用户user
管理员：root, 0
普通用户：1-60000 自动分配
登陆用户：1-499, 1-999 （CentOS7） 对守护进程获取资源进行权限分配
普通用户：500+, 1000+（CentOS7） 交互式登录
组group
管理员组：root, 0
普通组： 系统组：1-499, 1-999（CENTOS7）
普通组：500+, 1000+（CENTOS7）
组的类别
用户的主要组(primary group) 用户必须属于一个且只有一个主组 组名同用户名，且仅包含一个用户，
私有组 用户的附加组(supplementary group) 一个用户可以属于零个或多个辅助组
用户和组的配置文件
Linux用户和组的主要配置文件：
/etc/passwd：用户及其属性信息(名称、UID、主组ID等）
/etc/group：组及其属性信息
/etc/shadow：用户密码及其相关属性
/etc/gshadow：组密码及其相关属性
passwd文件格式
login name：登录用名（wang）
passwd：密码 (x)
UID：用户身份编号 (1000)
GID：登录默认所在组编号 (1000)
GECOS：用户全名或注释
home directory：用户主目录 (/home/wang)
shell：用户默认使用shell (/bin/bash)
shadow文件格式
登录用名
用户密码:一般用sha512加密
从1970年1月1日起到密码最近一次被更改的时间
密码再过几天可以被变更（0表示随时可被变更）
密码再过几天必须被变更（99999表示永不过期）
密码过期前几天系统提醒用户（默认为一周）
密码过期几天后帐号会被锁定
从1970年1月1日算起，多少天后帐号失效
group文件格式
群组名称：就是群组名称
群组密码：通常不需要设定，密码是被记录在 /etc/gshadow
GID：就是群组的 ID 以当前组为附加组的用户列表(分隔符为逗号)
gshdow文件格式
群组名称：就是群组名称
群组密码：一般不设定
组管理员列表：组管理员的列表，更改组密码和成员
以当前组为附加组的用户列表：(分隔符为逗号)
用户创建：useradd
useradd [options] LOGIN
-u UID
-o 配合-u 选项，不检查UID的唯一性
-g GID：指明用户所属基本组，可为组名，也可以GID
-c “COMMENT”：用户的注释信息
-d HOME_DIR: 以指定的路径(不存在)为家目录
-s SHELL: 指明用户的默认shell程序，可用列表在/etc/shells文件中
-G GROUP1[,GROUP2,…]：为用户指明附加组，组须事先存在
-N 不创建私用组做主组，使用users组做主组
-r: 创建系统用户 CentOS 6: ID<500，CentOS 7: ID<1000
-m 创建家目录，用于系统用户（默认在/home目录下）
-M 不创建家目录，用于非系统用户
新建用户的相关文件和命令
/etc/default/useradd
/etc/skel/*
/etc/login.defs
newusers passwd格式文件 批量创建用户
chpasswd 批量修改用户口令
用户属性修改
usermod [OPTION] login
-u UID: 新UID
-g GID: 新主组
-G GROUP1[,GROUP2,…[,GROUPN]]]：新附加组，原来的附加组将会被 覆盖；若保留原有，则要同时使用-a选项
-s SHELL：新的默认SHELL
-c ‘COMMENT’：新的注释信息
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据， 同时使用-m选项
-l login_name: 新的名字；
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限
删除用户
userdel [OPTION]… login
-r: 删除用户家目录
查看用户相关的ID信息
id [OPTION]… [USER]
-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID -
n: 显示名称，需配合ugG使用
切换用户或以其他用户身份执行命令
su [options…] [-] [user [args…]]
切换用户的方式：
su UserName：非登录式切换，
即不会读取目标用户的配置文件，不改变 当前工作目录
su - UserName：登录式切换，
会读取目标用户的配置文件，切换至家目 录，完全切换
root su至其他用户无须密码；
非root用户切换时需要密码
换个身份执行命令：
su [-] UserName -c ‘COMMAND’
设置密码
passwd [OPTIONS] UserName: 修改指定用户的密码
常用选项：
-d：删除指定用户密码（创建用户使用-d选项清除可实现空密码登陆）
-l：锁定指定用户
-u：解锁指定用户
-e：强制用户下次登录修改密码
-f：强制操作
-n mindays：指定最短使用期限
-x maxdays：最大使用期限
-w warndays：提前多少天开始警告
-i inactivedays：非活动期限
–stdin：从标准输入接收用户密码 echo “PASSWORD” | passwd --stdin USERNAME
创建组
groupadd [OPTION]… group_name
-g GID: 指明GID号；[GID_MIN, GID_MA]
-r: 创建系统组 CentOS 6: ID<500 CentOS 7: ID<1000
修改和删除组
组属性修改：groupmod groupmod [OPTION]… group -n group_name: 新名字 -g GID: 新的GID
组删除：groupdel groupdel GROUP
更改组密码
组密码：gpasswd
gpasswd [OPTION] GROUP
-a user 将user添加至指定组中
-d user 从指定组中移除用户user -A user1,user2,… 设置有管理权限的用户列表
修改文件的属主和属组
修改文件的属主：chown
chown [OPTION]… [OWNER][:[GROUP]] FILE…
chown root f1
用法：
OWNER
OWNER:GROUP
:GROUP 命令中的冒号可用.替换
-R: 递归
修改文件的属组：chgrp
chgrp [OPTION]… GROUP FILE…
chgrp [OPTION]… --reference=RFILE FILE…
或 chown :root f1
(属主属组一块修改(chown root:root f1)
-R 递归
文件权限
文件的权限主要针对三类对象进行定义
owner: 属主, u
group: 属组, g
other: 其他, o
a 代表所有用户统一设置权限
每个文件针对每类访问者都定义了三种权限
r: Readable
w: Writable
x: eXcutable
文件权限
文件：
r: 可使用文件查看类工具获取其内容
w: 可修改其内容
x: 可以把此文件提请内核启动为一个进程
目录：
r: 可以使用ls查看此目录中文件列表
w: 可在此目录中创建文件，也可删除此目录中的文件
x: 可以使用ls -l查看此目录中文件元数据（须配合r），可以cd进入此目录 X:只给目录x权限，不给文件x权限
chmod X-只给文件夹增加执行权限
如果一个文件已经有x权限 X会继续增加执行权限
权限属性后面加. 跟selinux有关
权限属性后面加+ 跟ACL有关
执行权限如果没有 root 也不能执行
修改文件权限
chmod [OPTION]… OCTAL-MODE FILE…
-R: 递归修改权限
chmod [OPTION]… MODE[,MODE]… FILE… MODE：
修改一类用户的所有权限： u= g= o= ug= a= u=,g=
修改一类用户某位或某些位权限 u+ u- g+ g- o+ o- a+ a-
新建文件和目录的默认权限
umask值 可以用来保留在创建文件权限
新建FILE权限: 666-umask (默认清空下文件不给执行权限防止意外)
如果所得结果某位存在执行（奇数）权限，则将其权限+1
新建DIR权限: 777-umask
非特权用户umask是 002
root的umask 是 022
umask: 查看
umask #: 设定 umask 002
umask –S 模式方式显示
umask –p 输出可被调用
全局设置： /etc/bashrc
用户设置：~/.bashrc(修改完成需注销才可以生效 或者使用. .bashrc 刷新一下)
Linux文件系统上的特殊权限
SUID, SGID, Sticky
三种常用权限：r, w, x user, group, other
安全上下文
前提：进程有属主和属组；文件有属主和属组
(1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有 执行权限
(2) 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
(3) 进程访问文件时的权限，取决于进程的发起者 (a) 进程的发起者，同文件的属主：则应用文件属主权限 (b) 进程的发起者，属于文件属组；则应用文件属组权限 © 应用文件“其它”权限
可执行文件上SUID权限
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有 执行权限 启动为进程之后，其进程的属主为原程序文件的属主 SUID只对二进制可执行程序有效 SUID设置在目录上无意义
(设置suid权限后,普通用户执行此程序将使用此文件属主权限执行)
权限设定 chmod u+s FILE… (chmod 4+文件权限 file )
chmod u-s FILE…
可执行文件上SGID权限
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有 执行权限 启动为进程之后，其进程的属组为原程序文件的属组
(设置suid权限后,普通用户执行此程序将使用此文件属组权限执行)
权限设定：chmod g+s FILE… (chmod 2+文件权限 file)
chmod g-s FILE…
目录上的SGID权限
默认情况下，用户创建文件时，其属组为此用户所属的主组 一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件 所属的组为此目录的属组 通常用于创建一个协作目录
( 当用户在此目录新建文件时，此新建文件夹的所属组继承目录的所属组)
权限设定： chmod g+s DIR…
chmod g-s DIR…
Sticky 位
具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限 或拥有权
在目录设置Sticky 位，只有文件的所有者或root可以删除该文件 sticky 设置在文件上无意义
权限设定：chmod o+t DIR…
chmod o-t DIR…
权限位映射
SUID:
user,占据属主的执行权限位
s：属主拥有x权限
S：属主没有x权限
SGID: group,占据属组的执行权限位
s： group拥有x权限
S：group没有x权限
Sticky: other,占据other的执行权限位
t：other拥有x权限
T：other没有x权限
设定文件特定属性
(改变文件的元数据,通常作用在重要文件上,防止root意外删除)
chattr +i 不能删除，改名，更改
chattr +a 只能追加内容 lsattr 显示特定属性
ACL：Access Control List，
实现灵活的权限管理 除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加 tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
tune2fs -l 设备名称（查看分区是否支持ACL）仅EXT系列文件系统
(ext系列文件系统安装系统时创建的分区默认支持,手工创建的不支持)
ACL生效顺序：所有者，自定义用户，默认文件属组,自定义组，其他人
访问控制列表
为多用户或者组的文件和目录赋予访问权限rwx
mount -o acl /directory 挂载acl
getfacl file |directory 查看文件及目录ACL
setfacl -m u:wang:rwx file|directory 设定用户ACL权限
setfacl -Rm g:sales:rwX directory 递归设置
setfacl -M file.acl file|directory
setfacl -m g:salesgroup:rw file| directory 设定组ACL权限
setfacl -m d:u:wang:rx directory
setfacl -x u:wang file |directory 删除ACL
setfacl -X file.acl directory
ACL文件上的group权限是mask 值
（自定义用户，自定义组，拥有组的最大权 限）,而非传统的组权限
getfacl 可看到特殊权限：flags 通过ACL赋予目录默认x权限，目录内文件也不会继承x权限
base ACL 不能删除
setfacl -k dir 删除默认ACL权限
setfacl –b file1清除所有ACL权限
getfacl file1 | setfacl --set-file=- file2 复制file1的acl权限给file2
mask只影响除所有者和other的之外的人和组的最大权限
Mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission) 用户或组的设置必须存在于mask权限设定范围内才会生效
setfacl -m mask::rx file (设定mask)
备份和恢复ACL
主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。
但是 tar等常见的备份工具是不会保留目录和文件的ACL信息
getfacl -R /tmp/dir1 > acl.txt
setfacl -R -b /tmp/dir1
setfacl -R --set-file=acl.txt /tmp/dir1
setfacl --restore acl.txt
getfacl -R /tmp/dir1