3.1-3.9 用户相关

3.1 用户配置文件和密码配置文件

/etc/passwd是用户配置文件

[root@localhost ~]# cat /etc/passwd | head
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin

　　
　　在该文件中，每一行用户记录的各个数据段用“：”分隔，分别定义了用户的各方面属性。各个字段的顺序和含义如下：

用户名：口令：用户标识号：组标识号：注释说明：用户名：用户主目录：命令解释程序 

• 　　用户名（如第一行中的root就是用户名）：代表用户账号的字符串。用户名字符可以是大小写字母、数字、减号（不能出现在首位）、点以及下划线，其他字符不合法。虽然用户名中可以出现点，但不建议使用，尤其是首位为点时，另外减号也不建议使用，因为容易造成混淆。
• 　　口令(passwd)：存放的就是该账号的口令，为什么是 ‘x’ 呢？早期的unix系统口令确实是存放在这里，但基于安全因素，后来就将其存放到 ‘/etc/shadow’ 中了，在这里只用一个 ‘x’ 代替。

现在的Unix/Linux系统中，口令不再直接保存在passwd文件中，通常将passwd文件中的口令字段使用一个“x”来代替，将/etc /shadow作为真正的口令文件，用于保存包括个人口令在内的数据。当然shadow文件是不能被普通用户读取的，只有超级用户才有权读取。

　　此外，需要注意的是，如果passwd字段中的第一个字符是“*”的话，那么，就表示该账号被查封了，系统不允许持有该账号的用户登录。

• 　　用户标识号（UID）：这个数字代表用户标识号，也叫做uid。系统识别用户身份就是通过这个数字来的，0就是root，也就是说你可以修改test用户的uid为0，那么系统会认为root和test为同一个账户。通常uid的取值范围是0~65535(但实际上已经可以支持到4294967294)，0是超级用户（root）的标识号，1~499由系统保留，作为管理账号，普通用户的标识号从500开始，如果我们自定义建立一个普通用户，你会看到该账户的标识号是大于或等于500的。

• 　　组标识号(GID)：表示组标识号，也叫做gid。这个字段对应着/etc/group 中的一条记录，其实/etc/group和/etc/passwd基本上类似。

• 注释说明，该字段没有实际意义，通常记录该用户的一些属性，例如姓名、电话、地址等等。不过，当你使用finger的功能时就会显示这些信息的

• 　　用户的家目录，当用户登录时就处在这个目录下。root的家目录是/root，普通用户的家目录则为/home/username，这个字段是可以自定义的，比如你建立一个普通用户test1，要想让test1的家目录在/data目录下，只要修改/etc/passwd文件中test1那行中的该字段为/data即可。

• 　　shell，用户登录后要启动一个进程，用来将用户下达的指令传给内核，这就是shell。Linux的shell有很多种sh, csh, ksh, tcsh, bash等，而Redhat/CentOS的shell就是bash。查看/etc/passwd文件，该字段中除了/bin/bash外还有/sbin/nologin比较多，它表示不允许该账号登录。如果你想建立一个账号不让他登录，那么就可以把该字段改成/sbin/nologin，默认是/bin/bash.

/etc/shadow是密码配置文件

/etc/shadow文件格式与/etc/passwd文件格式类似，同样由若
干个字段组成，字段之间用“:”隔开。通过命令行输入sudo cat /etc/shadow进行文件内容查看：

root:!:17043:0:99999:7:::
daemon:*:16652:0:99999:7:::
bin:*:16652:0:99999:7:::
sys:*:16652:0:99999:7:::
sync:*:16652:0:99999:7:::
games:*:16652:0:99999:7:::
man:*:16652:0:99999:7:::
lp:*:16652:0:99999:7:::
mail:*:16652:0:99999:7:::
news:*:16652:0:99999:7:::
uucp:*:16652:0:99999:7:::
proxy:*:16652:0:99999:7:::
www-data:*:16652:0:99999:7:::
backup:*:16652:0:99999:7:::
list:*:16652:0:99999:7:::
irc:*:16652:0:99999:7:::
gnats:*:16652:0:99999:7:::
nobody:*:16652:0:99999:7:::
libuuid:!:16652:0:99999:7:::
syslog:*:16652:0:99999:7:::
messagebus:*:16652:0:99999:7:::
usbmux:*:16652:0:99999:7:::
dnsmasq:*:16652:0:99999:7:::
avahi-autoipd:*:16652:0:99999:7:::
kernoops:*:16652:0:99999:7:::
rtkit:*:16652:0:99999:7:::

文件中字段主要含义为：

用户名:加密口令:最后一次修改时间:最小时间间隔:最大时间间隔:警告时间:不活动时间:失效时间:标志

• 每个字段的含义是：

1. 用户名，跟/etc/passwd对应。

2. 用户密码，这个才是该账号的真正的密码，不过这个密码已经加密过了，但是有些黑客还是能够解密的。所以，该文件属性设置为000，但是root账户是可以访问或更改的。

    [root@localhost ~]# ls -l /etc/shadow---------- 1 root root 719 5月  10 09:02 /etc/shadow

3. 上次更改密码的日期，这个数字是这样计算得来的，距离1970年1月1日到上次更改密码的日期，例如上次更改密码的日期为2012年1月1日，则这个值就是 ‘365 x (2012-1970) + (2012-1970)/4 + 1 = 15341’. 因为如果是闰年，则有366天。

4. 要过多少天才可以更改密码，默认是0，即不限制。

5. 密码多少天后到期。即在多少天内必须更改密码，例如这里设置成30，则30天内必须更改一次密码，否则将不能登录系统，默认是99999，可以理解为永远不需要改。

6. 密码到期前的警告期限，若这个值设置成7，则表示当7天后密码过期时，系统就发出警告告诉用户，提醒用户他的密码将在7天后到期。

7. 账号失效期限。你可以这样理解，如果设置这个值为3，则表示：密码已经到期，然而用户并没有在到期前修改密码，那么再过3天，则这个账号就失效了，即锁定了。

8. 账号的生命周期，跟第三段一样，是按距离1970年1月1日多少天算的。它表示的含义是，账号在这个日期前可以使用，到期后账号作废。

9. 作为保留用的，没有什么意义。

---

3.2 用户组管理

新增一个组

命令 : groupadd

语法 : groupadd [-g GID] groupname

[root@localhost ~]# groupadd grptest1
[root@localhost ~]# tail -n1 /etc/group
grptest1:x:502:

不加 “-g” 选项则按照系统默认的gid创建组，跟用户一样，gid也是从500开始的。

[root@localhost ~]# groupadd -g 511 grptest2
[root@localhost ~]# tail -n2 /etc/group
grptest1:x:502:
grptest2:x:511:

“-g” 选项可以自定义gid.

删除一个组

命令 : groupdel

[root@localhost ~]# groupdel grptest2
[root@localhost ~]# tail -n3 /etc/group
testgroup:x:500:
user1:x:501:
grptest1:x:502:

该命令没有特殊选项，但有一种情况不能删除组：

[root@localhost ~]# groupdel user1
groupdel: cannot remove the primary group of user 'user1'

这是因为user1组中包含user1账户，只有删除user1账户后才可以删除该组。

---

3.3 用户管理

增加账户

命令 : useradd

语法 : useradd [-u UID] [-g GID] [-d HOME] [-M] [-s]

‘-u’ 自定义UID

‘-g’ 使其属于已经存在的某个组，后面可以跟组id, 也可以跟组名

‘-d’ 自定义用户的家目录

‘-M’ 不建立家目录

‘-s’ 自定义shell

[root@localhost ~]# useradd test10
[root@localhost ~]# tail -n1 /etc/passwd
test10:x:500:503::/home/test10:/bin/bash
[root@localhost ~]# tail -n1 /etc/group
test10:x:503:

‘useradd’ 不加任何选项直接跟用户名，则会创建一个跟用户名同样名字的组。

[root@localhost ~]# useradd -u510 -g 513 -M -s /sbin/nologin user11
useradd: group '513' does not exist
[root@localhost ~]# useradd -u510 -g 502 -M -s /sbin/nologin user11
[root@localhost ~]# useradd -u511 -g grptest1 user12
[root@localhost ~]# tail -n2 /etc/passwd
user11:x:510:502::/home/user11:/sbin/nologin
user12:x:511:502::/home/user12:/bin/bash
[root@localhost ~]# tail -n2 /etc/group
grptest1:x:502:
test10:x:503:

‘-g’ 选项后面跟一个不存在的gid会报错，提示该组不存在。刚刚上面说过 ‘-M’ 选项加上后则不建立用户家目录，但是在/etc/passwd文件中仍然有这个字段。但是你使用 ls /home/user11 查看一下会提示该目录不存在。所以 ‘-M’ 选项的作用只是不创建那个目录。

[root@localhost ~]# ls /home/user11
ls: 无法访问/home/user11: 没有那个文件或目录

删除账户

命令 : userdel

语法 : userdel [-r] username

[root@localhost ~]# ls -ld /home/user12
drwx------ 3 user12 grptest1 4096 5月  11 07:12 /home/user12
[root@localhost ~]# userdel user12
[root@localhost ~]# ls -ld /home/user12
drwx------ 3 511 grptest1 4096 5月  11 07:12 /home/user12
[root@localhost ~]# ls -ld /home/test10/
drwx------ 3 test10 test10 4096 5月  11 07:09 /home/test10/
[root@localhost ~]# userdel  -r test10
[root@localhost ~]# ls -ld /home/test10/
ls: 无法访问/home/test10/: 没有那个文件或目录

---

3.4 usermod命令

usermod命令用于修改用户的基本信息。usermod命令不允许你改变正在线上的使用者帐号名称。当usermod命令用来改变user id，必须确认这名user没在电脑上执行任何程序。你需手动更改使用者的crontab档。也需手动更改使用者的at工作档。采用NIS server须在server上更动相关的NIS设定。

• 语法

  usermod(选项)(参数)

• 选项

  -c<备注>：修改用户帐号的备注文字；
  -d<登入目录>：修改用户登入时的目录；
  -e<有效期限>：修改帐号的有效期限；
  -f<缓冲天数>：修改在密码过期后多少天即关闭该帐号；
  -g<群组>：修改用户所属的群组；
  -G<群组>；修改用户所属的附加群组；
  -l<帐号名称>：修改用户帐号名称；
  -L：锁定用户密码，使密码无效；
  -s：修改用户登入后所使用的shell； -u：修改用户ID；
  -U:解除密码锁定。

• 参数

  登录名：指定要修改信息的用户登录名。

• 实例

1. 将newuser2添加到组staff中：

usermod -G staff newuser2

2. 修改newuser的用户名为newuser1：

usermod -l newuser1 newuser

3. 锁定账号newuser1：

usermod -L newuser1

4. 解除对newuser1的锁定：

usermod -U newuser1

5. 改变用户newuser1的uid：

usermod -u 777 newuser1

---

3.5 用户密码管理

更改用户密码

• root用户下更改root用户密码

passwd       直接敲passwd命令就会提示更改密码了

• root用户下更改普通用户user1密码

passwd user1     需要passwd后面接需要更改的普通用户用户名

passwd常用命令

passwd命令用于设置用户的认证信息，包括用户密码、密码过期时间等。系统管理者则能用它管理系统用户的密码。只有管理者可以指定用户名称，一般用户只能变更自己的密码。

• 语法

  passwd(选项)(参数)

• 选项

  -d：删除密码，仅有系统管理者才能使用；

  -f：强制执行；

  -k：设置只有在密码过期失效后，方能更新；

  -l：锁住密码；

  -s：列出密码的相关信息，仅有系统管理者才能使用；

  -u：解开已上锁的帐号。

  --stdin:（写shell脚本可能用到这个）

  比如：echo 12345 |passwd --stdin user1,这样就避免了交互，直接一条命令就修改密码了，使用到了管道符|。

• 参数

  用户名：需要设置密码的用户名。

• 实例

如：

passwd -l user1    锁定user1

1. 如果是普通用户执行passwd只能修改自己的密码。如果新建用户后，要为新用户创建密码，则用passwd用户名，注意要以root用户的权限来创建。

2. 普通用户如果想更改自己的密码，直接运行passwd即可，比如当前操作的用户是linuxde。

3. 如果我们想让某个用户不能修改密码，可以用-l选项来锁定

4. 当我们清除一个用户的密码时，登录时就无需密码，这一点要加以注意。

---

下面是/etc/shadow的一个例子：

＃cat/etc/shadow

root:Dnakfw28zf38w:8764:0:168:7:::
daemon:*::0:0::::
bin:*::0:0::::
sys:*::0:0::::
adm:*::0:0::::
uucp:*::0:0::::
nuucp:*::0:0::::
auth:*::0:0::::
cron:*::0:0::::
listen:*::0:0::::
lp:*::0:0::::
sam:EkdiSECLWPdSa:9740:0:0::

*号代表密码是被passwd命令锁定的，：：代表没有密码，中间是空的，！号是被usermod命令锁定的。这三种情况都是不能登陆这个用户的。

知识总结

与用户、组账户信息相关的文件

存放用户信息：

/etc/passwd

/etc/shadow

存放组信息：

/etc/group

/etc/gshadow

---

3.6 mkpasswd命令

这个命令可以制作一个随机字符串，我们可以用作密码，可以生成一个强度很高的密码，shell脚本中常用。

1. 先安装这个命令的包，默认是不存在这个命令的

yum install -y expect

2.如果使用这个命令

mkpasswd       会默认生成一个9位的密码

mkpasswd -12   也可以指定字符串长度，比如12位

mkpasswd -12 -s 3    也可以指定生成的字符串其中有多少个特殊符号

---

3.7 su命令

su命令用于切换当前用户身份到其他用户身份，变更时须输入所要变更的用户帐号与密码。

语法

su(选项)(参数) 

选项

-c<指令>或--command=<指令>：执行完指定的指令后，即恢复原来的身份； 

-f或——fast：适用于csh与tsch，使shell不用去读取启动文件； 

-l或——login：改变身份时，也同时变更工作目录，以及HOME,SHELL,USER,logname。此外，也会变更PATH变量； 

-m,-p或--preserve-environment：变更身份时，不要变更环境变量； 

-s或--shell=：指定要执行的shell； 

--help：显示帮助； 

--version；显示版本信息。 

参数

用户：指定要切换身份的目标用户。 

实例

• 变更帐号为root并在执行ls指令后退出变回原使用者：

  su -c ls root

• 变更帐号为root并传入-f选项给新执行的shell：

  su root -f

• 变更帐号为test并改变工作目录至test的家目录：

  su -test

---

---

3.9 sudo命令

用su是可以切换用户身份，如果每个普通用户都能切换到root身份，如果某个用户不小心泄漏了root的密码，那岂不是系统非常的不安全？没有错，为了改进这个问题，产生了sudo这个命令。使用sudo执行一个root才能执行的命令是可以办到的，但是需要输入密码，这个密码并不是root的密码而是用户自己的密码。默认只有root用户能使用sudo命令，普通用户想要使用sudo，是需要root预先设定的，即，使用 visudo 命令去编辑相关的配置文件/etc/sudoers. 如果没有visudo这个命令，请使用 yum install -y sudo 安装。

默认root能够sudo是因为这个文件中有一行 “root ALL=(ALL) ALL” 在该行下面加入 “test ALL=(ALL) ALL” 就可以让test用户拥有了sudo的权利。使用 “visudo” 命令编辑/etc/sudoers配置文件，它的操作方法和 “vi” 命令使用方法是一样的，按 ‘i’ 进入编辑模式，编辑完成后，按 “Esc” ，再输入 ”:wq” 完成保存。

## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
test    ALL=(ALL)       ALL

此时可以验证一下test账户的权限了。

[root@localhost ~]# su test
[test@localhost root]$ ls
ls: 无法打开目录.: 权限不够
[test@localhost root]$ sudo ls

We trust you have received the usual lecture from the local System
Administrator. It usually boils down to these three things:

    #1) Respect the privacy of others.
    #2) Think before you type.
    #3) With great power comes great responsibility.

[sudo] password for test:
123  456  789  anaconda-ks.cfg  dirb  install.log  install.log.syslog  test  test1  test2  test3

由于切换到test账户后的当前目录依旧是在/root 下，test账户没有任何权限，所以 ‘ls’ 的时候提示说权限不够，然而使用 sudo ls 输入test账户自身的密码后就有权限了。初次使用sudo 时会有上面的一大段提示，而后再次使用sudo 命令则不再提示。

如果每增加一用户就设置一行，这样太麻>烦了。所以你可以这样设置。把 “# %wheel ALL=(ALL) ALL” 前面的 ‘# ‘ 去掉，让这一行生效。它的意思是，wheel这个组的所有用户都拥有了sudo的权利。接下来就需要你把想让有sudo权利的所有用户加入到wheel这个组中即可。

## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL

配置文件/etc/sudoers包含了诸多配置项，可以使用命令 man sudoers 来获得帮助信息。

只允许使用普通账户登陆，而普通账户登录后，可以不输入密码就能sudo切换到root账户。如下配置：

[root@localhost ~]# visudo

然后在文件的最后面加入三行：

User_Alias USER_SU = test, test1, gaohanwei
Cmnd_Alias SU = /bin/su
USER_SU ALL=(ALL) NOPASSWD: SU

保存配置文件后，使用test, test1, gaohanwei 三个账户登陆Linux后，执行命令 sudo su - 切换到root账户，获取root账户的所有权利。

[root@localhost ~]# su - test
[test@localhost ~]$ sudo su -
[root@localhost ~]# whoami
root

PS:如果不想让root很简单的直接登录，我们就可以使用keypass工具来保存记录一个很复杂的密码。

---

3.9 不允许root远程登录linux

/etc/ssh/sshd_config为sshd服务的配置文件，默认允许root账户通过ssh远程登录linux。要想不允许root用户远程登录linux，具体操作方法如下：
修改配置文件/etc/ssh/sshd_config,在文件中查找#PermitRootLoginyes并修改为PermitRootLogin no。保存配置文件后，需要重启sshd服务，如下：

#systemctl restart sshd.service

这种方法只适用于通过ssh远程登录Linux的情况。