Linux_用户和组管理

何为用户何为组？

用户分类

Linux用户分为管理员和普通用户两种：

用户类别	用户ID
管理员	0
普通用户	1-65535

其中普通用户又分为系统用户和登录用户两种：

用户类别	用户ID
系统用户	1-999（为守护类进程获取系统资源而完成权限指派的用户）
登录用户	1000-60000（为了完成交互式登录使用的用户）

Linux安全上下文

运行中的程序：进程（process）

以进程发起者的身份运行
- root：cat
- tom：cat
进程所能够访问的所有资源的权限取决于进程的发起者的身份

Linux通过安全上下文的概念完成用户权限的指派。

先判断用户是否是某文件的属主
再判断用户是否属于某个组
最后定其为其他用户

Linux用户组类别

用户组类别	特性
私有组	创建用户时，如果没有为其指定所属的组，系统会自动为其创建一个与用户名相同的组
基本组	用户的默认组
附加组(额外组)	默认组以外的其它组

Linux用户和组相关的配置文件

各配置文件说明

配置文件	作用
/etc/passwd	用户及其属性信息（名称、uid、基本组id等等）
/etc/group	组及其属性信息
/etc/shadow	用户密码及其相关属性
/etc/gshadow	组密码及其相关属性。在用户执行基本组切换时使用

配置文件	/etc/passwd	/etc/group
第一字段	用户名	组名
第二字段	密码占位符	组密码
第三字段	UID	GID
第四字段	GID	以当前组为附加组的用户列表(分隔符为逗号)
第五字段	用户的描述信息
第六字段	用户家目录
第七字段	用户的登录shell

配置文件	/etc/shadow
第一字段	登录名
第二字段	加密后的密码
第三字段	最近一次更改密码的日期
第四字段	密码的最小使用期限
第五字段	密码的最大使用期限
第六字段	密码警告时间段
第七字段	密码禁用期
第八字段	帐号的过期日期
第九字段	保留字段

密码复杂性

密码复杂性策略：

使用数字、大写字母、小写字母及特殊字符中至少3种
足够长
使用随机密码，不要使用有意义的单词或数字
定期更换，不要使用最近曾经使用过的密码

用户和组相关的管理命令

用户管理

用户创建命令useradd

//语法：useradd [option] USERNAME
    -u UID                     //[UID_MIN,UID_MAX]定义在/etc/login.defs文件中
    -g GID                     //指定用户所属基本组，可为组名或GID
    -G groupname,...           //附加组，可以有多个，用逗号隔开。组groupname必须事先存在
    -c "COMMENT"               //注释信息
    -d /path/to/directory      //指定用户的家目录。此目录必须不能事先存在， 
                               //否则将不会从/etc/skel中复制环境设置文件
    -s shell                   //这里的shell最好使用/etc/shells里面有的shell， 
                               // /etc/shells指定了当前系统可用的安全shell
    -M                         //创建用户时不给其创建家目录
    -r                         //添加一个系统用户
    -D                         //直接打印/etc/default/useradd文件的内容或配合其它选项 
                               //（例如-s SHELL）直接修改/etc/default/useradd文件中的默认值

用户删除命令userdel

//语法：userdel [option] USERNAME
    -r      //删除用户的同时删除其家目录（userdel默认不会删除其家目录）

查看用户帐号的信息命令id

id          //查看用户的帐号属性信息
    -u      //查看UID
    -g      //查看GID
    -G      //查看Groups

修改用户帐号属性的命令

//usermod   修改用户属性
//语法：usermod [options] username
    -u UID
    -g GID
    -a -G groupname    //不使用-a选项，会覆盖此前的附加组
    -d -m              //改变用户家目录的同时把原来家目录的文件移动到新的家目录中
    -e YYYY-MM-DD      //指明用户帐号过期日期
    -f INACTIVE        //设定非活动期限
    -L      //锁定帐号。
            //被锁定的帐号在/etc/shadow文件中密码前面会有一个！感叹号
    -U      //解锁帐号
  
//chsh  修改用户的默认shell
//语法：chsh [options] [username]
    -s SHELL

切换用户命令su

切换用户的方式	特点
su USERNAME	非登录式切换，即不会读取目标用户的配置文件
su - USERNAME	登录式切换，即会读取目标用户的配置文件。完全切换
su -	不指定用户时默认切换至root用户

注意：root su至其他用户不需要密码，非root用户su至其他用户时需要输入目标用户的密码

//语法：su [options] [-] [USER [arg]...]
    -c 'COMMAND'    //切换身份执行命令，命令执行结束后又回到原来的身份

bash的配置文件：

配置文件类型	配置文件路径
全局配置	/etc/profile /etc/profile.d/*.sh /etc/bashrc
个人配置	~/.bash_profile ～/.bashrc

配置文件类型	功能
profile类	为交互式登录的shell提供配置，用来设定环境变量、运行命令或脚本
bashrc类	为非交互式登录的shell提供配置，用来设定本地变量、定义命令别名

登录式shell如何读取配置文件？
/etc/profile --> /etc/profile.d/*.sh --> ~/.bash_profile --> ~/.bashrc --> /etc/bashrc

非登录式shell如何读取配置文件？
~/.bashrc --> /etc/bashrc --> /etc/profile.d/*.sh

密码管理

密码管理命令passwd

语法：passwd [options] [USERNAME]
    --stdin     //从标准输入获取用户密码， 
                //例：echo "redhat"｜passwd --stdin user1
    -l          //锁定用户
    -u          //解锁用户
    -d          //删除用户密码
    -n mindays      //指定最短使用期限
    -x maxdays      //指定最长使用期限
    -w warndays     //提前多少天开始警告
    -i inactivedays     //非活动期限，密码过期后到禁用前的这段时间

密码生成工具openssl

//语法：openssl command [ command_opts ] [ command_args ]
    command         //包含标准命令、消息摘要命令、加密命令
        version     //查看程序版本号
        dgst        //提取特征码
        passwd      //生成密码
        rand        //生成伪随机数

//提取特征码
[root@localhost ~]# openssl dgst -md5 /etc/fstab
MD5(/etc/fstab)= a977cc5e638d779ed880f3fee6d7067e

//生成密码 openssl passwd -1 -salt string        //string一般为8位
[root@localhost ~]# openssl passwd -1 -salt hellotom
Password:
$1$hellotom$HpEDmPGqWwhP/eHg0kJHA0

//生成随机数 openssl rand -base64 NUM
//NUM表示随机数的长度
[root@localhost ~]# openssl rand -base64 20
S/q8tjUSBuUNHb+0cgDX66dbvTQ=

组管理

创建组命令groupadd

//语法：groupadd [options] GROUP
    -g GID      //指定GID
    -r          //添加一个系统组

删除组命令groupdel

//语法：groupdel [options] GROUP
//删除组时只需要指定组名即可

演示如下：

用户管理

useradd //用户创建命令；创建一个叫 linux001 的用户(不能用纯数字创建)

[root@lc ~]# useradd linux001
[root@lc ~]# id linux001
uid=1000(linux001) gid=1000(linux001) groups=1000(linux001)
[root@lc ~]#

ll //列出当前文件或目录的详细信息，含有时间、读写权限、大小、时间等信息；判断用户是否是某个文件的属主

r //表示读取权限
w //表示写入权限
x //表示执行权限
‘-’ //表示无此权限

[root@lc ~]# ll
total 12
-rw-r--r--. 1 root root 12 Nov  8 18:15 abc
-rw-r--r--. 1 root root  5 Nov  8 18:51 123
-rw-r--r--. 1 root root  5 Nov  8 18:16 def

进程所能够访问的所有资源的权限取决于进程的发起者的身份 //在root 和 linux001 里编辑abc文件，查看进程

[root@lc ~]# ps -ef|grep vi
root         966       1  0 12:00 ?        00:00:00 /usr/bin/VGAuthService -s
root       15011   14889  0 19:30 pts/0    00:00:00 vi abc
root       15013   14936  0 19:30 pts/1    00:00:00 grep --color=auto vi
[root@lc ~]# ps -ef|grep vi
root         966       1  0 12:00 ?        00:00:00 /usr/bin/VGAuthService -s
root       15011   14889  0 19:30 pts/0    00:00:00 vi abc
linux001   15015   14985  0 19:31 pts/2    00:00:00 vim abc
root       15017   14936  0 19:31 pts/1    00:00:00 grep --color=auto vi
[root@lc ~]#

-u UID //[UID_MIN,UID_MAX]定义在/etc/login.defs文件中

[root@lc ~]# useradd -u 2000 linux002
[root@lc ~]# id linux002
uid=2000(linux002) gid=2000(linux002) groups=2000(linux002)
[root@lc ~]#

-g GID //指定用户所属基本组，可为组名或GID

[root@lc ~]# useradd -g linux001 linux003
[root@lc ~]# id linux003
id=2001(linux003) gid=1000(linux001) groups=1000(linux001)
[root@lc ~]#

-G groupname,... //附加组，可以有多个，用逗号隔开。组groupname必须事先存在

[root@lc ~]# useradd -g linux001 -G linux002 linux004
[root@lc ~]# id linux004
uid=2002(linux004) gid=1000(linux001) groups=1000(linux001),2000(linux002)
[root@lc ~]#

-c //“COMMENT”，注释信息

[root@lc ~]# useradd -c "我是中国人，何必学外文，什么ABC，都是狗屁文" linux006
[root@lc ~]# id linux006
uid=2003(linux006) gid=2003(linux006) groups=2003(linux006)
[root@lc ~]# grep linux006 /etc/passwd
linux006:x:2003:2003:我是中国人，何必学外文，什么ABC，都是狗屁文:/home/linux006:/bin/bash
[root@lc ~]#

-d //指定用户的家目录，此目录必须不能事先存在，否则将不会从etc/skel中复制环境文件

[root@lc ~]# ls /opt/
anaconda-ks.cfg
[root@lc ~]# useradd -d /opt/007 linux007
[root@lc ~]# ls /opt/
007  anaconda-ks.cfg

-s //指定的shell登录(组合使用)

M //创建用户时不给其创建家目录
-r //添加一个系统用户

[root@lc ~]# useradd -r -M -s /sbin/nologin linux008
[root@lc ~]# id linux008
uid=994(linux008) gid=991(linux008) groups=991(linux008)

查看用户账号的信息命令 //id

id //当前登录账户的信息

[root@lc ~]# id linux008
uid=994(linux008) gid=991(linux008) groups=991(linux008)
[root@lc ~]#

id -u //查看UID

[root@lc ~]# id -u linux008
994
[root@lc ~]#

id -g //查看GID

[root@lc ~]# id -g linux008
991
[root@lc ~]#

id -G //查看Groups

[root@lc ~]# id -G linux008
991
[root@lc ~]#

删除用户；-r 删除用户的同时删除其家目录（userdel默认不会删除其家目录） //userdel

[root@lc ~]# ll /home/
total 0
drwx------. 2 linux001 linux001 99 Nov  9 20:22 linux001
drwx------. 2 linux002 linux002 62 Nov  9 19:42 linux002
drwx------. 2 linux003 linux001 62 Nov  9 19:44 linux003
drwx------. 2 linux004 linux001 62 Nov  9 20:19 linux004
[root@lc ~]# userdel -r linux004
[root@lc ~]# ll /home/
total 0
drwx------. 2 linux001 linux001 99 Nov  9 20:22 linux001
drwx------. 2 linux002 linux002 62 Nov  9 19:42 linux002
drwx------. 2 linux003 linux001 62 Nov  9 19:44 linux003
[root@lc ~]#

修改用户属性 //usermod

-u //修改UID

[root@lc ~]# id linux001
uid=1000(linux001) gid=1000(linux001) groups=1000(linux001)
[root@lc ~]# usermod -u 2000 linux001
usermod: UID '2000' already exists
[root@lc ~]# usermod -u 3000 linux001
[root@lc ~]# id linux001
uid=3000(linux001) gid=1000(linux001) groups=1000(linux001)

-g //修改GID;组必须要存在；下面是把linux001的GID变成了linux002的GID（组名就是GID）

[root@lc ~]# id linux002
uid=2000(linux002) gid=2000(linux002) groups=2000(linux002)
[root@lc ~]# usermod -g linux002 linux001
[root@lc ~]# id linux001
uid=3000(linux001) gid=2000(linux002) groups=2000(linux002)
[root@lc ~]#

-a -G groupname //不使用-a选项，会覆盖此前的附加组

[root@lc ~]# usermod -a -G lc linux004
[root@lc ~]# id linux004
uid=3001(linux004) gid=3001(linux004) groups=3001(linux004),3002(lc)
[root@lc ~]#

-d -m //-d后面必须加家目录；改变用户家目录的同时把原来家目录的文件移动到新的家目录；下面是把linux004 搬到opt下面，名叫004

[root@lc ~]# usermod -m -d /opt/004 linux004
[root@lc ~]# ll /home/
total 0
drwx------. 2 lc       lc       62 Nov 10 01:12 lc
drwx------. 2 linux001 linux002 99 Nov  9 20:22 linux001
drwx------. 2 linux002 linux002 62 Nov  9 19:42 linux002
drwx------. 2 linux003 linux001 62 Nov  9 19:44 linux003
[root@lc ~]# ls /opt/
004  007  anaconda-ks.cfg
[root@lc ~]#

-L //锁定账户
-U //解锁账户

[root@lc ~]# usermod -L lc
[root@lc ~]# usermod -U lc

-s shell //修改用户的默认shell

[root@lc ~]# usermod -s /bin/sh linux008
[root@lc ~]# grep linux008 /etc/passwd
linux008:x:994:991::/home/linux008:/bin/sh
[root@lc ~]#

切换用户命令 //su

su username //非登录切换，既不会读取目标用户的配置文件

[root@lc ~]# su lc
[lc@lc root]$

su - username //登录切换，读取目标用户配置文件

[lc@lc root]$ su - root
Password: 
Last login: Tue Nov 10 00:06:06 CST 2020 from 192.168.91.1 on pts/2
[root@lc ~]#

su - //不指定用户切换root

[root@lc ~]# su lc
[lc@lc root]$ su -
Password: 
Last login: Tue Nov 10 01:33:47 CST 2020 on pts/2
[root@lc ~]#

4 -c command //切换身份执行命令结束后回到原来身份

[lc@lc root]$ su -root -c "ip a"
su: invalid option -- 'r'
Try 'su --help' for more information.
[lc@lc root]$ su - root -c "ip a"
Password: 
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: ens160: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:0c:29:40:37:5a brd ff:ff:ff:ff:ff:ff
    inet 192.168.91.131/24 brd 192.168.91.255 scope global dynamic noprefixroute ens160
       valid_lft 1385sec preferred_lft 1385sec
    inet6 fe80::3c7:210b:e904:d05b/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
[lc@lc root]$

密码管理命令 //passwd

passwd //给当前用户设置密码；当前是管理员账户所以可以直接管理密码

[root@runtime ~]# passwd
Changing password for user root.
New password: 
BAD PASSWORD: The password is a palindrome
Retype new password: 
passwd: all authentication tokens updated successfully.
[root@runtime ~]#

在管理员账户下给别的用户设置密码

passwd tom //给tom设置密码

[root@runtime ~]# passwd tom
Changing password for user tom.
New password: 
BAD PASSWORD: The password is a palindrome
Retype new password: 
Sorry, passwords do not match.
New password: 
BAD PASSWORD: The password is a palindrome
Retype new password: 
passwd: all authentication tokens updated successfully.
[root@runtime ~]#

echo '123456'|passwd --stdin tom //把密码给passwd命令给标准输入的tom用户（把密码重定向给tom；标准输入的重定向）,这种方式会留下history，history -d 删除

[root@runtime ~]# echo 'redhat'|passwd --stdin tom
Changing password for user tom.
passwd: all authentication tokens updated successfully.
[root@runtime ~]#

密码生成工具 //openssl

command//包含标准命令、消息摘要命令、加密命令
version //查看程序版本号
dgst //提取特征码
passwd //生成密码
rand//生成伪随机数

openssl degt -md5 //生成一个随机密码用md5加密算法

[tom@runtime ~]$ touch abc
[tom@runtime ~]$ openssl dgst -md5 abc
MD5(abc)= d41d8cd98f00b204e9800998ecf8427e

openssl rand -base64 20 //生成一个20位的随机密码;

[root@runtime ~]# openssl rand -base64 20
wZei4FsrJlink9xah6xWX5bPGF4=
[root@runtime ~]# openssl rand -base64 30
lA1M1Jri3c6Skr56aGA8t84eNjZ7ghZU6ScNhmv9

创建组命令 //groupadd

-g GID //指定GID
-r //添加一个系统组

-r //创建一个组

[root@runtime ~]# groupadd -r mysys
[root@runtime ~]# grep mysys /etc/group
mysys:x:990:
[root@runtime ~]#

-g//指定一个GID

[root@runtime ~]# groupadd -g 6000 mysys1
[root@runtime ~]# grep mysys1 /etc/group
mysys1:x:6000:
[root@runtime ~]#

删除组命令 //groupdel

groupdel //删除组

[root@runtime ~]# groupdel mysys
[root@runtime ~]# groupdel mysys1
[root@runtime ~]# grep mysys1 /etc/group
[root@runtime ~]# grep mysys /etc/group
[root@runtime ~]#