linux用户、组和权限——学习笔记
1、linux用户user
2、linux组group
3、用户和组的配置文件
3.1、Passwd文件格式
3.2、shadow 文件格式
3.3、group文件格式
3.4、gshdow文件格式
4、用户和组管理命令
4.1、用户管理命令
4.2、组帐号维护命令
4.3、用户创建：useradd
4.4、小实验
4.5、用户属性修改
4.6、删除用户
4.7、查看用户相关的ID 信息
4.8、切换用户或以其他用户身份执行命令
4.9、设置密码
4.10、修改用户密码策略
4.11、创建组
4.12、修改和删除组
4.12.1、组属性修改：groupmod
4.12.2、组删除：groupdel
4.13、更改组密码
4.14、更改和查看组成员
5、文件权限
5.1、文件属性
5.2、文件权限
5.3、文件权限操作
5.4、八进制数字
5.5、修改文件权限
5.6、权限设置
5.7、新建文件和目录的默认权限
6、练习
7、Linux 文件系统上的特殊权限
7.1、可执行文件上SUID 权限
7.2、可执行文件上SGID
7.3、Sticky 位
7.4、特殊权限数字法
7.5、权限位映射
7.6、设定文件特定属性
8、访问控制列表
9实验
1、linux用户user
Linux 用户：Username/UID
linux用户分类分为三种
管理员：root, 0 普通用户：1-65535 系统用户：1-499 （CentO 6 ）, 1-999 （CentO 7 ） 对守护进程获取资源进行权限分配
登录用户:500 （CENTOS6 ）+, 1000+（CentO 7 ）
交互式登录
备注：系统识别用户是看ID不是看名字的，（离职一个员工，可以账户暂停使用，新员工来了，直接更改账户名）
2、linux组group
Linux系统以组Group方式管理用户，用户和组的对应关系为多对多，即某个用户可加入/属于一个或多个组，某个组可以有0个、1个或多个用户。
组的类别
Linux 组的类别： 用户的主要组( 主组)： 用户必须属于一个且只有一个主组 组名同用户名，且仅包含一个用户：私有组 用户的附加组( 辅助组)：（secondary group） 一个用户可以属于零个或多个辅助组
Linux 组：Groupname/GID
管理员组：root, 0 普通组： 系统组：1-499, 1-999 普通组：500+, 1000+
其他备注：windows里面新建的组或者用户，不能和已存在的用户和组同名
Linux里面用户和组可以同名，ID也可以重复，Linux创建用户时，会默认创建一个同名的组
3、用户和组的配置文件
Linux 用户和组的主要配置文件：
/etc/passwd ：用户及其属性信息( 名称、UID 、主组ID 等） /etc/group ：组及其属性信息 /etc/shadow ：用户密码及其相关属性 /etc/gshadow ：组密码及其相关属性
备注：这几个文件只有root管理员可以访问
3.1、Passwd文件格式
以“：”分开，每个代表的意义
1、login name ：登录用名（root） ） 2、passwd ：密码 (x) 3、UID号 ：用户身份编号 (0) 4、GID ：登录默认所在组编号(0) 5、GECOS ：用户全名或注释 6、home directory录 ：用户主目录 (/root) 7、shell ：用户默认使用shell(/bin/bash)
3.2、shadow 文件格式
备注：“：”分开
1、登录用名 2、用户密码: 一般用sha512 加密 3、从从1970 年1 月1 日起到密码最近一次被更改的时间 4、密码再过几天可以被变更（0 表示随时可被变更） 5、密码再过几天必须被变更（99999 表示永不过期） 6、密码过期前几天系统提醒用户（默认为一周） 7、密码过期几天后帐号会被锁定 8、从1970 年1 月1 日算起，多少天后帐号失效。
3.3、group文件格式
1、群组名称：就是群组名称 2、群组密码：通常不需要设定，密码是被记录在 /etc/gshadow 3、GID的 ：就是群组的 ID 4、以当前组为附加组的用户列表( 分隔符为逗号)
3.4、gshdow文件格式
1、群组名称：就是群组名称 2、群组密码： 3、组管理员列表：组管理员的列表，更改组密码和成员 4、以当前组为附加组的用户列表：( 分隔符为逗号)
4、用户和组管理命令
4.1、用户管理命令
useradd usermod userdel
4.2、组帐号维护命令
groupadd groupmod groupdel
4.3、用户创建：useradd
useradd [options] LOGIN
-u UID : [UID_MIN, UID_MAX] 定义在/etc/login.defs -o 配合-u 选项，不检查UID 的唯一性 -g GID ：指明用户所属基本组，可为组名，也可以GID -c "COMMENT" ：用户的注释信息 -d HOME_DIR: 以指定的路径( 不存在) 为家目录 -s SHELL : 指明用户的默认shell 程序 可用列表在/etc/shells 文件中 -G GROUP1[,GROUP2,...] ：为用户指明附加组，组必须事先存在 -N 不创建私用组做主组，使用users 组做主组 -r: 创建系统用户 CentOS 6:ID<500 ，CentOS 7: ID<1000
默认值设定：/etc/default/useradd 文件中
显示或更改默认设置：
useradd -D useradd –D -s SHELL
新建用户的相关文件和命令
/etc/default/useradd /etc/skel/* /etc/login.defs newusers passwd 格式文件 批量创建用户 chpasswd 批量修改用户口令
4.4、小实验：
批量创建用户，密码，家目录
[root@localhost etc]# vi user.txt [root@localhost etc]# newusers user.txt [root@localhost etc]# cat /etc/passwd [root@localhost etc]# vi p.txt [root@localhost etc]# cat p.txt | chpasswd [root@localhost etc]# cd /etc/
4.5、用户属性修改
usermod [OPTION] login
-u UID: 新UID -g GID: 新基本组 -GGROUP1[,GROUP2,...[,GROUPN]]] ：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a 选项，表示append；； -s SHELL ：新的默认SHELL； ； -c ‘COMMENT‘ ：新的注释信息； -d HOME: 新家目录不会自动创建，原家目录中的文件不会同时移动至新的家目录；若要创建新家目录并移动原家数据，同时使用-m 选项 -l login_name: 新的名字； -L: lock 指定用户, 在/etc/shadow 密码栏的增加 ! -U: unlock 指定用户,将 将 /etc/shadow 的 密码栏的 ! 拿掉 -e YYYY-MM-DD: 指明用户账号过期日期； -f INACTIVE: 设定非活动期限；
4.6、删除用户
userdel [OPTION]... login -r: 删除用户家目录；
4.7、查看用户相关的ID 信息
id [OPTION]... [USER] -u: UID -g: GID -G: Groups -n: Name
4.8、切换用户或以其他用户身份执行命令
su [options...] [-] [user[args...]]
切换用户的方式：
su UserName ：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录 su - UserName ：登录式切换，会读取目标用户的配置文件，切换至家目录，完全切换
root su 至其他用户无须密码；非root用户切换时需要密码
换个身份执行命令：
su [-] UserName -c ‘COMMAND‘ #su root –c cat/etc/passwd
选项：-l --login：：
su -l UserName 于 相当于 su – UserName
4.9、设置密码
passwd [OPTIONS] UserName: 修改指定用户的密码，仅root 用户权限
passwd: 修改自己的密码；
常用选项：
-l: 锁定指定用户 -u: 解锁指定用户 -e: 强制用户下次登录修改密码 -n mindays: 指定最短使用期限 -x maxdays ：最大使用期限 -w warndays ：提前多少天开始警告 -i inactivedays ：非活动期限； --stdin ：从标准输入接收用户密码； echo " PASSWORD " |passwd --stdin USERNAME
4.10、修改用户密码策略
chage [OPTION]... LOGIN
-d LAST_DAY -E, --expiredate EXPIRE_DATE -I, --inactive INACTIVE -m, --mindays MIN_DAYS -M, --maxdays MAX_DAYS -W, --warndays WARN_DAYS -l ，显示密码策略
下一次登录强制重设密码
chage -d 0 tom chage -m 0 –M 42 –W 14 –I 7 tom chage -E 2016-09-10 tom
4.11、创建组
groupadd [OPTION]... group_name
-g GID: 指明GID 号；[GID_MIN,GID_MAX] -r: 创建系统组； CentOS 6: ID<500 CentOS 7: ID<1000
4.12、修改和删除组
4.12.1、组属性修改：groupmod
groupmod [OPTION]... group -n group_name: 新名字 -g GID: 新的GID；
4.12.2、组删除：groupdel
groupdel GROUP
4.13、更改组密码
组密码：gpasswd
gpasswd [OPTION] GROUP
-a user: 将user 添加至指定组中； -d user: 从指定组中移除用户user -A user1,user2,...: 设置有管理权限的用户列表
newgrp 命令：临时切换基本组；
如果用户本不属于此组，则需要组密码
4.14、更改和查看组成员
groupmems [options] [action]
options： ：
-g, --group groupname 组 更改为指定组 ( 只有root)
Actions:
-a, --add username 指定用户加入组 -d, --delete username 从组中删除用户 -p, --purge 从组中清除所有成员 -l, --list 显示组成员列表
groups [OPTION].[USERNAME]... 查看用户所属组列表
5、文件权限
5.1、文件属性
文件属性操作
chown 设置文件的所有者 chgrp 设置文件的属组信息
修改文件的属主和属组
修改文件的属主：chown
chown [OPTION]...[OWNER][:[GROUP]] FILE...
用法：
OWNER OWNER:GROUP :GROUP 命令中的冒号可用. 替换； -R: 递归 chown [OPTION]...--reference=RFILE FILE...
修改文件的属组：chgrp
chgrp [OPTION]... GROUP FILE... chgrp [OPTION]...--reference=RFILE FILE... -R 递归
5.2、文件权限
文件的权限主要针对三类对象进行定义：
owner: 属主, u group: 属组, g other: 其他, o
每个文件针对每类访问者都定义了三种权限：
r: Readable w: Writable x: eXcutable
文件：
r: 可使用文件查看类工具获取其内容 w: 可修改其内容 x: 可以把此文件提请内核启动为一个进程
目录：
r: 可以使用ls 查看此目录中文件列表 w: 可在此目录中创建文件，也可删除此目录中的文件 x: 可以使用ls -l 查看此目录中文件列表，可以cd进入此目录 X:只 只 给目录x 权限，不给文件x
5.3、文件权限操作
文件权限（文件权限（rwx|X））
文件权限操作命令
chmod
5.4、八进制数字
--- 000 0 --x 001 1 -w- 010 2 -wx 011 3 r-- 100 4 r-x 101 5 rw- 110 6 rwx 111 7
例如：
640: rw-r----- rwxr-xr-x: 755
5.5、修改文件权限
chmod [OPTION]... OCTAL-MODEFILE...
-R: 递归修改权限
chmod [OPTION]...MODE[,MODE]... FILE...
MODE： ：
修改一类用户的所有权限：
u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限
u+ u- g+ g- o+ o- a+ a- + -
chmod [OPTION]...--reference=RFILE FILE...
参考RFILE 文件的权限，将FILE 的修改为同RFILE；；
5.6、权限设置
chgrp sales testfile chown root:admins testfile chmod u+wx,g-r,o=rx file chmod -R g+rwX /testdir chmod 600 file chown mage testfile
5.7、新建文件和目录的默认权限
umask值 值 可以用来保留在创建文件权限
新建FILE 权限: 666-umask
如果所得结果某位存在执行（奇数）权限，则将其权限+1
新建DIR 权限: 777-umask
非特权用户umask是是 002
root 的umask 是 是 022
umask: 查看 umask #: 设定 umask 002 umask –S 模式方式显示 umask –p 输出可被调用
全局设置： /etc/bashrc 用户设置：~/.bashr
6、练习
当用户xiaoming 对/testdir 目录无执行权限时，意味着无法做哪些操作？
当用户xiaoqiang 对/testdir 目录无读权限时，意味着无法做哪些操作？
当用户wangcai 对/testdir 目录无写权限时，该目录下的只读文件file1是否可修改和删除？
复制/etc/fstab 文件到/var/tmp 下，设置文件所有者为wangcai 读写权限，所属组为sysadmins 组有读写权限，其他人无权限
误删除了用户wangcai 的家目录，请重建并恢复该用户家目录及相应的权限属性
7、Linux 文件系统上的特殊权限
SUID, SGID, Sticky
三种常用权限：r, w, x user, group, other
7.1、可执行文件上SUID 权限
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
启动为进程之后，其进程的属主为原程序文件的属主
SUID 只对二进制可执行程序有效
SUID 设置在目录上无意义
权限设定：
chmod u+s FILE... chmod u-s FILE...
7.2、可执行文件上SGID
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
启动为进程之后，其进程的属主为原程序文件的属组
默认情况下，用户创建文件时，其属组为此用户所属的主组一旦某目录被设定了SGID ，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组通常用于创建一个协作目录
权限设定：
chmod g+s FILE... chmod g-s FILE...
7.3、Sticky 位
具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权
在目录设置Sticky 位，只有文件的所有者或root可以删除该文件
sticky 设置在文件上无意义
权限设定：
chmod o+t DIR... chmod o-t DIR...
例如：
ls -ld /tmp drwxrwxrwt 12 root root 4096Nov 2 15:44 /tmp
7.4、特殊权限数字法
SUID SGID STICKY
000 0 001 1 010 2 011 3 100 4 101 5 110 6 111 7 chmod 4777 /tmp/a.txt
7.5、权限位映射
SUID: user, 占据属主的执行权限位
s: 属主拥有x 权限 S ：属主没有x 权限
SGID: group, 占据属组的执行权限位
s: group 拥有x 权限 S ：group 没有x 权限
Sticky: other, 占据other 的执行权限位
t: other 拥有x 权限 T ：other 没有x
7.6、设定文件特定属性
chattr +i 不能删除，改名，更改 chattr +a 只能增加 lsattr 显示特定属性
8、访问控制列表
ACL ：AccessControl List ，实现灵活的权限管理
除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7.0 默认创建的xfs 和ext4 文件系统有ACL 功能。
CentOS7.X 之前版本，默认手工创建的ext4文件系统无ACL功能。需手动增加:
tune2fs –o acl /dev/sdb1 mount –o acl /dev/sdb1 /mnt
ACL 生效 顺序：所有者，自定义用户，自定义组，其他人
为多用户或者组的文件和目录赋予访问权限rwx
mount -o acl /directory getfacl file |directory setfacl -m u:wang:rwx file|directory setfacl -Rm g:sales:rwX directory setfacl -M file.acl file|directory setfacl -m g:salesgroup:rw file| directory setfacl -m d:u:wang:rx directory setfacl -x u:wang file |directory setfacl -X file.acl directory
ACL 文件上的group 权限是mask 值（自定义用户，自定义组，拥有组的最大权限）, 而非传统的组权限
getfacl 可看到特殊权限：flags
默认ACL 权限给了x ，文件也不会继承x 权限。
base ACL 不能删除 setfacl -k dir 删除默认ACL 权限 setfacl -b file1 清除所有ACL 权限 getfacl file1 | setfacl--set-file=- file2 复制file1的acl 权限给file2 mask 只影响除所有者和other的之外的人和组的最大权限 Mask 需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)用户或组的设置必须存在于mask 权限设定范围内才会 生效。 setfacl -m mask::rx file --set 选项会把原有的ACL 项都删除，用新的替代，需要注意的是一定要包含UGO 的设置，不能象-m 一样只是添加ACL 就可以.
如：
setfacl --setu::rw,u:wang:rw,g::r,o::- file1
备份和恢复ACL
主要的文件操作命令cp 和mv 都支持ACL ，只是cp 命令需要加上-p 参数。但是tar 等常见的备份工具是不会保留目录和文件的ACL 信息
#getfacl -R /tmp/dir1 >acl.txt #setfacl -R -b /tmp/dir1 #setfacl -R --set-file=acl.txt/tmp/dir1 #getfacl -R /tmp/dir1
9实验：
问题：
在/data/testdir 里创建的新文件自动属于g1 组，组g2 的成员如：alice 能对这些新文件有读写权限，组g3 的成员如：tom 只能对新文件有读权限，其它用户（不属于g1,g2,g3）不能访问这个文件夹。
本文出自 “家住海边喜欢浪” 博客，请务必保留此出处http://zhang789.blog.51cto.com/11045979/1833600
原文地址：http://zhang789.blog.51cto.com/11045979/1833600
