RHCE课程-初级部分8、文件强制位冒险位、ACL访问控制列表
以前我们讲过passwd 和shadow 还有group这三个文件,大家还记得吧?
passwd文件
vim /etc/passwd
复习下,大家告诉我,从开始到最后,以冒号分割,代表的意思?
michael:x:500:500:michael:/home/michael:/bin/bash
用户名:密码:UID:GID:用户描述:用户主目录:用户登录Shell
基本就这样了,不知道的自己看下。
shadow文件
vim /etc/shadow
用户名:密码:自1970/1/1 起,密码被修改的天数:两次修改口令间隔最少的天数:用户的密码不过期最多的天数:在口令过期之后多少天禁用此用户:用户过期日期(距1970/1/1的天数):保留字段(目前为空备将来Linux发展之用)
下面是一个很强大的命令:usermod
先建立一个用户:
useradd redhat
然后在passwd中查看这个用户
记得刚才我们说的用户描述吗?就是家目录前面那个,现在我们用 usermod -c 描述内容 redhat ,来改变这个参数,大家把这个参数改成 51cto
usermod -c 51cto redhat
我们来看看效果哈~
然后就是改变用户主目录的参数,也就是改变家目录,
usermod -d 目录 redhat ,这个在FTP服务器中很有用
redhat 本来的家目录在哪?本来在/home/redhat哈~~,然后我们把它转移到 /home ,把home当成他的家目录。
usermod -d /home/ redhat
我们来看下生效后的效果哈
下面说说设置用户密码过期的时间,这个功能在某些时候挺有用处的,
usermod -e 时间 redhat,时间的格式是 20081207
开始这个用户是没有时间限制的
usermod -e 20081207 redhat
看看效果哈
下面操作一下,先改成7号过期,然后在改成8号过期,看下时间有什么变化
我们发现时间已经加上一天了哈~~
我让你们改变过期时间就是想让你们发现时间的单位是天哈,当增加一天的时候,那个数字就会大1,不设置这个就不会过期
下面是-l参数改变用户的登录名字:
usermod -l redhat1 redhat
把redhat的登录名字改成redhat1
我们发现改名生效了哈~
当你把usermod 命令用好了以后,你完全可以把group命令忘记,当你把配置文件学好了以后,基本都可以把这些命令忘记了-_-
还有两个参数很重要,-G和-g 谁告诉我,他们的区别?
-g:改变用户的gid
-G:将用户添加入一个新组
-g:改变用户的gid
-G:将用户添加入一个新组
好了,下一个参数-s 改变用户的登陆shell
如果你想把某个用户改成虚拟用户,不让他登陆系统,就可以用这个命令把他的shell改成nologin
系统支持的shell在/etc/shells这个目录里
最后两个比较重要的参数
-L 锁住密码,使帐号不能用
-U 为用户密码截锁
-L 锁住密码,使帐号不能用
-U 为用户密码截锁
大家 把redhat1用户加锁,然后解锁
usermod -L redhat1
usermod -U redhat1
shadow文件在加锁和不加锁有什么区别?
在密码那行的第一个字符多了个! 这就是加锁的标志,但是也不排除MD5加密的时候那里也有个!
usermod <参数> <用户名>
usermod命令的用法,相信大家都能总结出来了
usermod命令的用法,相信大家都能总结出来了
groupadd:添加一个组
groupdel:删除一个已存在组
groupmod –n 新组名 原组名,为一个组更改名字
gpasswd –a 用户名 用户组,将一个用户添加入一个组。
groupdel:删除一个已存在组
groupmod –n 新组名 原组名,为一个组更改名字
gpasswd –a 用户名 用户组,将一个用户添加入一个组。
这个几个命令大家看下就行了
who:查询当前在线的用户
我说一个命令,大家就运行看看,什么效果,好加深印象
w:查询当前在线用户的详细信息
groups:查询用户所属的组
id:显示当前用户信息
finger:查询用户信息
last:列出最近的用户登录
lastlog:列出每一个用户的最近登录情况
系统默认权限大家都知道了吧
文件的基数为:666
文件夹的基数为:777
文件夹的基数为:777
chmod和chown 以前讲过的。就先不讲了
下面的内容是
冒险位和强制位,网上也有说成粘着位的,具体说法不重要,大家知道是怎么回事就OK了
大家还记得怎么看用户的权限掩码吗?
umask
umask
我们以前教的是后面三位,当时没给大家说最前面那位,今天我们就学最前面那位,强制位与冒险位.
所谓的强制位和冒险位都是最最前面那个0的位置来表示,当前面那个位,2和4权限就叫强制位,1的权限就是冒险位,2代表的是GID,4代表的是uid,1代表的是sticky。这个和以前的不一样大家要区分下哈~~
下面给大家介绍gid,uid,sticky的作用:
GID的作用:
默认情况下,用户建立的文件属于用户当前所在的组,但是设置了GID以后,表示在此目录中,任何人建立的文件,都会属于目录所属的组。注意:GID只能对目录设置
UID的作用:当一个文件设置了UID,那么所有用户执行这个文件的时候,都是以这个用户的所有者的权限来执行。
我们先来做两个实验:
建立一个目录 redhat:
mkdir redhat
然后我们给他设置GID:
chmod 2755 redhat/
大家发现文件的权限有什么变化吗?
呵呵,那个s就是强制位的标志
我们把权限给他改回来:
chmod 0755 redhat/
chmod g+s 文件名 用这个命令也可以给他设置GID
chmod g+s redhat/
设置GID,s位就应该在文件所属组。
chmod 2777 redhat/
现在这个目录权限是这样,你们说我换redhat用户进入建立文件,文件的所属者和所属组是谁?
你们自己看哦,我现在进去建立用户了,你们说结果会怎么样?
文件的所属者是redhat而所属组是root,这就是强制位2,设置GID的作用,大家都知道GID的作用了吧?
这个在文件权限和团队使用文件目录很有用处
好了,下面我们说UID了,此UID非彼UID哈,强制位UID和用户UID大家要分开
你们的普通用户可以重启系统吗?我的反正是不行滴哈~~~
好了,我们要用强制位的UID来让普通用户可以重启系统哈
先找到重启系统的可执行文件:
which reboot
我们给这个文件设置UID
:
chmod u+s /usr/bin/consolehelper
设置成功后这个命令变成了红色,说明是个高风险的命令
现在我们用redhat看能不能重启系统哈
实验失败,又被SELINUX设置了。这次只是没有提示必须超级用户才能使用,但是没达到我们的目的。
先把这个权限改回来
我们换个命令shutdown -h now
普通用户不能执行,没有PATH,我们先给他添加PATH
shutdown命令的可执行文件在
/sbin/shutdown
vim .bash_profile
添加一个/sbin
检查下看看,已经有了哈
我们来对/sbin/shutdown设置UID哈:
chmod u+s /sbin/shutdown
我们现在用redhat帐号来看看效果哈~~~:
shutdown -h now
redhat可以使用shutdown了哈~~~
这个命令本来就是ROOT才能使用,所以就不会被SELINUX限制,x权限只是能ls 而已,可以进入目录,等下44就知道了,执行也必须要有X,但是要执行还需要满足其他,比如环境变量,这个文件是否可以执行等等哈~
UID和GID大家还有没有问题?
这个命令不是这个用的,只是为了演示哈,关机还是用sudo实现比较好
UID和GID就OK了,下面就是
sticky
这个功能就更强了 ,当你们公司有一个交换目录的时候,大家都要对这个目录有写入权限,这样,别人就可以删除你的文件了,有什么办法不让别人删除你的文件呢?当然sticky可以满足,你们还有其他方法吗?
大家建立一个 test目录,为了方便其他人在这个目录写入东西,我们给777的权限
然后进入这个目录,建立一个文件file,你们说,这个file普通用户可以删除吗?权限是644
哈,答案是普通用户是可以删除的哈。
这样的话改自己的文件的权限是没有用处的,这个时候我们就要用冒险位了,
一旦目录上设置了冒险位,则表示在此目录中,只有文件的拥有者、目录的拥有者与系统管理员可以删除文件。这个也是对目录进行设置
,我们给目录一个冒险位,仔细看变化哦
最后一个X变成了t,现在我们用 redhat去删除里面的文件file看看效果哈~
现在就不能删除里面的东西了,但是写入还是允许的。
ACL可以对某个文件设置该文件具体的某些用户的权限,意思就是通过ACL可以对一个文件权限做扩展,可以不同的用户对某个文件有不同的权限。
语法:
getfacl <文件名>
获取文件的访问控制信息
getfacl <文件名>
获取文件的访问控制信息
setfacl设置文件的acl
-m 修改文件的acl
-x 取消对文件的设置
-m 修改文件的acl
-x 取消对文件的设置
setfacl –m u:用户名:权限 文件名
setfacl –m g:组 名:权限 文件名
setfacl –x 用户名 文件名
setfacl –x g:组名 文件名
setfacl –m g:组 名:权限 文件名
setfacl –x 用户名 文件名
setfacl –x g:组名 文件名
大家新建一个文件,然后使用getfacl来查看这个文件
:
getfacl file
一个文件的标准权限就这这样,没有ACL的情况下
现在我们把redhat用户加上一个RWX的权限:
setfacl -m u:redhat:rwx file
和设置ACL前有哪些区别?
用ll看,权限后面有个+就可能是设置了文件权限,所以没必要没个文件都用gefacl 去看
用ll看,权限后面有个+就可能是设置了文件权限,所以没必要没个文件都用gefacl 去看
在查看acl的内容时候,我们看见多了行,redhat 用户有了rwx的权限
有兴趣的可以测试.
然后我们用相似的命令把redhat组也加进去.给他RW的权限:
setfacl -m g:redhat:rw file
现在我们取消redhat用户的权限:
setfacl -x redhat file
我们发现user:redhat:rwx这一行已经没有了哈~
现在我们也取消redhat组的权限:
setfacl -x g:redhat file
现在group:redhat:rw-这一行也没有了哈。
注意,撤消ACL操作:
对用户直接加用户名字就可以了
对组,在前面加g:组名
对用户直接加用户名字就可以了
对组,在前面加g:组名
本文转自redking51CTO博客,原文链接:
http://blog.51cto.com/redking/117945
,如需转载请自行联系原作者