Linux用户深度管理

阅读量：5343 次

发布时间：2019-06-15

本文共 7990 字，大约阅读时间需要 26 分钟。

linux系统是多任务、多用户的系统。

用户、用户组的概念

每个文件和进程，都需要对应一个用户和用户组。

linux系统是通过UID和GID来是识别用户和组的。

其中用户名等同于人名（人类识别），UID和GID等同于身份证号（系统识别）。

linux管理员：root

用户和组的关系

一对一，一对多，多对一，多对多

用户分类

超级用户：UID=0 root

普通用户：UID>=500 由超级用户或者具有超级用户权限的用户创建的用户

虚拟用户：UID={1,499}存在满足文件或者服务启动的需要，一般不能登录。

每个文件和进程，都需要对应一个用户和用户组。

和用户关联的四个文件：

/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow.

用户管理的命令：

useeradd 添加用户

userdel 删除用户

passwd 设置或修改密码更改/etc/shadow

chage 修改用户密码属性管理/etc/shadow

usermod 修改用户信息

id 查看用户信息

su 用户角色切换工具

sudo 普通用户不需要root密码就可以执行只有root才能执行相应的命令或具备的目录权限

visudo 配置sudo权限的编辑命令，可以直接vi来编辑/etc/sudoers实现。推荐使用，可以自动检查语法。

groupadd 添加组

groupdel 删除组

groups 查看组信息

whoami 查看当前用户

/etc/skel 目录

/etc/skel 目录是用来存放新用户环境变量的目录，当我们添加新用户时，这个目录下的所有文件会自动被复制到新添加的用户家目录下（cp -a /etc/skel/* /home/新用户名/），默认情况下，/etc/skel 目录下的所有文件都是隐藏文件，通过修改添加、删除/etc/skel 目录下的文件，我们可为新用户提供统一的、标准的、初始化用户环境。

/etc/skel 的企业场景作用：

1、可以把通知内容放到skel，让登录人员看

2、统一初始化新用户的环境变量

3、面试题：出现“-bash-4.1$”问题原因及解决方法

原因：家目录环境变量文件丢失。

解决方法：

su - a（a为前面出现问题的用户）

-bash-4.1$ cp /etc/skel/.bash* .

-bash-4.1$ logout

su -

su - a（a为前面出现问题的用户）

/etc/login.defs配置文件

/etc/login.defs文件是用来定义创建用户时需要的一些用户的配置信息。例如创建用户时，是否需要家目录，UID和GID的范围，用户及密码的有效期限等等。

/etc/default/useradd文件

/etc/default/useradd文件是在使用useradd添加用户时的一个需要调用的默认配置文件，可以使用 user -D 参数这样的命令格式来修改文件里面的内容。可以通过vi 命令直接编辑。

用户密码管理

1、密码要复杂8位以上（字母数字特殊字符）

2、大的企业用户和密码统一管理（相当于活动目录，openldap）

3、动态密码：动态口令，第三方提供，或自己开发

用户删除管理

一般不能确认用户相关目录有没有重要数据，就不能用-r。

1、vi /etc/passwd然后注释掉用户，观察一个月，这样出问题可以还原，相当于操作前备份。

2、把登录shell改成/sbin/nologin。

3、openldap（类似活动目录）账号统一管理的，ldap库里干掉用户，所有服务器全部都没了。

提示：修改删除必须小心谨慎！

useradd参数

-c comenment 新账号passwd的说明栏

-d home_dir 新账号每次登入是所使用的home_dir。预设值为default_home内login名称，并当成登入时目录名称。

-e expire_date 账号终止日期。日期格式为MM/DD/YY。重点

-f inactive_days账号过期几日后永久停止权限。当值为0时账号则被立即停用。当值为-1时则关闭此功能。

-g initial_group group名称或以数字来做为用户登入起始用户组。用户组名须为系统现有存在的名称。用户组数字也须为系统现有存在的名称。用户组数字也须为系统现有存在的用户组。预设数字为1.

-G group,[...] 定义此用户为不同groups的成员。每个用户组使用“，”分隔。用户组名同-g选项的限制。默认值为用户的起始用户组。重点

-m 用户目录如不存在则自动建立。如使用-k选项，skeleton——dir内的档案将复制至用户目录下，然而在/etc/skel目录下的档案也会复制过去取代。任何在skeleton_dir /etc/skel的目录也相同会在用户目录下意义建立。The-k 同-m不建立目录以及不复制任何档案为预设值。

-M 不建立用户家目录，优先于/etc/login.defs文件的设定。一般创建虚拟用户时不建立家目录，部署服务时需要创建虚拟用户。重点

-n 默认情况用户的用户组与用户的名称会相同。如果命令加了-n参数，就不会生成和用户同名的用户组了。

-r 此参数是用来建立系统账号。系统账号的UID会比定义在系统档上/etc/login.defs.的UID_MIN来的小。注意useradd此用法所建立的账号不会建立用户家目录，也不会在乎记录在/etc/login,defs.的定义值。如果你想要拥有用户家目录须额外指定-m参数来建立系统账号。这是Red HAT额外增设的选项。

-s shell 用户登入后使用的shell名称。默认值为不填写，这样系统会帮你指定预设的登入shell。

-u uid 用户的ID值。这个值必须是唯一的，除非用-o选项。数字不可为负值。

passwd 参数

-f , --force force operation #强制操作；仅root权限才能操作

-x,--maximum=DAYS #两次密码修改的最大天数，后面接数字；仅root权限操作

-n,--minimum=DAYS #两次密码修改的最小天数，后面接数字；仅root权限操作

-w,--warning=DAYS #在距多少天体系用户修改密码；仅root权限才能操作

-i,--inactive=DAYS #在密码过期后多少天，用户被禁掉；仅root权限才能操作

chage参数

-d,--lastday 最近日期 #将最近一次密码设置时间设为“最近日期”。

-E,--expiredate 过期日期 #将账户过期时间设为“过期日期”，日期写法：MM/DD/YY。

-h,--help #显示此帮助信息并退出

-i,-inactive 失效密码 #在密码过期后多少天，用户被禁掉；仅root权限才能操作

-l,--list #显示账户年龄信息

-m,-mindays 最小天数 #将两次改变密码之间相距的最小天数设为“最小天数”

-M,--maxdays 最大天数 #将两次改变密码之间相距的最大天数设为“最大天数”

-W，warndays 警告天数 #将过期警告天数设为“警告天数”

usermod参数

-c comment #增加用户账号/etc/passwd中的注释说明栏（第五栏）。-c参数功能也可使用功能chfn

命令来修改，当然也可以手工修改/etc/passwd文件来实现。

-d home_dir #更新用户新的家目录，如果给定-m选项，用户旧的家目录会搬到新的家目录去，

如旧的家目录不存在则创建新的。

-e expire_date #加上用户账户停止日期。日期格式：MM/DD/YY。

-f inactive_days #账号过期几日后永久停权。当值为0时账号则立即被停权。当值为-1时则关闭此功能，预设值为-1.

-g initial_group #更新用户新的起始登入用户组。用户组名须已存在。用户组ID必须参照既有的用户组。用户组ID预设值为1.

-G group ,[...] #定义用户为一堆groups的成员。每个用户使用“，”隔开。用户在名同-g选项的限制。

-l login_name 变更用户login时名称为login_name，其余信息不变。

-s shell 指定新用户登入shell。如此栏留白，系统将选用系统预设shell。这个-s参数功能也可以使用chsh命令来修改。当然也可以手工修改/etc/passwd文件来实现。

-u uid 指定用户的ID值。这个值必须是唯一的，除非用-o选项。数字不可为负值。

-L 冻结用户的密码，使之无法登录，实际就是间接修改/etc/shadow的密码栏。在密码栏的开头加上“！”号，即表示冻结。这个功能和usermod -e , chage -E或passwd -l等命令有类似功效，就是让用户无法正常登录。

-U 取消冻结用户的密码，使之恢复登录，实际同样是修改/etc/shadow的密码栏，在密码栏的开头取消“！”号，即表示恢复。

用户查询相关命令

id, finger, users, w, who, last, lastlog, groups

用户及日志查询：w who

查看用户登录信息：当前last 历史lastlog

查看用户所属：全部id 组groups主属和附加组users

su 切换用户

-，-l，-login make the shell a login shell 是一个shell成为登录的shell，如执行su - oldboy时，表示该用户想改变身份为oldboy，并且使用oldboy用户的环境配置，如：/home/oldboy/.bash_profile等。

-c，--command=COMMAND pass a single COMMAND to the with -c

切换到一个shell下，执行一个命令，然后退出所切换的用户环境。

-m, --preserve-environment do not reset environment variables,same as -p

切换用户时，不重置用户环境变量，-p的功能同-m，这个参数为su的默认值，一般较少使用

不加“-”的话，家目录仍是root。

su - oldboy -c pwd 切到oldboy下执行pwd命令切到用户下执行命令，但当前用户不变

由su和su -的区别谈学习linux运维方法

env|grep -i 用户名查看用户环境变量

sudo尚方宝剑

su切换用户方便，但有一些致命的缺点：

1）普通用户必须知道root密码才可以切换到root，这样root密码就泄露了。相当于把“刀把”交给了别人。

2）使用su命令切换身份，无法对切换后的身份做精细的控制，拿到别人超级权限的人可以为所欲为。甚至可以更改root密码，让真正的管理员无法拥有root权限。

为了既不泄露密码，又让普通用户拥有一定的超级权限，推出sudo命令。

通过sudo命令，我们可以把某些超级用户权限分类，有针对性授权给指定的普通用户，并且普通用户不需要知道root密码就可以得到root权限。

sudo的配置文件：/etc/sudoers

sudo命令执行的大概流程：

a）当用sudo执行命令时，系统首先会查找/var/run/sudo/%HOME（新用户会先生成此目录）目录中是否有用户时间戳文件，如果时间戳文件过期，则提示用户输入自身密码（注意：这里需要输入当前执行命令用户的密码，不是root后其他要切换的用户的密码）。

b）当密码验证成功后，系统查找/etc/sudoers配置文件，判断用户是否有执行相应sudo命令权限。

c）如果具备执行相应sudo权限，就会自动由当前用户切到root（或其他指定切换到的用户），然后以root（或其他指定的切换到的用户）身份角色执行该命令。

d）执行完成后，又会自动的直接退回到当前用户shell下（以root等身份执行任务）。

更改授权/etc/sudoers文件

1）执行visudo命令自动编辑/etc/sudoers文件（推荐）

visudo 在98行，为普通用户提权

sudo命令配置时环境配置一定是全路径。

2）直接修改/etc/sudoers文件方法（不推荐）

echo "oldboy ALL=(ALL) ALL" >> /etc/sudoers

visudo -c #检查语法

sudo参数

-l 列出用户在主机上可用和被禁止的命令；配置好sudo授权规则后，可用此参数查看授权情况

-v 验证用户时间戳；可跟踪最新时间戳

-u 指定以某个用户身份执行特定命令

-k 删除时间戳，下一个sudo命令要求提供密码

对用户组进行授权：

echo "%oldboy ALL=(ALL) ALL" >> /etc/sudoers #配置oldboy组的授权，也可以通过visudo来更改。

tail -l /etc/sudoers #查看授权配置

visudo -c #检查语法

ls -l /etc/sudoers #检查/etc/sudoers权限

usermod -g oldboy ett #更改ett属于oldboy组

id ett #查看更改结果

别名类型（Alias_Type）：

1）Host_Alias 定义主机别名

1.在生产场景中，一般不需要设置主机别名，在定义授权规则时可以通过ALL来匹配所有主机。

2.注意定义规范（Host_Alias FILESERVERS = fs1, fs2 #等号两边有空格逗号后面有空格），虽然不是必须的，但我们还是要求能够按照系统的标准来配置，这样可以避免意外的问题发生。

3.以上Host_Aliases内容截取自/etc/sudoers文件，并取消了注释。

4.其实就是逻辑上的主机组，当多台服务器共享一个/etc/sudoers时候会用到主机别名。

5.%oldboy ALL=(ALL) ALL #第一个ALL就是主机别名的应用位置。

6.%oldboy FILESERVERS=(ALL) ALL #相当于里面有两台机器

2）User_Alias定义用户别名

1.设置用户别名也不是必须的，可以通过%groupname的方式来作为成员。

2.#User_Alias ADMINS = jsmith, mikem, %groupname

给ADMINS授权相当于同时授权给jsmith, mikem, %groupname

oldboy ALL=(ALL) ALL #oldboy就是主机别名的应用位置。

3）Runas_Alias 定义runas身份别名

1.这个别名指定的是“用户身份”，即sudo允许切换到的用户身份。

2.Runas_Alias定义的是用户可以执行sudo切换身份到Runas_Alias下包含的成员身份。

3.实际语法 Runas_Alias OP = root

4.oldboy ALL=(ALL) ALL #小括号中的第二个ALL的位置就是Runas_Alias别名的应用位置。

4）Cmnd_Alias定义命令别名

1.命令别名就是设置可以执行哪些命令。

2.oldboy ALL=(ALL) ALL #第三个ALL的位置就是命令别名的位置。

3.所有的命令别名下的成员必须是文件或目录的绝对路径。

4.命令别名超过一行，可用“\”换行。

5.在定义时，可以使用正则表达式，如/usr/bin/passwd [A-Za-z]*。

sudo授权，别名和具体授权配置的关系

用户和组	主机	可以切换的用户角色	命令
root	ALL=	（ALL）	ALL
User_Alias ADMINS = jsmith, mikem, %groupname	Host_Alias FILESERVERS = fs1, fs2	Runas_Alias OP = root	Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig