Linux学习笔记（三）：权限管理（文件目录权限、用户权限）

文件及目录的权限管理

上篇简单介绍了下文件和目录的一些简单的操作，接下来介绍用户和文件权限的管理。首先了解用户和组账号的配置文件，然后是管理用户和组账号，最后要会设置文件和目录权限和归属。

Linux基于用户身份对资源访问进行控制。用户账号分为超级用户root(相当于windows下的Administrator)，然后是普通用户。Linux中是不建议使用root登录系统执行管理任务的，因为这很不安全。要是误删了系统中某个重要的文件，那就玩完了。

用户账号文件——passwd

用于保存用户的账号的基本信息，文件位置：/etc/passwd，每一行对应一个用户的账号记录，下面是取出最后两行记录的账号信息，然后来分析它每个字段的含义（字段之间用冒号分隔）。

字段1  jzhou:用户账号的名字；

字段2  x :密码占位符

字段3  500：用户账号的UID号（RedHat和CentOS中默认从500开始）

字段4  500：用户所属主账号的GID号（也是默认从500开始）

字段5　zhoujie:用户全名

字段6  /home/jzhou :用户的宿主目录，即家目录

字段7  /bin/bash :登录shell信息

基于系统运行和管理需要，所有用户都可以访问passwd文件中的内容，但只有root用户才能更改

用户密码文件——shadow

用于保存密码串、密码有效期等信息，文件位置：/etc/shadow，每一行对应一个用户的密码记录。下面列出最后两行记录并解释每个字段的含义：

字段1 :用户账号的名称

字段2 ：加密的密码字串信息（采用MD5加密）

字段3 ：上次修改密码的时间

字段4：密码的最短有效天数，默认值为 0

字段5：密码的最长有效天数，默认值为 99999

字段6：提前多少天警告用户口令将要过期，默认值为 7

字段7：在密码过期后多少天禁用此用户（默认为空）

字段8：账号失效时间（默认为空）   

字段9 ：保留字段（未使用）

默认只要root用户能够读取该文件中的内容，并且不允许root直接编辑该文件中的内容。那么添加用户时如何来指定选项以实现这些功能呢？下面将简单介绍如何添加用户、组。

添加用户账号——useradd

用户账号的初始配置文件

文件来源——新建用户账号时，从/etc/skel目录中复制而来

主要的用户初始配置文件有 ：

可通过cat命令查看上述文件的内容。

设置/更改用户口令——passwd

一般我不会也没有必要解释每个命令的带的参数，但是passwd我会介绍它的参数含义及用法，因为我觉得在系统维护中会常用到。

注意，“未设置密码”的用户账号尚未完成初始化，处于不可登录状态，与“空密码”的情况不同，普通用户可以使用passwd命令，但只能更改自己的密码。另外，被锁定的账号也不能登录系统。

修改用户账号的属性——usermod

它的命令有几个功能和passwd是一样的，比如L和U参数就是锁定和解锁账户的，不过要大写。其他选项和useradd的中的一样，就是更改uid,gid等。

删除用户账号——userdel
      
删除账号时直接用”userdel  用户名“就行了，但是这样删除的话，用户的家目录依然存在，这时你若要再建立一个与刚才同名的账号那是不行的，所以我习惯带上-r选项，删的彻底点，即连同家目录一起删除，反正删除账号后家目录也没什么用了。
  
还有两个域组账号相关的文件，即/etc/group 和/etc/gshadow，不太常用，尤其是后者，知道下应该就行了。

添加组账号——groupadd

添加一个组账号，在新建用户时，若要指定用户的gid和组名称，则必须先保证这个组要存在，所以要先建立组，简单的操作如下：

删除组账号——groupdel

很简单，直接接用户名作为参数，删除组账号后，从/etc/group文件中将查不到相应的记录。

用户和组账号查询：

id命令——查询用户身份标识

groups命令——查询用户所属的组

finger命令——查询用户的详细信息

users、w、who命令查询已登录到主机的用户信息

文件/目录的权限和归属

将ls带上参数l或直接打ll命令，则可以查看用户对文件的使用权。

 第一列权限位由10位（比如d rwx rwx r-x）组成，其中第一位表示文件类型,d表示目录，l表示链接文件，b表示块文件，c表示字符文件，-表示普通文件。关于rwx-分别表示读、写、执行、无权限，r w x - 四个权限字符分别可表示为8进制数字4,2,1,0，即 rwx rwx r-x权限也可表示为775，其中前三位rwx(7)表示文件所有者（owner）对该文件的权限，中间3位rwx(7)表示文件所在的组（group）对该文件的权限，最后三位r-x(5)表示其他用户（other）对该文件的权限，也即ugo权限。

设置文件/目录的权限——chmod

修改目录的权限和所属组时可以指定-R选项以实现目录里的文件或者目录也可以递归变化。若只修改文件/目录所有者只需指定前者，即chown root testfile，若只修改文件/目录所属组的权限，前面的用户可不写，即chown :root testfile。

附加权限位

普通用户并没有权限修改“/etc/shadow”文件，那为什么可以修改自己的登录密码呢？因为passwd命令程序被设置了SUID权限，普通用户在执行该命令时临时获得相当于属主用户（root）的权限。

set位权限的主要用途：

为可执行（有 x 权限的）文件设置，权限字符为“s”;

 其他用户执行该文件时，将拥有属主或属组用户的权限。

set位权限类型：
SUID：表示对属主用户增加SET位权限;
SGID：表示对属组内的用户增加SET位权限。

注意：不要轻易为可执行文件设置SET位权限，特别是对于那些属主、属组是root的执行程序，使用SET位权限时更应该慎重。例如，若为vim编辑器程序设置SUID权限，将导致普通用户也可以使用vim编辑器修改系统中的任何配置文件   　　

 粘滞位（Sticky）

主要用途：
为公共目录（例如，权限为777的）设置，权限字符为“t”
用户不能删除该目录中其他用户的文件
 
由于系统及服务程序运行的需要， Linux提供了/tmp、/var/tmp等临时目录，允许任意用户、程序写入数据，然而试想一下，若任意一个普通用户都能够删除系统服务运行中使用的临时文件，将造成什么后果？设置粘滞位以后，正好可以保持一种动态的平衡：允许各用户在目录中任意写入、删除数据，但是禁止随意删除其他用户的数据 。

其实这些特殊权限位用的不多，我认为只不过是为那几种特殊的文件作个解释罢了，不用深究的，知道派什么用的就行了吧。

使用附加权限

设置SET位、粘滞位权限
使用权限字符
 

使用权限数字：

m为4时，对应SUID，2对应SGID，1对应粘滞位，可叠加
 
SET位标记字符为“s”，若使用8进制数字形式，则SUID对应为“4”、SGID对应为“2”；在权限模式中可采用“nnnn”的形式时，如“4755”表示设置SUID权限、“6755”表示同时设置SUID、SGID权限。