用户和组

用户user

vLinux用户：Username/UID
管理员：root, 0
普通用户：1-60000 自动分配
系统用户：1-499, 1-999 （CentOS7） 对守护进程获取资源进行权限分配
登录用户：500+, 1000+（CentOS7） 交互式登录

组group

Linux组：Groupname/GID
管理员组：root, 0

普通组：

系统组：1-499, 1-999（CENTOS7)
普通组：500+, 1000+（CENTOS7）

组的类别

Linux组的类别

用户的主要组(primary group)

用户必须属于一个且只有一个主组
组名同用户名，且仅包含一个用户，私有组

用户的附加组(supplementary group)
一个用户可以属于零个或多个辅助组

用户和组的配置文件

Linux用户和组的主要配置文件：

/etc/passwd：用户及其属性信息(名称、UID、主组ID等）
/etc/group：组及其属性信息
/etc/shadow：用户密码及其相关属性
/etc/gshadow：组密码及其相关属性
#

密码passwd文件格式

login name：登录用名（wang） passwd：密码 (x)
UID：用户身份编号 (1000)
GID：登录默认所在组编号 (1000)
GECOS：用户全名或注释
home directory：用户主目录 (/home/wang)
shell：用户默认使用shell (/bin/bash)

shadow文件格式

登录用名

用户密码:一般用sha512加密
从1970年1月1日起到密码最近一次被更改的时间
密码再过几天可以被变更（0表示随时可被变更）
密码再过几天必须被变更（99999表示永不过期）
密码过期前几天系统提醒用户（默认为一周）
密码过期几天后帐号会被锁定
从1970年1月1日算起，多少天后帐号失效

group文件格式

群组名称：就是群组名称
群组密码：通常不需要设定，密码是被记录在 /etc/gshadow
GID：就是群组的 ID
以当前组为附加组的用户列表(分隔符为逗号)

用户和组管理命令

用户管理命令
useradd
usermod
userdel
组帐号维护命令
groupadd
groupmod
groupdel

用户创建：useradd

useradd
-u UID
-o 配合-u 选项，不检查UID的唯一性
-g GID 指明用户所属基本组，可为组名，也可以GID
-c "COMMENT“ 用户的注释信息
-d HOME_DIR 以指定的路径(不存在)为家目录
-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中
-G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在
-N 不创建私用组做主组，使用users组做主组
-r 创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000
-m 创建家目录，用于系统用户
-M 不创建家目录，用于非系统用户

新建用户的相关文件和命令

/etc/default/useradd
/etc/skel/*
/etc/login.defs
newusers passwd格式文件 批量创建用户
chpasswd 批量修改用户口令

用户属性修改

usermod [OPTION] login
-u UID: 新UID
-g GID: 新主组
-G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被 覆盖；若保留原有，则要同时使用-a选项
-s SHELL：新的默认SHELL
-c 'COMMENT'：新的注释信息
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据， 同时使用-m选项
-l login_name: 新的名字
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限

删除用户

userdel [OPTION]... login
-r: 删除用户家目录

查看用户相关的ID信息

id [OPTION]... [USER]

-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID
-n: 显示名称，需配合ugG使用

切换用户或以其他用户身份执行命令

su [options...] [-] [user [args...]]
切换用户的方式：
su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变 当前工作目录
su - UserName：登录式切换，会读取目标用户的配置文件，切换至家目 录，完全切换

root su至其他用户无须密码；非root用户切换时需要密码
换个身份执行命令：

su [-] UserName -c 'COMMAND'

选项：-l --login

su -l UserName 相当于 su - UserName

设置密码

passwd [OPTIONS] UserName: 修改指定用户的密码
常用选项：
-d：删除指定用户密码
-l：锁定指定用户
-u：解锁指定用户
-e：强制用户下次登录修改密码
-f：强制操作
-n mindays：指定最短使用期限
-x maxdays：最大使用期限
-w warndays：提前多少天开始警告
-i inactivedays：非活动期限
--stdin：从标准输入接收用户密码
示例：echo "PASSWORD" | passwd --stdin USERNAME

修改用户密码策略

chage [OPTION]... LOGIN
-d LAST_DAY
-E --expiredate EXPIRE_DATE
-I --inactive INACTIVE
-m --mindays MIN_DAYS
-M --maxdays MAX_DAYS
-W --warndays WARN_DAYS
-l 显示密码策略

示例：

chage -d 0 tom 下一次登录强制重设密码
chage -m 0 –M 42 –W 14 –I 7 tom
chage -E 2016-09-10 tom

创建组

groupadd [OPTION]... group_name
-g GID 指明GID号；[GID_MIN, GID_MAX]
-r 创建系统组
CentOS 6: ID<500
CentOS 7: ID<1000

修改和删除组

组属性修改：groupmod
groupmod [OPTION]... group
-n group_name: 新名字
-g GID: 新的GID

组删除：groupdel
groupdel GROUP

更改组密码

组密码：gpasswd
gpasswd [OPTION] GROUP

-a user 将user添加至指定组中
-d user 从指定组中移除用户user
-A user1,user2,... 设置有管理权限的用户列表

newgrp命令：临时切换主组

如果用户本不属于此组，则需要组密码

更改和查看组成员

groupmems [options] [action]
options:
-g, --group groupname 更改为指定组 (只有root) actions:
-a, --add username 指定用户加入组
-d, --delete username 从组中删除用户
-p, --purge 从组中清除所有成员
-l, --list 显示组成员列表

groups [OPTION].[USERNAME]... 查看用户所属组列表

文件权限

文件的权限主要针对三类对象进行定义

owner 属主, u
group 属组, g
other 其他, o

每个文件针对每类访问者都定义了三种权限

r Readable
w Writable
x eXcutable

文件：

r 可使用文件查看类工具获取其内容
w 可修改其内容
x 可以把此文件提请内核启动为一个进程

目录：

r 可以使用ls查看此目录中文件列表
w 可在此目录中创建文件，也可删除此目录中的文件
x 可以使用ls -l查看此目录中文件元数据（须配合r），可以cd进入此目录
X 只给目录x权限，不给文件x权限

修改文件权限

chmod [OPTION]... OCTAL-MODE FILE...
-R: 递归修改权限
chmod [OPTION]... MODE[,MODE]... FILE...
MODE：
修改一类用户的所有权限
u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限
u+ u- g+ g- o+ o- a+ a- + -
chmod [OPTION]... --reference=RFILE FILE...
参考RFILE文件的权限，将FILE的修改为同RFILE

新建文件和目录的默认权限

umask值 可以用来保留在创建文件权限

新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权 限，则将其权限+1
新建目录的默认权限: 777-umask

非特权用户umask是 002
root的umask 是 022
umask: 查看
umask # 设定

示例：umask 002
umask u=rw,g=r,o=

umask –S 模式方式显示
umask –p 输出可被调用
全局设置： /etc/bashrc 用户设置：~/.bashrc

特殊权限数字法

SUID SGID STICKY

000 0
001 1
010 2
011 3
100 4
101 5
110 6
111 7

chmod 4777 /tmp/a.txt

设定文件特定属性

chattr +i 不能删除，改名，更改
chattr +a 只能追加内容
lsattr 显示特定属性

访问控制列表

• ACL：Access Control List，实现灵活的权限管理
• 除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
• CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
• CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加
  tune2fs –o acl /dev/sdb1
  mount –o acl /dev/sdb1 /mnt/test
• ACL生效顺序：所有者，自定义用户，自定义组，其他人
• 为多用户或者组的文件和目录赋予访问权限rwx
  mount -o acl /directory
  getfacl file |directory
  setfacl -m u:wang:rwx file|directory
  setfacl -m g:admins:rw file| directory
  setfacl -x u:wang file |directory
  setfacl -b file1 清除所有ACL权限
  getfacl file1 | setfacl --set-file=- file2 复制file1的acl权限给file2
• mask只影响除所有者和other的之外的人和组的最大权限
  mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)
  用户或组的设置必须存在于mask权限设定范围内才会生效
  setfacl -m mask::rx file
• --set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含 UGO的设置，不能象-m一样只是添加ACL就可以
• 示例：
  setfacl --set u::rw,u:wang:rw,g::r,o::- file1
• 备份和恢复ACL
• 主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。但是 tar等常见的备份工具是不会保留目录和文件的ACL信息
  getfacl -R /tmp/dir1 > acl.txt
  setfacl -R -b /tmp/dir1
  setfacl -R --set-file=acl.txt /tmp/dir1
  setfacl --restore acl.txt
  getfacl -R /tmp/dir1