<font color=red>權限總結表</font>
操做 源目錄權限 文件權限 目標目錄權限
rm刪文件 wx - -
mv更名 wx - -
mv移動文件 wx r wx
cp複製文件 x r wxmysql
生成文件 wx - -linux
追加內容到文件 x w -
覆蓋文件內容 x w -
vim編輯 x rw -
執行二進制文件 x x -
執行shell腳本 x rx -
知識點:useradd,getent,恢復家目錄,加入附加組,刪除附加組,文件目錄權限,複製文件須要的最小權限,umask,Linux特殊權限SUID,SGID,Sticky BIT;Linux特殊屬性設置與查看:chatr,lsattr;ACL權限;文件訪問的權限順序;nginx
cal、chown、chmod、chattr、lsattr、chpasswd、chsh(usermod -s)、chage、getent、getfacl、setfacl、groups、groupmems、groupadd、groupdel、gpasswd、head、less、more、nl、newgrp、newusers、od、tac、tail、umask、usermod、userdel、git
用戶、組
查看httpd的安裝腳本
[root@centos7 ~]# rpm -q --scripts httpd
preinstall scriptlet (using /bin/sh):web
/usr/sbin/groupadd -g 48 -r apache 2> /dev/null || :
/usr/sbin/useradd -c "Apache" -u 48 -g apache \
-s /sbin/nologin -r -d /usr/share/httpd apache 2> /dev/null || :
postinstall scriptlet (using /bin/sh):面試
if [ $1 -eq 1 ] ; then sql
systemctl preset httpd.service htcacheclean.service >/dev/null 2>&1 || :
fi
preuninstall scriptlet (using /bin/sh):shell
if [ $1 -eq 0 ] ; then 數據庫
systemctl --no-reload disable httpd.service htcacheclean.service > /dev/null 2>&1 || : systemctl stop httpd.service htcacheclean.service > /dev/null 2>&1 || :
fi
postuninstall scriptlet (using /bin/sh):apache
systemctl daemon-reload >/dev/null 2>&1 || :
posttrans scriptlet (using /bin/sh):
test -f /etc/sysconfig/httpd-disable-posttrans || \
/bin/systemctl try-restart httpd.service htcacheclean.service >/dev/null 2>&1 || :
/usr/sbin/groupadd -g 48 -r apache 2> /dev/null
groupadd建立組,-g指定gid,-r指定系統組,apache爲建立的組名。2>/dev/null不打印錯誤信息
/usr/sbin/useradd -c "Apache" -u 48 -g apache -s /sbin/nologin -r -d /usr/share/httpd apache 2> /dev/null
useradd建立用戶,-c"Apache"爲用戶說明,-u 48指定uid,-g apache指定主組,-s /sbin/nologin指定用戶默認shell類型,-r指定爲系統用戶,-d /usr/share/httpd 指定該用戶的家目錄,2>/dev/null不輸出錯誤信息
ubuntu建立用戶:useradd -ms /bin/bash zhangsan,ubuntu默認建立用戶不建立家目錄,要加-m參數,默認shell爲sh,要使用-s /bin/bash指定shell
useradd -r -s /sbin/nologin mysql
建立系統類型的mysql用戶,shell類型爲/sbin/nologin
修改密碼:
一、passwd --stdin(ubuntu不支持)
[root@centos7 ~]# echo 123 | passwd --stdin alice
更改用戶 alice 的密碼 。
passwd:全部的身份驗證令牌已經成功更新。
二、chpasswd(通用型ubuntu和centos均可以)
chpasswd能夠用於批量改密碼
[root@centos7 ~]# echo alice:123 | chpasswd
三、passwd -q(通用型)
[root@centos7 ~]# echo -e "123\n123" | passwd alice
更改用戶 alice 的密碼 。
新的 密碼:無效的密碼: 密碼少於 8 個字符
從新輸入新的 密碼:passwd:全部的身份驗證令牌已經成功更新。
四、passwd其餘參數
usermod -L也能夠實現鎖定用戶,usermod -U也能夠實現解鎖用戶
-e:讓某用戶密碼過時,下次登錄必須改密碼。passwd -e alice
-l:鎖定用戶,下次沒法登錄。passwd -l alice.
-u:與-l相反,解鎖用戶。passwd -u alice
newusers批量建立用戶,chpasswd批量改密碼
經過passwd格式的文件批量建立用戶
[root@centos7 ~]# cat users.txt
wangmazi:x:2000:2000:wangmazi:/home/wangmazi:/bin/bash
wangmazi2:x:2001:2001:wangmazi2:/home/wangmazi2:/bin/bash
[root@centos7 ~]# newusers users.txt
[root@centos7 ~]# id wangmazi
uid=2000(wangmazi) gid=2000(wangmazi) 組=2000(wangmazi)
[root@centos7 ~]# id wangmazi2
uid=2001(wangmazi2) gid=2001(wangmazi2) 組=2001(wangmazi2)
[root@centos7 ~]# cat passwd.txt
wangmazi:123
wangmazi2:123
[root@centos7 ~]# cat passwd.txt | chpasswd
[root@centos7 ~]# getent shadow wangmazi
wangmazi:$6$GTDPf/xUtOE$2XBjr7prZI0mr3M4SH1z4/Gmhoyut/IWv6YOKQd1jhGYl8NweXhIH7sFQDbATniaKlR4ZPHlnJZTqhOJpDLyC1:18104:0:99999:7:::
[root@centos7 ~]# getent shadow wangmazi2
wangmazi2:$6$CZ6RG/ndilFV2s$gsl4mVNkE/QlctHn6EQDw74uilWofVSjuw8bYOfeh3LqUP8INw7R46THhzfSY88AYvpJMHSM43Psgu1Y5ODBw1:18104:0:99999:7:::
建立目錄的隱藏文件哪來的?
/etc/skel/目錄來的,但願新建的用戶家目錄有某某某文件,把文件放到/etc/skel目錄便可
[root@centos7 ~]# ls /home/alice/ -a
. .bash_logout .bashrc 模板
.. .bash_profile .mozilla
[root@centos7 ~]# ls /etc/skel/ -a
. .bash_logout .bashrc 模板
.. .bash_profile .mozilla
用戶的默認配置,默認家目錄,默認shell,默認mail等等在哪裏配置?
/etc/login.defs /etc/useradd
[root@centos7 ~]# grep -Ev "^$|#" /etc/login.defs
MAIL_DIR /var/spool/mail
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
UID_MIN 1000
UID_MAX 60000
SYS_UID_MIN 201
SYS_UID_MAX 999
GID_MIN 1000
GID_MAX 60000
SYS_GID_MIN 201
SYS_GID_MAX 999
CREATE_HOME yes
UMASK 077
USERGROUPS_ENAB yes
ENCRYPT_METHOD SHA512
[root@centos7 ~]# grep -Ev "^$|#" /etc/default/useradd
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes
getent查看某用戶的passwd庫、shadow庫、group庫等信息
更多能夠看getent --help
[root@centos7 ~]# getent passwd alice
alice:x:2006:2006::/home/alice:/bin/bash
[root@centos7 ~]# getent group alice
alice:x:2006:
[root@centos7 ~]# getent shadow alice
alice:!!:18104:0:99999:7:::
useradd幫助
不想建立家目錄可使用-M,ubuntu默認就不建立家目錄,centos默認會建立家目錄
[root@centos7 ~]# useradd --help
用法:useradd [選項] 登陸
useradd -D
useradd -D [選項]
選項:
-b, --base-dir BASE_DIR 新帳戶的主目錄的基目錄
-c, --comment COMMENT 新帳戶的 GECOS 字段
-d, --home-dir HOME_DIR 新帳戶的主目錄
-D, --defaults 顯示或更改默認的 useradd 配置
-e, --expiredate EXPIRE_DATE 新帳戶的過時日期
-f, --inactive INACTIVE 新帳戶的密碼不活動期
-g, --gid GROUP 新帳戶主組的名稱或 ID
-G, --groups GROUPS 新帳戶的附加組列表
-h, --help 顯示此幫助信息並推出
-k, --skel SKEL_DIR 使用此目錄做爲骨架目錄
-K, --key KEY=VALUE 不使用 /etc/login.defs 中的默認值
-l, --no-log-init 不要將此用戶添加到最近登陸和登陸失敗數據庫
-m, --create-home 建立用戶的主目錄
-M, --no-create-home 不建立用戶的主目錄
-N, --no-user-group 不建立同名的組
-o, --non-unique 容許使用重複的 UID 建立用戶
-p, --password PASSWORD 加密後的新帳戶密碼
-r, --system 建立一個系統帳戶
-R, --root CHROOT_DIR chroot 到的目錄
-s, --shell SHELL 新帳戶的登陸 shell
-u, --uid UID 新帳戶的用戶 ID
-U, --user-group 建立與用戶同名的組
-Z, --selinux-user SEUSER 爲 SELinux 用戶映射使用指定 SEUSER
給alice用戶添加三個附加組:root,bob,jerry
usermod命令若是僅使用-G選項,新的附加組會替換舊的附加組,-aG表示追加附加組,不影響原有的附加組。-G ""能夠清除該用戶的全部附加組
[root@centos7 ~]# usermod -aG root,bob,jerry alice
查看alice加入了那些組
[root@centos7 ~]# id alice
uid=2006(alice) gid=2006(alice) 組=2006(alice),0(root),1006(bob),1007(jerry)
查看root組有哪些附加用戶
[root@centos7 ~]# getent group root
root:x:0:gentoo,alice
[root@centos7 ~]# groupmems -g root -l
gentoo alice
把alice踢出root組
[root@centos7 ~]# groupmems -g root -d alice
[root@centos7 ~]# id alice
uid=2006(alice) gid=2006(alice) 組=2006(alice),1006(bob),1007(jerry)
清除alice的全部附加組
使用空來替換alice原有的附加組,
[root@centos7 ~]# usermod -G "" alice
[root@centos7 ~]# id alice
uid=2006(alice) gid=2006(alice) 組=2006(alice)
groupmems幫助
[root@centos7 ~]# groupmems --help
用法:groupmems [選項] [動做]
選項:
-g, --group groupname 更改組 groupname,而不是用戶的組(只 root)
-R, --root CHROOT_DIR chroot 到的目錄
動做:
-a, --add username 將用戶 username 添加到組成員中
-d, --delete username 從組的成員中刪除用戶 username
-h, --help 顯示此幫助信息並推出
-p, --purge 從組中移除全部成員
-l, --list 列出組中的全部成員
若是alice家目錄被刪,家目錄沒東西,如何快速恢復alice家目錄
一、/etc/skel恢復
[root@centos7 ~]# rm -rf /home/alice/
[root@centos7 ~]# cp /etc/skel /home/alice -a
[root@centos7 ~]# chmod 700 /home/alice
[root@centos7 ~]# chown alice:alice /home/alice -R
二、新建用戶恢復
[root@centos7 ~]# rm -rf /home/alice/
[root@centos7 ~]# useradd rose
[root@centos7 ~]# cp /home/{rose,alice} -a
[root@centos7 ~]# chown alice:alice /home/alice -R
[root@centos7 ~]# userdel -r rose
定義別名,防止rm誤刪
[root@centos7 ~]# mkdir /data/.trash -p
[root@centos7 ~]# echo "alias rm='mv -t /data/.trash'" >> ~/.bashrc
[root@centos7 ~]# . ~/.bashrc
[root@centos7 ~]# rm hello.txt
[root@centos7 ~]# ls /data/.trash/
hello.txt
經過id命令判斷用戶是否存在,不存在則建立
-u -G
[root@centos7 ~]# id root
uid=0(root) gid=0(root) 組=0(root)
[root@centos7 ~]# id wang
uid=1003(wang) gid=1003(wang) 組=1003(wang),10(wheel)
切換用戶
一、su wang(不徹底切換,相似於出差)
切換到wang用戶,PATH變量,環境不變,當前目錄不變
二、su -l wang(徹底切換,相似於搬家)
-l即--login,表示徹底切換,能夠縮寫成su - wang,
三、nologin的用戶不能切
系統用戶通常都是nologin,不能切換
四、臨時切換root執行個命令
[qqq@centos7 ~]$ su - -c "cat /etc/shadow"
修改用戶密碼策略chage
chage
[root@centos7 ~]# chage --help
用法:chage [選項] 登陸
選項:
-d, --lastday 最近日期 將最近一次密碼設置時間設爲「最近日期」
-E, --expiredate 過時日期 將賬戶過時時間設爲「過時日期」
-h, --help 顯示此幫助信息並推出
-I, --inactive INACITVE 過時 INACTIVE 天數後,設定密碼爲失效狀態
-l, --list 顯示賬戶年齡信息
-m, --mindays 最小天數 將兩次改變密碼之間相距的最小天數設爲「最小天數」
-M, --maxdays 最大天數 將兩次改變密碼之間相距的最大天數設爲「最大天數」
-R, --root CHROOT_DIR chroot 到的目錄
-W, --warndays 警告天數 將過時警告天數設爲「警告天數」
chfn指定我的信息
chsh修改用戶shell,等於usermod -s
newgrp
建立用戶gentoo,附加組爲bin和root,默認shell爲/bin/csh,註釋信息爲」Gentoo Distribution「
[root@centos7 ~]# getent passwd gentoo
[root@centos7 ~]# useradd gentoo -G bin,root -s /bin/csh -c "Gentoo Distribution"
[root@centos7 ~]# getent passwd gentoo
gentoo:x:2007:2007:Gentoo Distribution:/home/gentoo:/bin/csh
建立下面的用戶、組、成員關係
名字爲webs的組
用戶nginx,使用webs做爲附加組
用戶varnish,使用webs做爲附加組
用戶mysql,不可交互登錄系統,不是webs組成員。nginx,mysql,varnish密碼都是magedu
[root@centos7 ~]# getent group webs
webs:x:2008:
[root@centos7 ~]# getent passwd nginx varnish mysql
nginx:x:987:981:nginx user:/var/cache/nginx:/sbin/nologin
mysql:x:986:980::/home/mysql:/sbin/nologin
[root@centos7 ~]# userdel -r nginx
[root@centos7 ~]# groupdel webs
[root@centos7 ~]#
[root@centos7 ~]# groupadd webs
[root@centos7 ~]# useradd -G webs nginx
[root@centos7 ~]# useradd -G webs mysql
[root@centos7 ~]# userdel -r mysql
[root@centos7 ~]# useradd -G webs varnish
[root@centos7 ~]# useradd -s /sbin/nologin mysql
[root@centos7 ~]# echo magedu | passwd --stdin nginx
更改用戶 nginx 的密碼 。
passwd:全部的身份驗證令牌已經成功更新。
[root@centos7 ~]# echo magedu | passwd --stdin mysql
更改用戶 mysql 的密碼 。
passwd:全部的身份驗證令牌已經成功更新。
[root@centos7 ~]# echo magedu | passwd --stdin varnish
更改用戶 varnish 的密碼 。
passwd:全部的身份驗證令牌已經成功更新。
[root@centos7 ~]# getent passwd nginx varnish mysql
nginx:x:2008:2009::/home/nginx:/bin/bash
varnish:x:2009:2010::/home/varnish:/bin/bash
mysql:x:2010:2011::/home/mysql:/sbin/nologin
[root@centos7 ~]# groupmems -g webs -l
nginx varnish
[root@centos7 ~]# getent shadow nginx mysql varnish
nginx:$6$hch9C3JT$oK5.j.CG8rJ1kndv542EbBBEtdB2SYqER9n8m48KUtr0wFuENZviQL2X/IO6CfsAfyYpZH4F856JGRIpCSgit.:18104:0:99999:7:::
mysql:$6$iODHihkf$slMMlr2yfQO9NY6Ob/QIV4t8VaFm7yQRLg4VIRJTB6ZGi3a9RqBE8VMo/fzU3u2bjP9nakiai8W.0Y2CRsFr/:18104:0:99999:7:::
varnish:$6$pdjOkLXJ$D4Xzm3v8oyiQjakHhmU/5Yg.05XKDZCsUWoWZ7e7HtqyW6WacfjJqEZWMZudDECoqdRtWNS8szrDg8tDHm1y60:18104:0:99999:7:::
文件權限
圖片參考:Linux文件屬性詳解
參考:Linux文件權限的總結詳解
chmod幫助
[root@centos7 ~]# chmod --help
用法:chmod [選項]... 模式[,模式]... 文件...
或:chmod [選項]... 八進制模式 文件...
或:chmod [選項]... --reference=參考文件 文件...
Change the mode of each FILE to MODE.
With --reference, change the mode of each FILE to that of RFILE.
-c, --changes like verbose but report only when a change is made
-f, --silent, --quiet suppress most error messages
-v, --verbose output a diagnostic for every file processed
--no-preserve-root do not treat '/' specially (the default)
--preserve-root fail to operate recursively on '/'
--reference=RFILE use RFILE's mode instead of MODE values
-R, --recursive change files and directories recursively
--help 顯示此幫助信息並退出
--version 顯示版本信息並退出
Each MODE is of the form '[ugoa]([-+=]([rwxXst]|[ugo]))+|[-+=][0-7]+'.
文件的權限:
r:能夠讀取文件
w:能夠修改、增長文件內容。(1)若是沒r權限,則不能vim,只能覆蓋或追加。(2)可否刪文件取決於父目錄的權限
x:執行權限。(1)沒有r權限,不能執行shell腳本,會報權限不足,但能執行二進制程序。
目錄的權限:
r:具備瀏覽目錄的功能。(1)沒有x權限,不能進入目錄,ls -l只能看到文件名,看不到文件權限信息。不能進入目錄的子目錄。
w:必須配合x權限。具備增長,刪除,修改,移動,複製目錄內的文件。(1)沒有x權限,不能vim建立文件,不能使用重定向建立文件。(2)沒r權限,不能看到目錄下的文件; (3)沒x權限,不能修改文件名。目錄有了wx權限,能夠刪除,更名文件(前提知道目錄下的文件名)(4)不能修改目錄下別人文件的權限,可否追加內容,查看文件內容還要取決於該文件的權限。(5)移動目錄內的文件除了目錄須要wx,文件也須要r(6)cp文件,目錄不須要w
x:能進入目錄。(1)沒r權限,看不到目錄內容(2)沒w權限,不能建立,刪除,修改mv(3)cp文件除了目錄須要x,文件也須要r
面試題:完成下列操做須要的最小權限:
cp /etc/fstab /data/testdir/
一、用戶要有cp命令的執行權限(shell腳本還須要r權限);
二、/etc目錄要有x權限(能夠進去)
三、fstab須要r
四、/data目錄須要x權限(能夠進去)
五、/data/testdir目錄須要wx權限(能夠進去並修改)
權限總結
操做 源目錄權限 文件權限 目標目錄權限
rm刪文件 wx - -
mv更名 wx - -
mv移動文件 wx r wx
cp複製文件 x r wx
生成文件 wx - -
追加內容到文件 x w -
覆蓋文件內容 x w -
vim編輯 x rw -
執行二進制文件 x x -
執行shell腳本 x rx -
umask與權限
打印umask值 : umask
umask默認值022
建立的文件的默認權限:666-umask(若是出現奇數,奇數加一)
由於文件默認不能有執行權限,很危險
好比umask=023,建立的文件權限=666-023=643,3是奇數,加一,最終權限爲644
建立的目錄的默認權限:777-umask
好比umask=023,建立的目錄權限爲777-023=654
設置umask
echo "umask 022" >> ~/.bashrc
Linux特殊權限:SUID、SGID、SBIT
SUID
操做對象:可執行的二進制文件
做用:讓普通用戶臨時擁有某執行文件全部者的權限(讓原本沒有相應權限的用戶運行這個程序時,能夠訪問他沒有權限訪問的資源)
例如:passwd
[root@centos7 ~]# which passwd | xargs ls -l
-rwsr-xr-x. 1 root root 27832 6月 10 2014 /usr/bin/passwd
使用方法:chmod 4744 file1 chmod +s file1
SGID
一、做用於目錄:當用戶在此目錄下建立文件時,文件的所屬組會自動繼承目錄的所屬組
二、做用於二進制可執行文件:當用戶執行此程序時,將會臨時繼承此程序所屬組的權限
SBIT
操做對象:目錄
做用:粘滯位,只能針對目錄設置,設置後只有文件全部者或者root才能夠刪除和移動其中的文件
例如:/tmp目錄
[root@centos7 ~]# ll /tmp -d
drwxrwxrwt. 15 root root 4096 7月 28 21:17 /tmp
使用方法:chmod 1755 /data chmod +t /data
Linux特殊屬性
chattr
i屬性:加上後不能修改文件,包括刪除,更名
a屬性:加上後只能追加文件
lsattr
顯示文件屬性
[root@centos7 ~]# chattr +i /etc/passwd #加i屬性
[root@centos7 ~]# lsattr /etc/passwd #查看特殊屬性
----i----------- /etc/passwd
[root@centos7 ~]# rm /etc/passwd #刪除不了
rm:是否刪除普通文件 "/etc/passwd"?y
rm: 沒法刪除"/etc/passwd": 不容許的操做
[root@centos7 ~]# mv /etc/{passwd,p} #更名失敗
mv: 沒法將"/etc/passwd" 移動至"/etc/p": 不容許的操做
[root@centos7 ~]# echo hello >> /etc/passwd #追加失敗
-bash: /etc/passwd: 權限不夠
[root@centos7 ~]# chattr -i /etc/passwd #去掉i屬性
[root@centos7 ~]# lsattr /etc/passwd #查看屬性
---------------- /etc/passwd
ACL權限
Access Control list:訪問控制列表
單獨給某用戶,某組來這設置權限
CentOS以前版本,默認手工建立的ext4系統無ACL功能,須要手動增長
tune2fs -o acl /dev/sdb1
mount -o acl /dev/sdb1 /mnt/test
setfacl -m 設置ACL權限
setfacl -x 取消權限
setfacl -b 文件 清除所有ACL權限
getfacl file 查看ACL權限
[root@centos7 ~]# setfacl -m u:qqq:w date.sh #設置ACL
[root@centos7 ~]# getfacl date.sh #查看ACL
user::---
user:qqq:-w-
group::---
mask::-w-
other::--x
[root@centos7 ~]# setfacl -x u:qqq date.sh
[root@centos7 ~]# getfacl date.sh
user::---group::---mask::---other::--x[root@centos7 ~]# setfacl -x date.sh #清除全部ACL權限ACL生效順序:文件全部者,自定義用戶,自定義組+所屬組累加權限,其餘人