Linux ACL權限設定

Linux ACL權限設定 當用戶輸入用戶名和密碼時，系統幫你處理了： 1，先找到/etc/passwd裡面是否有你輸入的帳號，沒有的話則跳出，有的話就將該帳號對應的UID，GID 讀出來，另外還有該帳號的家目錄與shell設定也一並讀出； 2，核對密碼表，這時Linux會進入/etc/shadow裡面找出對應的帳號與UID，然後核對一下你剛剛輸入的密碼 與裡面的密碼是否相符 3，如果一切OK的話，就進入Shell控管的階段 /etc/passwd的檔案結構 1 帳號名稱 用來對應UID的 2 密碼 會看到一個X 密碼數據改放到/etc/shadow 3 UID 0表示root 1~ 499表示系統帳號 1~99 由distributions自行建立的系統帳號，100~499用戶有系統帳號需求時，可以使用的帳號UID 4 GID 這個/etc/group的觀念和/etc/passwd差不多，用來規范組名與GID對應而已 5用戶信息欄說明，只是用來解釋這個帳號的意義而已，不過，如果你提供使用finger的功能時，這個字段可以提供很多的訊息，chfn指令用於解釋 6 家目錄 root就是/root 7 Shell 當用戶登錄系統後會取得一個Shell來與系統的核心溝通，以進行用戶的操作任務，一般取值為/sbin/bash， 如果用來替代成讓帳號無法取得 shell環境的登錄動作，那就是/sbin/nologin這個東西 /etc/shadow的檔案結構 1 帳號名稱 用來必須要與/etc/passwd 相同才行 2 密碼 經過編碼的密碼(加密)啦！這個檔案只有root才可以讀寫就是了，不要不小心更動這個檔案的權限，由於固定的編碼系統產生的密碼長度 必須一致，因此在此字段上加上!或*改變了密碼字段的長度，就會讓密碼【暫時失效】了 3最近更動密碼癿日期: 這個字段的值是以1970年1月1日而累加的日期，14126表示的就是2008-09-04那一天，想要了解該日期，可以使用chage 這個指令的幫忙 4 密碼不可被改動的天數: 這個帳號最近一次被更改後需要多少時間才能再次被變更，如果是0的話，表示密碼隨時可以更動的意思 5 密碼需要重新變更的天數：強制性的規定該密碼在多少時間後需要重新的設定一下密碼 6 密碼需要變更期限前的警告天數：表示提示用戶這個密碼就要到期了，請盡快重新設定你的密碼 7 密碼過期後的帳號寬限時間，過了期限後依舊沒有更新密碼，那麼密碼就算過期了，雖然密碼過期了，但是該帳號還是可以用來進行其他工作的 包括登錄系統取得bash，不過如果密碼過期了，登錄系統時，系統會強制你必須要重新設定密碼才能登錄繼續使用，如果密碼過期幾天後，還是沒有 登錄更改密碼，那麼這個帳號密碼就會【失效】，這個帳號再也無法使用該密碼登錄了，密碼過期和密碼失效並不相同 8 帳號失效日期： 表示此帳號在此日期之後，就無法再使用了，無論密碼是否過期 9 保留字段，看以後是否有新功能加入 /etc/group的檔案結構 1 組名 2 群組密碼 密碼已經移動到/etc/gshadow 中去了，這個字段只會存在一個【x】而已 3 GID群組ID， 4 此群組支持的帳號名稱： 如果想讓dmtsai加入root群組的話，那麼在這行的最後面加上【,dmtsai】，注意不要空格【root:x:0:root,dmtsai】 執行groups得到這個用戶所有支持的群組，第一個輸出的群組即為有效群組，touch一個新檔案，那麼該檔案的群組即為dmtsai了 newgrp：有效群組的切換，不過使用newgrp是有限制的，那就是你想要切換的群組必須是你已經有支持的群組，例如：dmtsai可以在 dmtsai/users這兩個你支持的群組之間進行切換的，執行newgrp users 可以變更有效群組為users這個群組，這個指令執行後，是以另一個 shell來提供接下來的操作的，這個時候dmtsai這個使用者目前是以另一個shell登錄的，而且新的shell給予dmtsai有效的GID為users 有效群組被重新計算，由於是新取得的一個shell，想要返回到原本的環境中，需要輸入exit回到原本的shell中 你要加入一個群組有兩個方式，一個是透過系統管理員root利用usermod幫你加入，還可以透過群組管理員以gpasswd幫你 加入到他管理的群組中 新增與移除使用者：useradd 相關配置文件，passwd， usermod userdel useradd [-u UID] [-g 刜始群組] [-G 次要群組] [-mM]\ 這句就是增加初始群組和次要群組的方法 創建用戶時，默認會建立用戶家目錄，且目錄的權限為700，同時還會幫我們處理幾個項目 /etc/passwd 裡面建立一行與數據有關的數據，包含UID和GID /etc/shadow 裡面將此賬號的密碼相關參數填入，但尚未有密碼 /etc/group 裡面加入一個賬號名稱一模一樣的組名 /home 底下建立一個與賬號同名的目錄作為用戶家目錄，且權限為700 用戶建立系統賬號一般由100號以後算起，所以這裡我們加上 -r 這個選項後，系統將賬號與賬號同名群組的UID/ GID都指定小於500以下，由於這些賬號只是用來運作 系統所需服務的權限設定所以不會主動建立家目錄 useradd 會更改以下的文件 用戶賬號與密碼參數方面的檔案：/etc/passwd, /etc/shadow，使用者群組相關方面癿檔案：/etc/group, /etc/gshadow 用戶的家目錄：/home/賬號名稱 而家目錄中的內容來自於/etc/default/useradd 中的內容 可以用useradd -D查看到， GROUP=100 的含義分為兩種 1，私有群組機制，系統建立一個與賬號一樣的群組給使用者作為初始群組，RHEL FEDORA CENTOS 都是這樣設定的 2，公有群組機制，就是以100這個群組作為新建賬號的初始群組，SUSE就是這樣設定的 HOME=/home：用戶家目錄的基准目錄(basedir) INACTIVE=-1：密碼過期後是否會失效的設定值 0代表過期後失效，1代表永遠不失效，30代表30天後失效 EXPIRE=：賬號失效的日期 SHELL=/bin/bash：默認使用的 shell 程序文件名 如果是mail server ，那麼不許用戶登陸系統得到shell，那麼可以將這裡設定為/sbin/nologin,如此以來，新建的用戶都無法登陸，免去了後續使用usermod的修改手續了 SKEL=/etc/skel：用戶家目錄參考基准目錄 vbird1 家目錄 /home/vbird1 內的各項數據，都是由 /etc/skel 所復制過去的，你可以在/etc/skel目錄內容修改.bashrc文件或者建立www這個目錄，那麼未來新增的使用者 的家目錄下就會有www這個目錄了 CREATE_MAIL_SPOOL=yes：建立使用者的 mailbox，這個值設置為yes，那麼ll /var/spool/mail/這個目錄下就會存在使用者的郵箱了 除了以上的賬號設定值之外，UID和GID還有密碼參數是參考/etc/login.defs文件的 文件內容包括 MAIL_DIR /var/spool/mail <==用戶默認郵件信箱放置目錄 現在用戶登陸系統時的密碼校驗是通過PAM模塊來驗證的，所以PASS_MIN_LEN是失效的 UID_MIN UID_MAX UID的最小和最大值，一般創建用戶時，會先查詢/etc/passwd中的最大UID數值，再加上一就是新賬號的UID了，如果加上-r 那麼就會找出比500小的 最大的那個UID + 1 CREATE_HOME yes <==在不加 -M 及 -m 時，是否主動建立用戶家目錄 UMASK 077 <==用戶家目錄建立的 umask ，因此權限會是 700 USERGROUPS_ENAB yes <==使用 userdel 刪除時，是否會刪除初始群組 MD5_CRYPT_ENAB yes <==密碼是否經過 MD5 的加密機制處理 通過以上說明，useradd這個命令會參考 /etc/default/useradd /etc/login.defs /etc/skel/* 等文件的內容 passwd 當使用useradd建立賬號之後，預設情況下賬號暫時是封鎖的，無法登陸的，只有passwd設定密碼後才能登陸 選項與參數 --stdin ：可以透過來自前一個管線的數據，作為密碼輸入，對 shell script 有幫助 -l ：是 Lock 的意思，會將 /etc/shadow 第二欄最前面加上 ! 使密碼失效； -u ：與-l 相對，是 Unlock的意思 -S ：列出密碼相關參數，亦即 shadow 檔案內的大部分信息。 -n ：後面接天數，shadow 的第 4 字段，多久不可修改密碼天數 -x ：後面接天數，shadow 的第 5 字段，多久內必須要更動密碼 -w ：後面接天數，shadow 的第 6 字段，密碼過期前的警告天數 -i ：後面接『日期』，shadow 癿第 7 字段，密碼失效日期 一般用戶設置密碼的格式非常嚴格，大多使用PAM模塊來進行密碼的檢驗，這個管理的機制寫在 /etc/pam.d/passwd 當中，而該檔案與密碼有關的測試模塊 就是使用pam_cracklib.so 這個模塊會檢驗密碼的相關信息，取代/etc/login.defs內的PASS_MIN_LEN 設定密碼還可以使用管道的方式 echo "abc543CC" | passwd --stdin vbird2 chage 這個命令也可以查看密碼的相關參數信息的 -l ：列出該賬號詳細密碼參數； -d ：後面接日期，修改 shadow 第三字段(最近一次更改密碼癿日期)，格式 YYYY-MM-DD -E ：後面接日期，修改 shadow 第八字段(賬號失效日)，格式 YYYY-MM-DD -I ：後面接天數，修改 shadow 第七字段(密碼失效日期) -m ：後面接天數，修改 shadow 第四字段(密碼最短保留天數) -M ：後面接天數，修改 shadow 第五字段(密碼多麗需要迚行變更) -W ：後面接天數，修改 shadow 第六字段(密碼過期前警告日期) chage -l vbird2 列出vbird的詳細密碼信息 chage還有一個功能，當用戶第一個登入時，強制她們一定要修改密碼才能使用系統資源， 例如： useradd agetest echo "agetest" | passwd --stdin agetest chage -d 0 agetest 此時此賬號的密碼建立時間會被改為1970.1.1，所以有問題 再次登錄的時候，就會強制你修改密碼了 usermod 進行相關數據的微調 userdel 刪除用戶的相關數據，包括 ：/etc/passwd, /etc/shadow /etc/group, /etc/gshadow /home/username, /var/spool/mail/username.. 選項不參數： -r ：連同用戶的家目錄也一起刪除 如果想讓某個賬號暫時不啟用的話，將/etc/shadow中的第八個字段設定為0就可以讓該賬號無法使用了，所有跟該賬號相關的數據都會留下來 真正刪除用戶之前最好先執行 find / -user username 查詢該用戶創建了的所有文件 無論是 useradd/usermod/userdel ，那都是系統管理員所能夠使用的指令，一般用戶除了修改密碼之外，還可以進行一些賬號數據變更與查詢指令的 finger 一般用戶可以使用這個命令來查閱用戶相關的信息，大部分是/etc/passwd這個檔案裡面的信息， finger [-s] username 列出的信息包括賬號，全名，家目錄，shell，查詢用戶登陸主機的情況，信箱資料，計劃資料 利用 vbird1 建立自己的計劃檔 echo "I will study Linux during this year." > ~/.plan 接著使用finger vbird1就可以看到計劃信息了 finger不加參數 ， 找出目前在系統上面登入的用戶與登入時間 除了顯示這個信息之外，還會顯示Office Phone等信息，這些信息是通過chfn來設定的 chfn 有點像 change finger的意思 -f ：後面接完整的大名； -o ：您辦公室的房間號碼； -p ：辦公室的電話號碼； -h ：家裡的電話號碼！ vbird1 自己更改一下自己的相關信息 chfn 接著等待用戶輸入 chsh 就是change shell 的簡寫 chsh [-ls] 選項與參數： -l ：列出目前系統上面可用的shell ，其實就是 /etc/shells 的內容！ -s ：設定修改自己的 Shell 啰 無論是 chfn 不 chsh ，都是能夠讓一般用戶修改 /etc/passwd 這個系統文件的，而這兩個命令一定有SUID這個屬性的，否則一般用戶是不能修改passwd文件的 id id 這個指令則可以查詢某人或自己的相關 UID/GID 等等的值 新增與移除群組 groupadd -g ：後面接某個特定的GID ，用來直接給予某個 GID ～ -r ：建立系統群組啦！與 /etc/login.defs 內的 GID_MIN 有關。 單單家裡群組時，最好使用 groupadd -r 群組名的方式來建立啦 groupmod 與 usermod類似 選項與參數： -g ：修改既有的 GID 數字； -n ：修改既有的組名 groupmod -g 201 -n mygroup group1 groupdel 刪除群組 刪除群組時必須要確認/etc/passwd內的賬號沒有與任何人使用該群組作為 初始化群組 gpasswd：群組管理員功能 -A ：將 groupname 的主控權交由後面的使用者管理(該群組的管理員) 例如 gpasswd [-A user1,...] [-M user3,...] groupname -M ：將某些賬號加入這個群組當中！ -r ：將 groupname 的密碼秱除 例如 gpasswd [-rR] groupname -R ：讓 groupname 的密碼欄失效 ：若沒有任何參數時，表示給予 groupname 一個密碼(/etc/gshadow) 例如gpasswd groupname -a ：將某位使用者加入到 groupname 這個群組當中！ -d ：將某位使用者移除出 groupname 這個群組當中。 gpasswd -A vbird1 testgroup 將vbird1設置為testgroup 的群組管理員 gpasswd -a vbird3 testgroup 讓vbird3設置成為testgroup組的成員 群組管理員可以設定多個，上面的vbird1就可以設定testgroup的群組管理員了，所以 vbird1 就可以自行增加群組成員啰，該群組成員就能夠使用 newgrp 啰 測試：建立三個用戶的共同開發目錄 需要將這三個用戶都加上一個共有的公有群組，接著在這個目錄上設置為該群組，再將這個目錄的權限設置為2770 ，其中的2代表SGID，也就是這三個使用者能夠修改 對方的檔案，這個SGID必須要存在， 那如果需要增加一個myuser1作為這個項目的助理，他需要有查看這個項目的內容，但不能修改這個目錄內的任何數據，這樣既不能修改目錄的權限為2775，因為這樣的話 其他人也能進入這個目錄了，同時也不能將這個用戶加入到公有的群組上，因為一旦加上，這個用戶就可以修改這個目錄內的內容了。 所以這個時候就需要加上ACL的使用了 傳統的權限僅有三種身份，也就是(owner, group, others) 搭配三種權限 (r,w,x) 而已，沒有辦法為某一個使用者或某一個群組來設定特定的權限需求，此時就一定要使用 ACL這個機制了 ACL的機制主要是提供傳統的owner,group,others 的 read,write,execute 權限之外的細部權限設定，ACL 可以針對單一使用者，單一檔案或者目錄來進行 r,w,x 癿權限規范，對 於需要特殊權限的使用狀況非常有幫助 ACL主要可以針對以下這些方面來控制權限 使用者 ： 可以針對使用者來設定權限 群組：可以針對群組為對象來設定其權限 默認屬性mask 還可以針對在該目錄下在建立新檔案/目錄時，規范新數據的默認權限 使用ACL必須要有文件系統的支持才行，目前絕大多數的文件系統都有支持 ACL的功能，包括 Ext3 Ext4 JFS XFS等等 查看本文件系統是否支持ACL可以執行 mount命令 mount命令 可以看到文件系統的大致情況，接著也可以由superblock內容去查詢 dumpe2fs -h /dev/hda1 由mount單獨查詢，未必可以看到實際的項目，由於目前的distributions 常常會主動加入某些默認功能，在rhel預設的情況下(Default Default mount ) ，就會幫你加入acl的 如果沒有默認加上acl，那麼就要手動的加上acl的支持了，mount -o remount，acl / 這樣就可以了，再執行mount就可以看到效果了，但是如果想要每次開機都生效，那麼就 要寫入到/etc/fstab中去 acl的命令有getfacl 和 setfacl 當設置好文件系統支持acl後，接下來可以利用 getfacl setfacl 來設定acl了 getfacl：取得某個檔案/目錄的 ACL 設定項目； setfacl：設定某個目錄/檔案的 ACL 規范。 setfacl 指令用法 選項不參數： -m ：設定後續的 acl 參數給檔案使用，不可與 -x 合用； -x ：刪除後續的 acl 參數，不可與 -m 合用； -b ：移除所有的 ACL 設定參數； -k ：移除預設的 ACL 參數，關於所謂的『預設』參數於後續范例中介紹； -R ：遞歸設定 acl ，亦即包括次目錄都會被設定起來； -d ：設定『預設 acl 參數』的意思！叧對目錄有效，在該目錄新建癿數據會引用此默認值 1. 針對特定使用者的方式：，例如針對 vbird1 癿權限規范rx： 原先的 -rw-r--r-- 1 root root 0 Feb 27 13:28 acl_test1 執行 setfacl -m u:vbird1:rx acl_test1 執行後的 -rw-r-xr--+ 1 root root 0 Feb 27 13:28 acl_test1 結果 權限部分多了個 + ，且與原本的權限 (644) 看起來差異很大！ 再次執行 setfacl -m u::rwx acl_test1 結果 -rwxr-xr--+ 1 root root 0 Feb 27 13:28 acl_test1 使用者欄位為冒號代表設定該檔案擁有者，所以root的權限變成了rwx了 設定的格式為 『 u:使用者:權限 』的方式來設定的啦,一個檔案設定了ACL參數後，他的權限部分會多出一個 + 號，而且此時看到的權限與實際的權限很可能會有不一樣 可以使用getfacl來進行查看 getfacl 指令用法 getfacl filename getfacl的選項幾乎與 setfacl 相同 列出剛剛設定的acl_test1的權限內容 # file: acl_test1 <==說明檔名而已！ # owner: root <==說明此檔案的擁有者， # group: root <==此檔案的所屬群組， user::rwx <==使用者列表欄是空的，代表檔案擁有者的權限 user:vbird1:r-x <==針對 vbird1 的權限設定為 rx ，與擁有者不同！ group::r-- <==針對檔案群組的權限設定僅有 r mask::r-x <==此檔案預設的有效權限 (mask) other::r-- <==其他人擁有的權限啰！ 顯示的數據前面加上 # 的，代表這個檔案的默認屬性，包括文件名、檔案擁有者與檔案所屬群組。 底下出現的 user, group, mask, other 則是屬於不同的使用者、群組與有效權限(mask)的設定值 2. 針對特定群組的方式： setfacl -m g:mygroup1:rx acl_test1 getfacl acl_test1 查看 # file: acl_test1 # owner: root # group: root user::rwx user:vbird1:r-x group::r-- group:mygroup1:r-x <==這裡就是新增癿部分！多了這個群組癿權限訓定！ mask::r-x other::r-- mask 【有效權限】的意思是 使用者或群組所設定的權限必須要存在於mask 的權限設定范圍內才會生效， 例如： 設定mask 的值 setfacl -m m:r acl_test1 僅有r權限 user:vbird1:r-x #effective:r-- <==vbird1+mask均存在者，僅有 r 而已！，所以會有錯誤提示，代表這個用戶僅有r權限 group:mygroup1:r-x #effective:r-- 和上面的差不多，也僅有r權限，所以會提示mygroup組僅有r權限 我們可以透過使用 mask 來規范最大允許的權限，就能夠避免不小心開放某些權限給其他使用者或群組了,不過一般都是設定為rwx，接著再分別依據不同的使用者/群組 去規范他們的權限 針對我們之前討論的那個助理 myuser1 的設定可以為setfacl -m u:myuser1:rx /srv/projecta 那麼他對該目錄就有rx，但不具備w的權限了 對該目錄設定完成後，如果想要再進入到下一個目錄內，那麼就需要acl讓該目錄下的數據都有繼承的功能，默認是不會繼承的 4. 針對預設權限的設定方式： 讓 myuser1 在 /srv/projecta 底下一直具有 rx 的預設權限！ setfacl -m d:u:myuser1:rx /srv/projecta 設定好後，查看此目錄下層的目錄都會繼承當前這個目錄的acl屬性了 透過這個『針對目錄來設定的默認 ACL 權限設定值』的項目，我們可以讓這些屬性繼承到次目錄底下呢！ ACL 的屬性全部消失又要如何處理 ，可以通過 setfacl -b 檔案來實現 在Linux底下有關身份的變換： 1.使用一般賬號，為了安全，盡量使用一般身份的使用者操作Linux的日常作業，等到需要設定系統環境時，再換成root來管理系統，相對安全，否則rm -rf 太恐怖了 2.使用較低權限的用戶來啟動服務，針對apache服務，我們可以建立一個apache的用戶來啟動apache軟件，如果這個程序被破壞，也不會受太大影響 3 軟件本身的限制，telnet程序默認不許root的身份登錄，只可以一般用戶使用telnet ，ssh指令也可以拒絕root用戶登錄系統， 讓用戶的身份進行切換的命令是, 主要有兩種方式： su 命令需要使用者輸入root的密碼 sudo 執行root的指令串，由於sudo是預先設定好的，不需要密碼，因此多人管理一部主機，sudo 要比su 來的好。至少root密碼不會流出 su的用法： - ：單純使用 - 如『 su - 』代表使用 login-shell 的變量檔案讀取方式來登入系統； -l ：與 - 類似，但後面需要加欲切換的使用者賬號！也是 login-shell 癿方式。 -m ：-m 與-p 是一樣的，表示『使用目前的環境設定，而不讀取新使用者的配置文件』 -c ：僅執行一次指令，所以 -c 後面可以加上指令喔！ 在su這個用法中，沒有加上 - 的話，差別很大，涉及 login-shell 與 non-login-shell 的變量讀取方法， 例如： 執行 su 切換為root 用戶 執行 env | grep 'vbird1' 可以看到所有的環境和環境變量都是原先那個用戶的設置，所以很多數據無法直接利用 只輸入su表示讀取的變量設定方式為non-login shell 這種方式很多變量不會發生改變，尤其是PATH這個變量，所以root只能通過絕對路徑來執行，輸入MAIL，收到的是vbird1 這個用戶的郵件，su - 則不會有之前的問題，如果想離開當前用戶，執行exit，如若只想執行一次root的指令，執行完後恢復原本的身份，可以加上 -c 這個選項 例如執行 su - -c "head -n 3 /etc/shadow" 輸入root密碼，執行後就又回到vbird1身份了 由於主機是多人共同管理的，使用su切換，那麼不就每個人都要知道root的密碼，這個密碼會流出去就會有麻煩了 sudo 的執行只需要自己的密碼即可，設置可以設定不需要密碼即可執行sudo ，由於sudo可以讓其他用戶擁有root的身份來執行命令，所以並非所有人都能夠執行sudo 僅有規范到/etc/sudoers內的用戶才能執行sudo這個指令的 sudo [-b] [-u 新使用者賬號] -b ：將後續的指令放到背景中讓系統自行執行，而不與目前的 shell 產生影響 -u ：後面可以接欲切換的使用者，若無此項則代 表切換身份為 root 。 sudo -u sshd touch /tmp/mysshd 切換為sshd用戶執行創建文件 sudo還可以切換為系統用戶來執行某些操作，而su則不行 sudo -u vbird1 sh -c "mkdir ~vbird1/www; cd ~vbird1/www; 使用多重指令串，分號分割，使用sh -c的方法來執行一連串的指令 但是sudo預設僅有root可以使用 1當用戶執行sudo時，系統於 /etc/sudoers檔案中搜尋該使用者是否有執行sudo的權限， 2使用者具有sudo的權限後，便讓使用者輸入自己的密碼 3若密碼輸入成功，便開始進行sudo後續的指令 4若預切換的身份與執行著相同，不需要輸入密碼 想要執行屬於root的權限指令，則先要使用visudo去修改/etc/sudoers，讓該賬號能夠使用全部或部分的root指令功能，使用visudo，這是因為/etc/sudoers是有設定語法的 如果設定錯誤就會照成無法使用sudo指令的嚴重後果，因此使用visudo去修改，在結束離開修改畫面時，系統會去檢驗 /etc/sudoers 的語法就是了。 root ALL=(ALL) ALL <==找刡這一行，大約在 76 行左右 vbird1 ALL=(ALL) ALL <==這一行是你要新增的！ 讓vbird1擁有root的任何指令 其實visudo只是利用vi將/etc/sudoers檔案呼叫出來進行修改，這個檔案就是/etc/sudoerds,這個檔案的設定很簡單， root ALL=(ALL) ALL <==這是默認值 4個欄位的含義 1 系統中那個賬號可以使用sudo這個指令 2這個賬號通過哪部主機聯機到本Linux主機，這個設定值可以指定客戶端計算機，默認可以來自任何一部網絡主機 3 這個賬號可以切換成什麼身份來下達後續的指令，默認root可以切換成任何人 4 可用該身份下達什麼指令，務必使用絕對路徑，預設root可以切換任何身份且進行任何指令之意 vbird1 ALL=(ALL) ALL 保存設置後，執行 tail -n 1 /etc/shadow <==注意！身份是 vbird1 所以執行失敗，提示沒有權限 sudo tail -n 1 /etc/shadow <==透過 sudo 這樣就可以了，接著輸入密碼，再給予別人執行的時候，需要了解該用戶的操守 利用群組以及免密碼的功能處理 visudo 建立pro1，pro2，pro3這三個用戶通過群組的功能讓這三個人可以管理系統 執行visudo %wheel ALL=(ALL) ALL <==大約在 84 行左右，請將這行的# 拿掉！ # 在最左邊加上 % ，代表後面接的是一個『群組』之意！改完請儲存後離開 usermod -a -G wheel pro1 <==將 pro1 加入 wheel 癿支持、 任何人wheel這個群組的使用者，都能夠使用sudo切換任何身份來操作任何指令，可以將wheel換成自己想要的群組名，就可以使用sudo來進行身份的切換，從而執行任何 指令，此時pro2這個用戶沒有在/etc/sudoers中設定過，所以執行操作會提示失敗，而pro3可以直接利用usermod去修改pro3的群組支持，讓wheel也支持pro3，那麼pro3也可 以進行sudo了，提供不需要密碼即可使用sudo： 設置方式如下 %wheel ALL=(ALL) NOPASSWD: ALL <==大約在 87 行左右，請將 # 拿掉！ # 在最左邊加上 % ，代表後面接的是一個『群組』之意！改完請儲存後離開 由於有NOPASSWD這個值存在，所以不需要輸入密碼了 myuser1 ALL=(root) /usr/bin/passwd <==最後指令務必用絕對路徑 以上限制了用戶的指令參數，只允許某些指令可以讓sudo後的用戶使用 例如 myuser1 ALL=(root) !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, \ !/usr/bin/passwd root 以上！表示不可執行的意思，上面的命令設定後，用戶都無法訪問passwd和passwd root 指令，如此就不能隨意更改root的密碼了，至此這位使用者就可以具有root的能力 但還是不能修改和改變root的密碼了， 透過別名建置visudo 假設pro1, pro2, pro3 與 myuser1, myuser2 要加入上述的密碼管理員的sudo 列表中 User_Alias ADMPW = pro1, pro2, pro3, myuser1, myuser2 聲明一個變量 ADMPW Cmnd_Alias ADMPWCOM = !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root 將指令也命名成一個別名 最後寫入ADMPW ALL=(root) ADMPWCOM 這樣就可以方便很多了啊 我透過 User_Alias 建立出一個新賬號，這個賬號名稱一定要使用大寫字符來處理 sudo時間間隔問題 一個賬號短時間內重復操作sudo 第二次不需要輸入自己的密碼，間隔超過5分鐘，那麼就要重新輸入一次密碼了 另外注意，當使用一般賬號時，理論上用不到/sbin和 /usr/bin等目錄的指令，因為$PATH變量不會含有這些目錄，所以需要使用絕對路徑來下達命令比較妥當 sudo搭配su的使用方式 當需要大量執行root工作時，會覺得sudo很煩，此時使用sudo搭配su，一口氣將身份轉為root，而且還用用戶自己的密碼來變成root， 執行 sudo -su 這個命令 輸入自己的密碼後，立刻變成root的身份的，但root密碼不會外流， 用戶癿特殊 shell 與 PAM 模塊 如果某天我建立了一個僅能使用mail server 相關郵件服務的賬號，而該賬號不能登錄linux主機，如果不給於一個密碼，那麼該賬號就無法使用系統的各項資源，當然 包括mail的資源，而如果給予一個密碼，那麼該賬號就可能可以登入Linux主機啊， shell, /sbin/nologin 後者是無法登入的shell，如果想要讓某個具有/sbin/login的使用者知道，他們不能登陸如主機，其實可以建立/etc/nologin.txt,並且在裡面寫上不能登錄 的原因，那麼下次用戶想要登錄時，就會將/etc/nologin.txt中的信息顯示在屏幕上 PAM 模塊簡介 PAM可以說是一套應用程序編程接口，他提供一連串的驗證機制，只要使用者將驗證階段的要求告知PAM 後，PAM就能夠回報使用者驗證的結果(成功或失敗) 由亍 PAM 僅是一套驗證的機制，又可以提供給其他程序所呼叫引用，因此無論你使用什麼程序，都可以使用PAM來進行驗證，就能夠讓賬號密碼或者是其他方式的驗證具有一 致的結果！也讓程序設計師方便處理驗證癿問題喔！ Linux System，httpd ， postfix 都是使用PAM模塊的驗證 PAM是一個獨立的API存在，只要任何程序有需求，都可以向PAM發出驗證要求通知的，接著將結果返回，也就是說可以在寫程序的時候將PAM模塊的功能加入，就能夠利用 PAM進行驗證功能. PAM 是進行驗證的數據稱為模塊(Modules),每個PAM模塊的功能都不太相同的，例如passwd指令時，如果隨便輸入字典上面找到的字符串，passwd就會回報錯誤信息了， 這就是PAM的pam_cracklib.so 模塊的功能，他能夠判斷該密碼是否存在字段裡面，最後進行回報 PAM 模塊設定語法 PAM是有一個與程序相同文件名的配置文件來進行一連串的認證分析需求，同樣passwd這個指令的呼叫PAM來說明好了，當執行passwd時的流程是 1. 用戶開始執行 /usr/bin/passwd 這支程序，幵輸入密碼； 2. passwd 呼叫 PAM 模塊進行驗證； 3. PAM 模塊會到 /etc/pam.d/ 找尋不程序 (passwd) 同名癿配置文件； 4. 依據 /etc/pam.d/passwd 內的設定，引用相關的 PAM 模塊逐步來行驗證分析； 5. 將驗證結果 (成功、失敗以及其他討息) 回傳給 passwd 這支程序； 6. passwd 這支程序會根據 PAM 回傳癿結果決定下一個劢作 (重新輸入新密碼戒者通過驗證！) 從上頭說的重點其實是/etc/pam.d/裡面的配置文件，以及配置文件所呼叫的PAM模塊進行的驗證工作，我們一直提到passwd這個命令，那麼就來看看/etc/pam.d/passwd這個 配置文件的內容，文件中的內容每一行分為三段，分別是驗證類別(type) 控制標准(flag) PAM的模塊與該模塊的參數， password include system-auth 第一個字段 驗證類別 (Type) 主要分為四種，1，auth 這種類別主要用來檢驗使用者的身份驗證，這種類別通常是需要密碼來檢驗的，後續的模塊/etc/pam.d/system-auth 是用來檢驗用戶的身份 2.account 這種類別則主要在檢驗使用者是否具有正確的權限 3 session 這個類別通常用在記錄用戶登入與注銷時的信息！例如，如果你常常使用 su 或 者是 sudo 指令的話， 那麼應該可以在 /var/log/secure 裡面發現很多關亍 pam 癿說明，而且記載的數據是『session open, session close』的信息！ 4 password 就是密碼 嘛！所以這種類別主要在提供驗證的修訂工作，舉例來說，就是修改/變更密碼啦！ 這四個驗證的類型通常是有順序的，1先驗證身份 2 再藉由用戶的身份給予適當的權限 與權限設定，3 登陸於注銷期間的環境才需要設定，才記錄登陸與注銷的信息，4 運行期間需要密碼修訂才給予passwd 的類別 第二個字段 ：驗證的控制旗標 也是四種控制方式： 1 required 驗證成功 帶有succes 標志，若失敗則帶有failure的標志 ，但都會進行後續的驗證流程，由於可以進行後續的操作，因此有利於資料的登陸 2 requisite 若驗證失敗則立刻回報原程序 failure 癿標志，並終止後續的驗證流程 ，若成功則帶有success的標志進行後續的驗證流程，與required的最大區別就是失敗就立刻 終止了 3 sufficient 若驗證成功則立刻回傳 success 給原程序，並終止後續的驗證流程，若失敗則帶有failure標志進行後續的驗證流程 4 optional 這個模塊控件目大多是在顯示訊息而已，並不是用在驗證方面的。 接下來查看登錄所需要的PAM的流程 cat /etc/pam.d/login 包含很多模塊，include表示交由後一位的模塊來處理 system-auth 也包含很多模塊 cat /etc/pam.d/system-auth 每個模塊的功能都不太相同，詳細的模塊情報可以在你的系統中找到： /etc/pam.d/*：每個程序個別的 PAM 配置文件； /lib/security/*：PAM 模塊檔案的實際放置目錄； /etc/security/*：其他 PAM 環境的配置文件； /usr/share/doc/pam-*/：詳細的PAM 說明文件。 例如 pam_nologin模塊的說明文檔就在 /usr/share/doc/pam-0.99.6.2/txts/README.pam_nologin 可自行查閱 以下是較常用的模塊 pam_securetty.so：限制系統管理員 (root) 只能夠從安全的 (secure) 終端機登入；例 tty1 tty2 安全的含義是一定要寫在/etc/securetty這個檔案中，就知道root可以從tty1-tty7 登陸，但無法通過telnet登陸linux主機 pam_nologin.so：這個模塊可以限制一般用戶是否能夠登入主機之用。當 /etc/nologin 這個檔案不存在時，則所有一般使用者均無法再登入系統了！若 /etc/nologin 存在，則一 般使用者在登入時， 在他們的終端機上會將該檔案的內容顯示出來！ pam_selinux.so： SELinux 是個針對程序來進行細部管理權限癿功能 pam_console.so： 這個模塊可以幫助處理一些檔案權限癿問題，讓使用者可以透過特殊終端接口 (console) 順利的登入系統。 pam_loginuid.so：一般賬號 UID 均大亍 500 才合理。 因此，為了驗證使用者癿 UID 真癿是我們所需要癿數值，可以使用這個模塊來進行規范 pam_env.so： 用來設定環境變量癿一個模塊，如果你有需要額外癿環境變量設定，可以參考/etc/security/pam_env.conf 這個檔案的詳細說明 pam_unix.so：這個模塊可以用在驗證階段的認證功能，可以用在授權階段的賬號許可證證管理， 可以用在會議階段癿登陸文件記錄等，甚至也可以用在密碼更新階段的檢 驗！非常豐富癿功能！ 這個模塊在早期使用得相當頻繁 pam_cracklib.so：可以用來檢驗密碼的強度！包括密碼是否在字典中 pam_limits.so： ulimit就是這個模塊提供的能力，！還有更多細部的設定可以參考： /etc/security/limits.conf 內的說明。 PAM驗證的流程： 1. 驗證階段 (auth)：首先，(a)會先經過 pam_securetty.so 刞斷，如果使用者是 root 時，則會參考 /etc/securetty 的設定； 接下來(b)經過 pam_env.so 設定額外的環境變量；再(c)透過 pam_unix.so 檢驗密碼，若通過則回報 login 程序；若不通過則(d)繼續往下以 pam_succeed_if.so 判斷 UID 是否大亍 500 ，若小亍 500則回報失敗，否則再往下 (e)以 pam_deny.so 拒絕聯機。 2. 授權階段 (account)：(a)先以 pam_nologin.so 判斷 /etc/nologin 是否存在，若存在則不許一般使用者登入； (b)接下來以 pam_unix 進行賬號管理，再以 (c) pam_succeed_if.so 判斷 UID 是否小亍 500 ，若小亍 500 則不記錄登陸信息。(d)最後以 pam_permit.so 允許該賬號登入。 3. 密碼階段 (password)：(a)先以 pam_cracklib.so 設定密碼僅能嘗試錯誤 3 次；(b)接下來以 pam_unix.so 透過 md5, shadow 等功能進行密碼檢驗，若通過則回報 login 程序，若不通過則 (c)以 pam_deny.so 拒絕登入。 4.會議階段 (session)：(a)先以 pam_selinux.so 暫時關閉 SELinux；(b)使用 pam_limits.so 設定好用戶能夠操作的系統資源； (c)登入成功後開始記錄相關信息在登陸文件中； (d)以 pam_loginuid.so 規范不同的 UID 權限；(e)開啟 pam_selinux.so 癿功能 root 無法以 telnet 直接登入系統，但是即能夠使用 ssh 直接登入 因為telnet會引用login的PAM模塊，login在驗證階段會有/etc/securetty的限制，由於pts/n動態終端機沒有寫入到/etc/securetty，因此root無法以telnet登陸主機 而ssh使用的是sshd這個模塊 這個模塊中沒有加入pam_securetty，因此沒有/etc/securetty的限制，故而可以遠程連接到服務器 其他相關檔案 除了/etc/securetty會影響到root的安全終端機，/etc/nologin 會影響到一般使用者是否能夠登入 我們也知道 PAM 相關癿配置文件在 /etc/pam.d 說明文件在 /usr/share/doc/pam-(版本)，模塊實際在 /lib/security/ 。還有其他的一些配置文件，主要在/etc/security這個目錄內 limits.conf ulimit 功能中， 除了修改使用者的 ~/.bashrc 配置文件之外，其實系統管理員可以統一藉由 PAM 來管理的 那就是 /etc/security/limits.conf 這個檔案的設定了。可以限制一個賬號同時登陸的人數，限制某個目錄的使用大小，訓定完成就生效 /var/log/secure, /var/log/messages 如果發生無法登陸或者一些無法預期的錯誤時，PAM模塊就會記錄到/var/log/secure當中，所以務必要關注這個文件，例如在limits.conf的介紹內的范例二中，就會 談到多重登入的錯誤可以到/var/log/secure內進行查詢的，這樣你就知道為何第二個該賬號用戶無法登陸 Linux主機上的用戶訊息傳遞 除了之前提過的id，finger等指令了解用戶的相關信息，最簡單可以使用last檢查，若要查詢目錄已經登陸在系統上面的用戶，可以透過w或who來查詢 如果要知道每個賬號的最近登入時間，可以使用lastlog這個指令，lastlog會去讀取/var/log/lastlog檔案 使用者對談 write, mesg, wall 可以跟系統上面的用戶談天說地，利用write指令，write可以直接將訊息傳給接受者 例如write 使用者賬號 [用戶所在終端接口] 【write vbird1 pts/2】接著輸入 ，結束時 [crtl]-d 來結束輸入，此時就會在vbird的畫面中出現，而vbird使用mesg n可以進行阻擋，但是無法阻擋root傳過來的訊息，阻擋後，在寫給vbird1就會出現write: root has messages disabled，解開阻擋使用mesg y wall "I will shutdown my linux server..." 對系統上的所有用戶進行廣播 使用者郵件信箱： mail /var/spool/mail 裡面存放一個賬號一個mailbox檔案，發送郵件可以直接下達『 mail username@localhost -s "郵件標題" 』，如果寄送給本機用戶，連localhost都不用寫 如果怕寫錯，可以使用mail vbird1 -s "nice to meet you" < filename 來將檔案內容傳輸即可 查看信的話輸入mail，出現左邊那個 N 代表該封信件尚未讀過，可以通過& ?來查詢mail的用法 <message list>指的是每封郵件的左邊那個數字啦！而幾個比較常見的指令是： 手動新增使用者 既然要手動修改賬號癿相關配置文件，那舉一些檢查群組、賬號相關的指令就不可不知道啊 尤其是那個密碼轉換的 pwconv 及 pwuconv 這兩個玩意～ pwck 這個指令在檢查 /etc/passwd 這個賬號配置文件內的信息，與實際的家目錄是否存在等信息，還可以比對 /etc/passwd /etc/shadow 的信息是否一致 這個指令用來檢查我的輸入是否正確 pwconv 這個指令主要癿目癿是在『將 /etc/passwd 內癿賬號與密碼，移動到 /etc/shadow 當中！則 pwconv 會去 /etc/login.defs 取用相關的密碼數據，幵建立該賬號的 /etc/shadow 數據； 相對亍 pwconv ， pwunconv 則是『將 /etc/shadow 內癿密碼欄數據寫回 /etc/passwd 當中，並且刪除 /etc/shadow 檔案。』 chpasswd 他可以『讀入未加密前癿密碼，並且經過加密後， 將加密後癿密碼寫入 /etc/shadow 當中。』 』這個指令很常被使用在大量建置賬號的情況中喔 他可以由 Standard input 讀入數據，每筆數據癿格式是『 username:password 』。例如 [root@www ~]# echo "dmtsai:abcdefg" | chpasswd -m 預設的情況下 chpasswd 使用的是 DES 加密方法來加密，而chpasswd -m 來使用 CentOS 5.x 預訓癿 MD5 加密方法，現在的passwd --stdin的命令更好用 一般情況下不建議使用純數字的賬號，主要是分不清『賬號』還是『 UID 』 手動建立的整個動作是這樣的： 1 先建立所需要癿群組 ( vi /etc/group )； pwconv建立群組 normalgroup 2. 將 /etc/group 不 /etc/gshadow 同步化 ( grpconv )； 對gshadow進行同步，使gshadow生成這條信息 3. 建立賬號癿各個屬性 ( vi /etc/passwd )； 建立 normaluser:x:700:520::/home/normaluser:/bin/bash 4. 將 /etc/passwd 不 /etc/shadow 同步化 ( pwconv )； 同步化密碼，使shadow生成這條信息 5. 建立該賬號癿密碼 ( passwd accountname )； 並且建立該用戶癿密碼 6. 建立用戶家目錄 ( cp -a /etc/skel /home/accountname )；建立家目錄 7. 更改用戶家目錄的屬性 ( chown -R accountname.group /home/accountname )。 目前大量建置賬號模板(適用passwd --stdin選項) 編寫腳本vi account1.sh # 1. 檢查 account1.txt 是否存在，並且將該檔案內癿賬號取出； if [ ! -f account1.txt ]; then echo "所需要癿賬號檔案不存在“ exit 1 fi # 2. 建立上述檔案的賬號； usernames=$(cat account1.txt) # 3. 將上述賬號癿密碼修訂成為『強制第一次進入需要修改密碼』的格式。 for username in $usernames do useradd $username <==新增賬號 echo $username | passwd --stdin $username <==與賬號相同的密碼 chage -d 0 $username <==強制登入修改密碼 done vi account1.txt 建立賬號 std01 std02 std03 std04 std05 std06 std07 std08 std09 std10 有時覺得建立account1.txt太死板，麻煩 還可以有另外的方法： 用戶輸入帳號的格式，例如 開頭代碼，帳號的位數，帳號額數量，從而自動生成帳號 先要判斷你輸入的內容是否符合要求 再根據規則將各個部分拼接起來成為帳號，將密碼也根據規則生成出來，循環將需要並且符合規則的帳號一一寫入到一個文件中 最後再從此檔案中讀出帳號名稱並且創建帳號， cat "$accountfile" | cut -d':' -f1 | xargs -n 1 useradd -m chpasswd < "$accountfile" 是把一個文件內容中的密碼重新定向添加到/etc/passwd中,此文件的格式必須是用戶名:口令，此時可以在/etc/passwd文件中看到明文密碼 pwconv 將/etc/shadow中內容補充完整，將/etc/login.defs的設定填充到shadow中去 並將檔案中的密碼也讀出來加密後寫入到/etc/passwd中，同步到shadow的密碼中.