
yum install -y expect

2.如果使用这个命令

mkpasswd       会默认生成一个9位的密码

mkpasswd -12   也可以指定字符串长度,比如12位

mkpasswd -12 -s 3    也可以指定生成的字符串其中有多少个特殊符号

3.7 su命令

su命令用于切换当前用户身份到其他用户身份,变更时须输入所要变更的用户帐号与密码。

语法

su(选项)(参数) 

选项

-c<指令>或--command=<指令>:执行完指定的指令后,即恢复原来的身份; 

-f或——fast:适用于csh与tsch,使shell不用去读取启动文件; 

-l或——login:改变身份时,也同时变更工作目录,以及HOME,SHELL,USER,logname。此外,也会变更PATH变量; 

-m,-p或--preserve-environment:变更身份时,不要变更环境变量; 

-s或--shell=:指定要执行的shell; 

--help:显示帮助; 

--version;显示版本信息。 

参数

用户:指定要切换身份的目标用户。 

实例

  • 变更帐号为root并在执行ls指令后退出变回原使用者:

    su -c ls root

  • 变更帐号为root并传入-f选项给新执行的shell:

    su root -f

  • 变更帐号为test并改变工作目录至test的家目录:

    su -test



3.9 sudo命令

用su是可以切换用户身份,如果每个普通用户都能切换到root身份,如果某个用户不小心泄漏了root的密码,那岂不是系统非常的不安全?没有错,为了改进这个问题,产生了sudo这个命令。使用sudo执行一个root才能执行的命令是可以办到的,但是需要输入密码,这个密码并不是root的密码而是用户自己的密码。默认只有root用户能使用sudo命令,普通用户想要使用sudo,是需要root预先设定的,即,使用 visudo 命令去编辑相关的配置文件/etc/sudoers. 如果没有visudo这个命令,请使用 yum install -y sudo 安装。

默认root能够sudo是因为这个文件中有一行 “root ALL=(ALL) ALL” 在该行下面加入 “test ALL=(ALL) ALL” 就可以让test用户拥有了sudo的权利。使用 “visudo” 命令编辑/etc/sudoers配置文件,它的操作方法和 “vi” 命令使用方法是一样的,按 ‘i’ 进入编辑模式,编辑完成后,按 “Esc” ,再输入 ”:wq” 完成保存。

## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
test    ALL=(ALL)       ALL

此时可以验证一下test账户的权限了。

[root@localhost ~]# su test
[test@localhost root]$ ls
ls: 无法打开目录.: 权限不够
[test@localhost root]$ sudo ls

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for test:
123  456  789  anaconda-ks.cfg  dirb  install.log  install.log.syslog  test  test1  test2  test3

由于切换到test账户后的当前目录依旧是在/root 下,test账户没有任何权限,所以 ‘ls’ 的时候提示说权限不够,然而使用 sudo ls 输入test账户自身的密码后就有权限了。初次使用sudo 时会有上面的一大段提示,而后再次使用sudo 命令则不再提示。

如果每增加一用户就设置一行,这样太麻>烦了。所以你可以这样设置。把 “# %wheel ALL=(ALL) ALL” 前面的 ‘# ‘ 去掉,让这一行生效。它的意思是,wheel这个组的所有用户都拥有了sudo的权利。接下来就需要你把想让有sudo权利的所有用户加入到wheel这个组中即可。

## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL

配置文件/etc/sudoers包含了诸多配置项,可以使用命令 man sudoers 来获得帮助信息。

只允许使用普通账户登陆,而普通账户登录后,可以不输入密码就能sudo切换到root账户。如下配置:

[root@localhost ~]# visudo

然后在文件的最后面加入三行:

User_Alias USER_SU = test, test1, gaohanwei
Cmnd_Alias SU = /bin/su
USER_SU ALL=(ALL) NOPASSWD: SU

保存配置文件后,使用test, test1, gaohanwei 三个账户登陆Linux后,执行命令 sudo su - 切换到root账户,获取root账户的所有权利。

[root@localhost ~]# su - test
[test@localhost ~]$ sudo su -
[root@localhost ~]# whoami
root

PS:如果不想让root很简单的直接登录,我们就可以使用keypass工具来保存记录一个很复杂的密码。


3.9 不允许root远程登录linux

/etc/ssh/sshd_config为sshd服务的配置文件,默认允许root账户通过ssh远程登录linux。要想不允许root用户远程登录linux,具体操作方法如下:
修改配置文件/etc/ssh/sshd_config,在文件中查找#PermitRootLoginyes并修改为PermitRootLogin no。保存配置文件后,需要重启sshd服务,如下:

#systemctl restart sshd.service

这种方法只适用于通过ssh远程登录Linux的情况。

3.1-3.9 用户相关

标签:用户   centos   linux   

原文地址:http://blog.51cto.com/13530586/2118601

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!