Linux学习之用户身份与文件权限

1 用户身份及能力

Linux系统的管理员之所以是root，并不是因为其名叫root，而是该用户身份号码数值（UID）为0.

　　管理员UID为0：系统的管理员用户

　　系统用户UID为1-999：Linux系统为了避免因某个服务程序出现漏洞而被黑客提权至整个服务器，默认服务程序会有独立的系统用户负责运行，进而有效控制被破坏范围。

　　普通用户UID从1000开始：是由管理员创建的用于日常工作的用户。

在Linux系统中创建每个用户时，将自动创建一个同名的基本用户组，且该用户组只有用户一个人。如果该用户以后被归纳入其他用户组，则这个其他用户组称为扩展用户组。一个用户只有一个基本用户组，但可以有多个扩展用户组。

　　1.1 useradd命令

　　用于创建新的用户，格式为“useradd [选项] 用户名”

　　常用参数及作用

　　-d　　指定用户的家目录（默认为/home/username）

　　-e　　账户的到期时间，格式为“2018-10-01”

　　-u　　指定该用户的默认UID

　　-g　　指定一个初始的用户基本组（必须已存在）

　　-G　　指定一个或多个扩展用户组

　　-N　　不创建与用户同名的基本用户组

　　-s　　指定该用户的默认shell解释器

　　 % useradd -d /home/linux -u -s /sbin/nologin linuxprobe #一旦用户的解释器被设置为nologin，则代表该用户不能登录到系统中。

　　1.2 groupadd命令

　　用于创建用户组，格式为“groupadd [选项] 群组名”

Linux中没有直接根据组名查询GID的命令

可用如下方法

% grep eric /etc/group #群组文件放置在/etc/group中

　　1.3 usermod 命令

　　用于修改创建用户组，格式为“usermod [选项] 用户名”

　　常用参数及作用：

　　-c　　填写用户账户的备注信息

　　-d -m 参数-m与-d连用，可重新指定用户的家目录并自动把旧的数据转移过去

　　-e　　账户的到期时间，格式为“2018-10-01”

　　-g　　变更所属用户组

　　-G　　变更扩展用户组

　　-L　　锁定用户禁止其登录系统

　　-U　　解锁用户，允许其登录系统

　　-s　　变更默认终端

　　-u　　修改用户的UID

　　1.4 passwd命令

　　用于修改用户密码、过期时间、认证信息等，格式为“passwd [选项] [用户名]”

普通用户只能使用此命令修改自己的密码，而root则有权限修改其他所有人的密码

　　常用参数及作用：

　　-l　　锁定用户，禁止其登录

　　-u　　解除锁定，允许用户登录

　　--stdin　　允许通过标准输入修改用户密码，如'echo "NewPassWord" | passwd --stdin Username'

　　-d　　使该用户可用空密码登录系统

　　-e　　强制用户在下次登录时修改密码

　　-S　　显示用户的密码是否被锁定，以及密码所采用的加密算法名称

　　1.5 userdel 命令

　　用于删除用户，格式为“userdel [选项] 用户名”

　　常用参数及作用：

　　-f　　强制删除用户

　　-r　　同时删除用户及用户家目录

　　2 文件权限及归属

　　Linux文件类型：

　　-　　普通文件

　　d　　目录文件

　　l　　链接文件

　　b　　块设备文件

　　c　　字符设备文件

　　p　　管道文件

对于目录文件来说，“可读”表示能够读取目录内的文件列表，“可写”表示能够在目录内新增、删除、重命名文件，“可执行”则表示能够进入该目录。

　　r—4 w—2 x—1

　　权限：rwxrw-r-- 764　　#必须对应权限项，无权限位置用-

1 2 3 4 5 6 7 8

1：文件类型

2：文件访问权限

3：文件数

4：文件拥有者

5：文件所属组

6：文件大小

7：文件修改时间

8：文件名

输出第N列信息

例：上文中依据组名查询GID，只输出GID

原输出为： eric:x::

% grep eric /etc/group | awk -F: '{print $3}' #-F参数是用来分割原字符串，后加分割标识符，后面{print $3}必须加大括号

输出为10000

　3 文件的特殊权限

　　3.1 SUID

　　SUID是一种对二进制程序进行设置的特殊权限，可以让二进制程序的执行者临时拥有属主的权限（仅对拥有执行权限的二进制程序有效）。

　　设置SUID：(u+s)

% chmod u+s filename

设置SUID后，执行位x替换为s，若无执行权限，则该位为S

　　3.2 SGID

　　主要实现两种功能：一是让执行者临时拥有属组的权限（对拥有执行权限的二进制程序进行设置）；二是在某个目录中创建的文件自动继承该目录的用户组（只可以对目录进行设置，如部门的共享目录）。SGID的第一种功能是参考SUID设计的，不同点在于执行程序的用户获取的不再是文件所有者的临时权限，而是获取到文件所属组的权限。

　　设置SGID：（g+s）

% chmod -Rf g+s filename # -R 递归处理 -f 不显示错误信息

　　3.3 chmod命令

　　用于设置文件或目录的权限，格式为“chmod [参数] 权限”

　　3.4 chown命令

　　用于设置文件或目录的所有者和所属组，格式为“chown [参数] 所有者:所属组文件或目录名称”

% chown root:bin test

　　3.5 SBIT(粘滞位或保护位)

　　SBIT特殊权限可以确保用户只能删除自己的文件，而不能删除其他用户的文件。换句话说，设置了SBIT，该目录中的文件就只能被其所有者执行删除操作了。设置了SBIT后，执行位x替换为t，若无执行权限则为T。

　　设置SBIT（o+t）

　　 % chmod -R o+t /root

特殊权限更多内容：https://www.jianshu.com/p/b390688a7af8

　　4 文件的隐藏属性

　　4.1 chattr命令

　　用于设置文件的隐藏权限，格式为“chattr [参数] 文件”。添加隐藏功能，需“+参数”，移除隐藏功能，则为“-参数”。

　　常用参数及作用：

　　i　　无法对文件进行修改；若对目录设置了该参数，则仅能修改其中的子文件内容而不能新建或删除文件。

　　a　　仅允许补充（追加）内容，无法覆盖/删除内容（Append Only）

　　S　　文件内容在变更后立即同步到硬盘（sync）感觉类似于flush

　 s　　彻底从硬盘中删除，不可恢复（用0填充原文件所在硬盘区域）

　　A　　不再修改这个文件或目录的最后访问时间（atime）

　　b　　不再修改文件或目录的存取时间

　　D　　检查压缩文件中的错误

　　d　　使用dump命令备份时忽略本文件/目录

　　c　　默认将文件或目录进行压缩

　　u　　当删除文件后依然保留其在硬盘中的数据，方便日后恢复

　　t　　让文件系统支持尾部合并（tail-merging）

　　X　　可以直接访问压缩文件中的内容

　　4.2 lsattr命令

　　用于显示文件的隐藏权限，格式为“lsattr [参数] 文件”，Linux系统中隐藏权限必须用lsattr查看。

　　5 文件访问控制列表（ACL）

　　一般权限、特殊权限、隐藏权限共性：针对某一类用户

　　文件访问控制列表：针对某一个用户

　　若对某个目录设置了ACL，该目录内文件会继承其ACL；若对文件设置了ACL，则文件不再继承其所在目录的ACL。

　　5.1 setfacl命令

　　用于管理文件的ACL规则，格式为“setfacl [参数] 文件名称”。文件的ACL提供的是在所有者、所属组、其他人的rwx权限之外的特殊权限控制，使用setfacl命令可以针对单一用户或用户组、单一文件或目录来进行rwx权限的控制。

　　常用参数及作用：

　　-R　　对目录进行递归设置ACL

　　-m　　对普通文件设置ACL

　　-b　　删除某个文件/目录的ACL　　

　　 % setfacl -Rm u:linuxprobe:rwx /root 　　#u为user的简写，也可写user、g（group）、mask、other

ACL要素：

ACL_USER_OBJ：相当于Linux里file_owner的permission

ACL_USER：定义了额外的用户可以对此文件拥有的permission

ACL_GROUP_OBJ：相当于Linux里group的permission

ACL_GROUP：定义了额外的组可以对此文件拥有的permission

ACL_MASK：定义了ACL_USER, ACL_GROUP_OBJ和ACL_GROUP的最大权限

ACL_OTHER：相当于Linux里other的permission

　　5.2 getfacl命令

　　用于显示文件上设置的ACL信息，格式为“getfacl 文件名称”，可加--omit-header省略掉前三行。

[root@localhost ~]# getfacl ./test.txt

# file: test.txt

# owner: root

# group: admin

user::rw-　　#1

user:john:rw-　　#2

group::rw-　　#3

group:dev:r--　　#4

mask::rw- other::r--　　#5

1：文件拥有者权限，ACL_USER_OBJ

2：用户john权限，ACL_USER

3：文件所属组权限，ACL_GROUP_OBJ

4：用户组dev权限，ACL_GROUP

5：MASK权限（ACL中最大权限，其他用户/用户组权限均不得大于此，否则按此权限执行）

设置ACL后 ls查看文件权限的最后一位由“.”变成了“+”

见到设置了ACL的文件/目录，不能单单依靠ls查看所有者、所属组及其他人的权限，如设置ACL时定义了MASK，则MASK权限替代GROUP权限显示，需使用getfacl命令查看。

　　6 su命令与sudo服务

　　6.1 su命令

　　用于切换用户身份，格式为“su - 用户名”，-表示完全切换到新用户，即把环境变量信息也变更为新用户。

　　6.2 sudo命令

　　用于给普通用户提供额外的权限来完成原本root管理员才能完成的任务（指定提权），格式为“sudo [参数] 命令名称”。

　　主要参数及作用：

　　-h　　列出帮助信息

　　-l　　列出当前用户可执行的命令

　　-u用户名或UID值　　以指定的用户身份执行命令

　　-k　　清空密码的有效时间，下次执行sudo时需要再次进行密码验证

　　-b　　在后台执行指定的命令

　　-p　　更改询问密码的提示语

　　6.3 visudo命令

　　类似于vim，用于配置用户权限，此命令执行时将禁止多个用户同时修改sudoers配置文件，还可以对配置文件内的参数进行语法检查，并在发现参数错误时进行报错。只有root管理员才可以用visudo命令编辑sudo服务的配置文件。

　　填写规则：

　　谁可以使用　允许使用的主机=（以谁的身份）　可执行命令列表（命令必须为绝对路径，用whereis查看）

　　例　在99行加入：linuxprobe　ALL=（ALL）　ALL　　#linuxprobe可执行root权限的所有命令

　　　　在99行加入：linuxprobe ALL=（root）　/usr/bin/cat　　#linuxprobe可查看/root（root管理员家目录）中的文件信息

　　 % sudo cat /etc/shadow

　　linuxprobe ALL=NOPASSWD: /usr/sbin/poweroff　　#“NOPASSWD：”参数使得用户执行sudo命令时不需密码验证，不要忘了：否则报错