标签：linux 用户管理
用户管理
一. 用户管理基础
1. 用户的分类
(1) 超级用户(UID=0)
(2) 普通用户(UID=500-...)
(3) 伪用户(UID=1-499)
2. 用户组的分类
(1) 标准组
(2) 私用组
3. 用户管理的文件
(1) /etc/passwd
作用： 存储系统的用户信息
格式：
用户名:口令:UID:主组GID:描述:主目录:shell
实例：
root:x:0:0:root:/root:/bin/bash
(2) /etc/shadow
作用： 存储用户的口令信息
格式：
用户名:口令:最后一次修改口令日期:口令的最小使用天数:口令的最大使用天数:口令失效前多少天警告:过期后多少天禁用账户:有效期：保留
实例：
root:$123948asldew:13562:0:9999:7:::
(3) /etc/group
作用： 存储系统的用户组信息
格式：
用户组名:口令:GID：成员列表
实例：
root:x:0:root,bin
(4) /etc/gshadow
作用：存储用户组口令信息
格式：
用户组名:口令:管理员:成员
实例：
root:$13asdfaasd:admin:root,bin
(5) /etc/login.defs
作用：存储新建用户的部分默认规则信息
内容：
MAIL_DIR 路径 //设置用户的默认邮箱位置
PASS_MAX_DAYS 数字 //设置口令的最大使用天数
PASS_MIN_DAYS 数字 //设置口令的最小使用天数
PASS_MIN_LEN 数字 //设置口令的最小长度
PASS_WARN_AGE 数字 //设置口令的过期警告日期
UID_MIN 数字
UID_MAX 数字 //设置自动生成的UID范围
GID_MIN 数字
GID_MAX 数字 //设置自动生成的GID范围
CREATE_HOME yes/no //设置系统是否自动创建用户主目录
(6) /etc/default/useradd
作用： 存储新建用户的部分默认规则信息
内容： GROUP=数字 //设置用户默认主组,当禁用私用组时有效
HOME=路径 //设置用户主目录的默认位置
INACTIVE=数字 //口令过期后多少禁用账户
EXPIRE=日期 //设置用户默认有效期
SKEL=路径 //设置默认用户配置文件的位置
SHELL=路径 //指定用户的默认shell
(7) 用户环境配置文件
-/etc/profile //用户的登录脚本
-.bash_profile //用户个人登录脚本
-.bash_history //用户命令历史记录文件
-.bash_logout //用户注销脚本
-.bashrc //设置命令别名
二. 用户管理命令
1. groupadd
作用： 创建用户组
格式：groupadd [参数] 用户组名
实例：#groupadd users
#groupadd -g 100 -o hrs
2. groupdel
作用： 删除用户组
格式：groupdel 用户组名
实例：#groupdel hrs
3. groupmod
作用： 修改用户组信息
格式：groupmod 参数 用户组名
实例：#groupmod -g 900 -o hrs
#groupmod -n houres hrs
4. gpasswd
作用：设置组的口令、设置组的管理员或组的成员
格式： gpasswd [参数] 用户组名
实例：#gpasswd hrs
#gpasswd -A u1 hrs
#gpasswd -a u1 hrs
#gpasswd -d u1 hrs
5. useradd
作用：创建用户
格式：useradd [参数] 用户名
参数：-u 数字 //指定用户的UID
-o //与-u连用，指定重复的UID
-g 用户组名 //指定用户的主组
-G 用户组名 //指定用户的附加组
-d 路径 //指定用户的主目录
-s 路径 //指定用户的shell
-e 日期 //指定用户的有效期
实例：#useradd user1
#useradd -u 0 -o admin
6. passwd
作用: 修改用户口令
格式：passwd [参数] [用户名]
实例：#passwd
#passwd user1
#passwd -d user2
#passwd -l user1
#passwd -u -f user1
7. userdel
作用： 删除用户
格式: userdel [参数] 用户名
实例：#userdel user1
#userdel -r user1
8. usermod
作用：修改用户信息
格式：usermod 参数 用户名
参数: -u 数字 //修改用户的UID,可-o参数,使用不唯一的UID
-g 用户组名 //修改用户主组
-G 用户组名 //修改用户的附加组
-d 路径 //修改用户的主目录
-s 路径 //修改用户的shell
-e 日期 //修改用户的有效期
-l 新用户名 //修改用户名称
实例：#usermod -u 0 -o -g 0 user2
9. groups
作用：查看用户所属组的信息
格式：groups [用户名]
实例： #groups
#groups user1
10. id
作用：查看用户uid、主组及附加组信息
格式: id [参数] [用户名]
实例：#id
#id user2
#id -u user2
#id -g user2
#id -G users
#id -gn user2
11. who
作用： 查看当前已登录的用户信息
实例：#who
12. w
作用: 查看当前已登录的用户信息
实例：#w
13. last
作用：查看最近几次的用户登录情况
实例：#last
#last -1
#last root
#last -1 root
#last 1
14. lastlog
作用：查看所有用户的最后一次登录活动
实例：#lastlog
15. su
作用：切换用户环境
格式: su [-/参数] [用户名]
实例：$su
$su - root //中间加了-表示转换的时候附带权限
$su -c "/usr/sbin/useradd u3" root
16. exit
作用：退出用户环境
实例：#exit
17. logout
作用：注销用户
实例：#logout
18. wall
作用：发送广播消息
实例：#wall
19. write
作用：向指定用户发送消息
格式: write 用户名 [终端名]
实例：#write user1
#write user1 tty3
三. 用户安全管理
1. 文件访问权限管理
(1) 文件访问权限种类
-基本权限
a. 读 (r/4)
文件：允许用户打开文件，读取文件内容
目录：允许用户列出目录内容
b. 写 (w/2)
文件：允许用户修改文件内容
目录：允许用户在目录中创建／删除子对象
c. 执行(x/1)
文件：允许用户运行文件
目录：允许用户进行目录
-特殊权限
a. suid (s/4)
应用在可执行文件上，任何用户执行文件时都以文件拥有者的身份执行
b. sgid (s/2)
应用在可执行文件上，任何用户执行文件时都以文件拥有组成员身份执行
c. 粘着位 (t/1)
应用在目录文件上，在目录中删除对象时，只能删除用户自己拥有的对象
(2) 文件访问者
-文件拥有者
-文件拥有组成员用户
-其他用户
(3) 文件访问权限的操作
-chmod
作用：修改文件的访问权限
格式：chmod [参数] 权限值/用户+\-权限 文件
实例：#chmod 755 /abc/d1
#chmod 1777 /abc/soft
#chmod u+w,a-x /abc/f1
#chmod u+s,g+s,o+t /abc/d1
#chmod -R 755 /abc/d1
-chown
作用： 修改文件的拥有者
格式：chown [参数] 用户名[.用户组名] 文件
实例：#chown u2 /abc/f1
#chown u2.g1 /abc/f2
#chown -R u2 /abc/d1
-chgrp
作用： 修改文件的拥有组
格式：chgrp [参数] 用户组名 文件
实例:#chgrp g1 /abc/f3
#chgrp -r g1 /abc/d1
-umask
作用：查看或修改权限掩码
格式: umask [权限值]
实例：#umask
#umask 0044
-lsattr
作用： 查看文件的属性
格式: lsattr [文件]
实例：#lsattr
#lsattr /abc/f1
-chattr
作用：修改文件的属性
格式：chattr +/-/=属性 文件
属性: a 在文件中追加内容，不要删除或修改内容
在目录中可创建对象，但不能删除
i 只读
实例：#chattr +a /abc/d1
2. 系统权限的分配
(1) 分配权限
#chmod 740 /etc/sudoers
#vi /etc/sudoers
.....
格式： 接受权限的用户名 登录主机=(用户名) 命令
实例： u1 ALL=(root) /usr/sbin/useradd
#chmod 440 /etc/sudoers
(2) 接受权限的用户必须使用sudo调用授权的程序
sudo -u 用户名 命令
实例: $sudo -u root /usr/sbin/usreadd u2
3. 用户的限制
(1) 认识PAM
-PAM（可插拔验证模块）是一种身份验证机制，可为应用程序提供身份验证及访问验证服务
-PAM采用模块化结构,所有模块都存放在/lib/security目录中
-每个支持PAM验证的程序都需要在/etc/pam.d中建立相应的配置文件
(2) 限制系统拒绝普通用户登录
-修改/etc/pam.d/login文件
#vi /etc/pam.d/login
.......
auth required pam_nologin.so
......
-在/etc/下创建nologin文件
#touch /etc/nologin
(3) 限制用户的登录时间
-修改/etc/pam.d/login文件
#vi /etc/pam.d/login
..........
account required pam_time.so
......
-修改/etc/security/time.conf
#vi /etc/security/time.conf
格式：服务;终端名;用户名;时间范围
实例：login;*;root;Al0800-1800
(4) 限制用户登录地点
-修改/etc/pam.d/login文件
#vi /etc/pam.d/login
..........
account required pam_access.so
.....
-修改/etc/security/access.conf文件
#vi /etc/security/access.conf
........
格式： 权限:用户:地点
实例： -:root:LOCAL
(5) 限制root用户的登录终端
-修改/etc/pam.d/login文件
#vi /etc/pam.d/login
..........
auth required pam_securetty.so
....
-修改/etc/securetty文件
#vi /etc/securetty
....
终端名
.....
(6) 限制使用su命令
-修改/etc/pam.d/su文件
#vi /etc/pam.d/su
......
auth required /lib/security/$ISA/pam_wheel.so 用户名/group=用户组名
....
4. 用户安全建议
(1) 删除不需要的用户
(2) 设置复杂的用户口令
(3) 尽量少用管理员用户直接登录
(4) 限制管理员远程登录
(5) 离开终端时应该锁定
标签：linux 用户管理
原文地址：http://11073027.blog.51cto.com/11063027/1742398
