1. 用戶基礎(chǔ)概念1.1 用戶定義在Linux系統(tǒng)中用戶User是用于身份識(shí)別、權(quán)限隔離和資源訪問(wèn)管控的賬戶實(shí)體。每個(gè)用戶都有一個(gè)唯一的數(shù)字標(biāo)識(shí)符——UIDUser ID。系統(tǒng)內(nèi)核僅識(shí)別UID而不識(shí)別用戶名UID是用戶身份驗(yàn)證和權(quán)限檢查的核心依據(jù)。UID分為三大類0超級(jí)用戶root用戶擁有系統(tǒng)最高權(quán)限1-999系統(tǒng)用戶系統(tǒng)服務(wù)或守護(hù)進(jìn)程使用的賬戶通常不允許交互式登錄1000及以上普通用戶普通登錄用戶由管理員創(chuàng)建用戶核心配置文件/etc/passwd存儲(chǔ)用戶基本信息包含7個(gè)字段用戶名、密碼占位符、UID、GID、備注、家目錄、登錄shell/etc/shadow存儲(chǔ)加密后的密碼及密碼策略信息1.2 組定義用戶組Group是多個(gè)用戶的集合其主要作用是簡(jiǎn)化Linux文件/目錄的權(quán)限管理。系統(tǒng)通過(guò)GIDGroup ID數(shù)字標(biāo)識(shí)來(lái)識(shí)別組。每個(gè)用戶必須有一個(gè)主組Primary Group同時(shí)可以加入多個(gè)附加組Supplementary Groups。2. 常見(jiàn)用戶操作命令2.1 查看當(dāng)前登錄用戶Linux提供了多種查看登錄用戶的方式who顯示所有登錄系統(tǒng)的用戶信息包含終端、登錄時(shí)間、IP地址whoami輸出當(dāng)前操作用戶的用戶名w功能最全顯示登錄用戶及其當(dāng)前執(zhí)行的命令、系統(tǒng)負(fù)載等信息2.2 查看指定用戶組# 查看指定用戶組信息 cat /etc/group | grep 組名 示例查看sudo組信息 cat /etc/group | grep sudo2.3 查看用戶的ID和所屬組# 查看指定用戶的UID、GID及所屬組 id 用戶名 示例查看當(dāng)前用戶信息 id 或查看特定用戶 id alice2.4 添加用戶# 基本語(yǔ)法 useradd [選項(xiàng)] 用戶名 常用選項(xiàng) -u指定UID0-超級(jí)用戶1-999系統(tǒng)用戶1000普通用戶 -G指定附加組多個(gè)組用逗號(hào)分隔 -d指定家目錄路徑 -s指定登錄shell -m創(chuàng)建家目錄通常與-d一起使用 -g指定主組 示例創(chuàng)建普通用戶bobUID為1001主組為users附加組為sudo useradd -u 1001 -g users -G sudo -m -d /home/bob -s /bin/bash bob3. 組操作命令3.1 添加組# 語(yǔ)法 groupadd [選項(xiàng)] 組名 常用選項(xiàng) -g指定GID -r創(chuàng)建系統(tǒng)組GID小于1000 示例創(chuàng)建開(kāi)發(fā)組 groupadd -g 2000 developers3.2 修改組# 語(yǔ)法 groupmod [選項(xiàng)] 組名 常用選項(xiàng) -g修改GID -n修改組名格式-n 新組名 原組名 示例將developers組GID改為2001 groupmod -g 2001 developers 示例將developers組重命名為devteam groupmod -n devteam developers3.3 刪除組# 語(yǔ)法 groupdel 組名 注意生產(chǎn)環(huán)境中建議謹(jǐn)慎刪除組特別是當(dāng)組內(nèi)有用戶時(shí) 示例刪除testgroup組 groupdel testgroup4. 用戶管理進(jìn)階4.1 用戶分類超級(jí)用戶Super UserUID0通常是root系統(tǒng)用戶System UserUID1-999用于系統(tǒng)服務(wù)普通用戶Regular UserUID≥1000普通登錄賬戶4.2 修改用戶# 語(yǔ)法 usermod [選項(xiàng)] 用戶名 常用選項(xiàng) -u修改UID -G覆蓋用戶的附加組會(huì)替換原有附加組 -aG追加附加組不替換原有組 -m移動(dòng)家目錄到新位置通常與-d一起使用 -d修改家目錄路徑 -s修改登錄shell -l修改用戶名 示例修改用戶alice的UID為1002 usermod -u 1002 alice 示例為alice追加sudo附加組 usermod -aG sudo alice 示例修改alice的家目錄并移動(dòng)原有文件 usermod -m -d /home/alice_new alice5. 權(quán)限設(shè)置5.1 chmod命令# 語(yǔ)法 chmod [選項(xiàng)] [權(quán)限] 文件/目錄名 權(quán)限表示方法 1. 符號(hào)模式u/g/o/a /-/ r/w/x 2. 數(shù)字模式4位八進(jìn)制數(shù) 示例符號(hào)模式 chmod ux script.sh # 給所有者添加執(zhí)行權(quán)限 chmod g-w file.txt # 移除所屬組的寫(xiě)權(quán)限 chmod or file.txt # 設(shè)置其他用戶只有讀權(quán)限 chmod ar file.txt # 給所有用戶添加讀權(quán)限 示例數(shù)字模式 chmod 755 script.sh # rwxr-xr-x chmod 644 file.txt # rw-r--r-- chmod 750 directory/ # rwxr-x---5.2 權(quán)限位詳解Linux文件權(quán)限實(shí)際上由4位數(shù)字組成格式為特殊位 所有者 所屬組 其他用戶如0755。第1位特殊權(quán)限位取值范圍1、2、4分別代表1粘滯位 - t/T通常用于目錄確保只有文件所有者、目錄所有者或root才能刪除/重命名文件2設(shè)置組ID - sgid文件以所屬組的身份執(zhí)行目錄中新創(chuàng)建的文件繼承目錄的組所有權(quán)4設(shè)置用戶ID - suid文件以所有者的身份執(zhí)行而不是執(zhí)行者第2-4位分別表示所有者、所屬組、其他用戶的rwx權(quán)限讀4寫(xiě)2執(zhí)行1大小寫(xiě)含義小寫(xiě)t同時(shí)設(shè)置了執(zhí)行權(quán)限(x)和粘滯位大寫(xiě)T設(shè)置了粘滯位但沒(méi)有執(zhí)行權(quán)限(x)同理適用于s/Ssuid/sgid示例# 設(shè)置粘滯位目錄 chmod 1777 /shared/tmp # 或使用符號(hào)模式 chmod t /shared/tmp 設(shè)置suid程序 chmod 4755 /usr/bin/passwd 查看結(jié)果-rwsr-xr-x 設(shè)置sgid目錄 chmod 2775 /shared/project 新創(chuàng)建的文件將繼承project組的權(quán)限6. ACL訪問(wèn)控制列表ACLAccess Control List提供了比傳統(tǒng)Unix權(quán)限更細(xì)粒度的訪問(wèn)控制機(jī)制允許為特定用戶或組設(shè)置獨(dú)立的權(quán)限。6.1 查看ACL# 語(yǔ)法 getfacl 文件/目錄名 示例查看文件ACL getfacl important.doc 輸出示例 # file: important.doc # owner: alice # group: developers user::rw- group::r-- other::r-- user:bob:rwx group:testers:r-x6.2 設(shè)置ACL# 語(yǔ)法為用戶設(shè)置ACL setfacl [-R] -m u:用戶名:權(quán)限 文件/目錄名 語(yǔ)法為組設(shè)置ACL setfacl [-R] -m g:組名:權(quán)限 文件/目錄名 選項(xiàng)說(shuō)明 -m修改modifyACL規(guī)則 -R遞歸設(shè)置對(duì)目錄及其子目錄/文件生效 示例為用戶bob設(shè)置對(duì)file.txt的讀寫(xiě)執(zhí)行權(quán)限 setfacl -m u:bob:rwx file.txt 示例為developers組設(shè)置對(duì)project目錄的讀寫(xiě)權(quán)限遞歸 setfacl -R -m g:developers:rw project/ 示例設(shè)置默認(rèn)ACL新創(chuàng)建的文件繼承ACL setfacl -m d:u:charlie:rw shared_dir/6.3 刪除ACL條目# 語(yǔ)法刪除特定用戶的ACL setfacl [-R] -x u:用戶名 文件/目錄名 語(yǔ)法刪除特定組的ACL setfacl [-R] -x g:組名 文件/目錄名 示例刪除bob對(duì)file.txt的ACL權(quán)限 setfacl -x u:bob file.txt 示例遞歸刪除developers組對(duì)project目錄的ACL setfacl -R -x g:developers project/6.4 清空ACL# 語(yǔ)法清空文件/目錄的所有ACL權(quán)限恢復(fù)為標(biāo)準(zhǔn)Unix權(quán)限 setfacl -b 文件/目錄名 示例清空document.txt的所有ACL設(shè)置 setfacl -b document.txt 示例遞歸清空目錄及其內(nèi)容的ACL setfacl -R -b shared_folder/6.5 ACL實(shí)戰(zhàn)案例場(chǎng)景項(xiàng)目管理目錄需要精細(xì)權(quán)限控制# 1. 創(chuàng)建項(xiàng)目目錄 mkdir -p /projects/website 2. 設(shè)置基礎(chǔ)權(quán)限 chmod 770 /projects/website chown alice:developers /projects/website 3. 為項(xiàng)目經(jīng)理設(shè)置完全控制 setfacl -m u:bob:rwx /projects/website 4. 為測(cè)試組設(shè)置讀和執(zhí)行權(quán)限 setfacl -m g:testers:r-x /projects/website 5. 為實(shí)習(xí)生設(shè)置只讀權(quán)限 setfacl -m u:charlie:r-- /projects/website 6. 設(shè)置默認(rèn)ACL確保新創(chuàng)建的文件繼承權(quán)限 setfacl -m d:u:bob:rwx /projects/website setfacl -m d:g:testers:r-x /projects/website setfacl -m d:u:charlie:r-- /projects/website 7. 查看最終ACL設(shè)置 getfacl /projects/website7. 總結(jié)Linux用戶與權(quán)限管理體系是一個(gè)層次化的安全框架基礎(chǔ)層用戶和組的概念通過(guò)UID/GID進(jìn)行身份識(shí)別標(biāo)準(zhǔn)權(quán)限層基于所有者、所屬組、其他用戶的三元組權(quán)限模型使用chmod進(jìn)行管理特殊權(quán)限層suid、sgid、粘滯位提供額外的安全和控制功能擴(kuò)展權(quán)限層ACL訪問(wèn)控制列表實(shí)現(xiàn)更細(xì)粒度的權(quán)限分配在實(shí)際系統(tǒng)管理中建議遵循最小權(quán)限原則根據(jù)實(shí)際需求選擇合適的權(quán)限控制機(jī)制。對(duì)于簡(jiǎn)單的共享場(chǎng)景標(biāo)準(zhǔn)Unix權(quán)限通常足夠?qū)τ趶?fù)雜的多用戶協(xié)作環(huán)境ACL提供了更靈活的解決方案。