liunx 用户管理和ROOT权限控制

liunx 用户管理
建立一个新的用户包括两个步骤，第一步是使用useradd命令完成一个新用户的初始化设置工作；第二步是用passwd为这个新用户设置密码。例如，我们要给系统添加一个用户叫floatboat，密码为fan2001z，那相关的操作是：
useradd floatboat <回车>
这时候系统没有任何显示。接着：
passwd floatboat <回车>
系统显示：
Changing password for user floatboat
New UNIX password:
你输入：
fan2001z<回车>
注意，由于linux并不采用类似windows的密码回显（显示为*号）――为避免你输入密码时被人注意到有多少位――所以，输入的这些字符你是看不见的。
系统显示：
Retype new UNIX password:
你再重新输入一次密码，然后回车确认，这时系统会显示：
passwd:all authentication tokens updated successfully
表示你修改密码成功了。
到这里，新用户的创建工作就算完成了。下面，我们再补充一些有关增加新用户的常识：
1、useradd所做的初始化操作已经包括在/home目录下为floatboat帐号建立一个名为floatboat的主目录。如果你不想使用这个缺省的目录，而希望把他的主目录放在/home/goal里（还放在/home下，只是一种良好的习惯，没有其他什么特别的要求），可以使用useradd的参数-d，命令如下：
useradd -d /home/goal floatboat
2、useradd的初始化操作还包括为用户单独建立一个与用户名同名的组（floatboat组）。这叫用户私有组的机制，与默认组机制相对应。对用户分组一是方便管理，二是可以明确权限。复杂的我们将在以后的深入内容中探讨。我们如果想让此用户加入一个已有的组的话，可以使用-g参数。例如我们想让floatboat加入webusers组，那么可以使用以下命令：
useradd -g webusers floatboat
同样的，我们还可以使用-G参数使他同时加入多个组，例如webusers和ftpusers：
useradd -G ftpusers,webusers　floatboat
3、passwd命令为一个用户设置密码，但它实质上是一个修改密码的程序。只有超级用户和用户自己可以修改密码，其它的普通用户没有给他修改密码的权利。用户密码的组成要尽量的复杂，最好包括字母、数字和特殊符号，而且最好设成6位以上。太短passwd程序不允许，只是单纯的字母或单纯的数字，passwd也会有意见。你都会看见passwd出现的提示的，不要害怕，仔细看看到底它是怎么说的：）
4、你在增加一个新用户的时候，也可以设置用户登录的shell。缺省的，系统提供了/bin/bash。你如果非要指定的话，可以使用-s 参数就可以了。例如
useradd -d /www　-s /usr/bin/passwd floatboat
注意，这些参数是可以一块使用的，如上例所示，它表示增加新用户，并把其主目录路径设置在/www，登录的shell为/usr/bin/passwd。关于shell的更详细的说明，请参考下面的修改用户的个人设置相关内容。
创建一个和ROOT一样的用户
useradd -u 0 -o -g 0 floatboat   这样就有一个和ROOT一样的用户了
-u -g 都是0级 即ROOT 级 -O 是允许有相同的ID    也可以使用usemod 中同样的参数即其它的参数了。这样就可以利用下面介绍的方法（pam.d/ssh）禁止ROOT用户远程登陆了
5、删除一个用户可以使用userdel命令，直接带用户名做参数就可以了。
修改用户的设置
对现有用户的修改，比较常用的主要是修改密码（使用passwd就好了），修改用户的登录shell，修改用户所属的默认组，设置帐号有效期，修改用户的说明信息等等，偶尔也会用到修改用户主目录。
修改用户的登录shell
使用chsh命令可以修改自己的shell，只有超级用户才能用chsh username为其它用户修改shell设置。注意，指定的shell必须是列入/etc/shells文件中的shell，否则该用户将不能登陆。
一般，比较常见的shells文件包括下面这些shell：
/bin/bash2
/bin/bash
/bin/sh
/bin/ash
/bin/bsh
/bin/tcsh
/bin/csh
而网管们还喜欢在里面加上/usr/bin/passwd，这是为了不然用户通过控制台或telnet登录系统，却可以使用修改帐户密码（比如在FTP里用）。以及/bin/false，也就是不让这个用户登录的意思喽^&^，连FTP也不能用。
你也可以使用usermod命令修改shell信息，如下所示：
usermod -s　/bin/bash floatboat
其中/bin/bash和floatboat应取相应的shell路径文件名及用户名。
还有一种情况，就是你为用户设置了一个空的shell（就是""），也就是说，这个用户没有shell。呵呵，绝对没有在我还未曾见过，因为这种用户登录后，系统还是会给它一个shell用的。不信你试试：
usermod -s "" floatboat
这种用户根据系统的不同，会有一个sh或bash进行操作，我也没有看出功能上和其它普通用户登录有什么不同。
修改用户所属的默认组
这个功能也可以通过usermod命令来实现，使用-g参数，例如把floatboat的默认组改为nobody，可以使用如下命令：
username -g　nobody floatboat
nobody在类UNIX系统中一般都意味着没有任何权限。
设置帐号有效期
如果使用了影子口令，则可以使用如下命令来修改一个帐号的有效期：
usermod -e MM/DD/YY username
例如把用户floatboat的有效期定为2001年12月31日：
usermod -e 12/31/01 floatboat
如果把该用户的有效期设为已经过去的时间，就可以暂时禁止该用户登录系统。
修改用户的说明信息
修改用户的说明信息，最简单的方法莫过于直接修改/etc/passwd文件，找到对应的用户记录行，例如下列行：
floatboat:x:503:503::/home/floatboat:/bin/bash
你可以直接在第四个冒号和第五个冒号之间插入该用户的说明就可以了。其实，很多用户设置都可以在这修改，比如该行最后一部分/bin/bash就是用户登录shell的设置。关于这个/etc/passwd文件，我们后面将进一步的深入探讨。
修改用户主目录
修改用户的主目录主要使用usermod命令的-d参数，例如：
usermod -d　/www　floatboat
这一行将floatboat的主目录改到/www。如果想将现有主目录的主要内容转移到新的目录，应该使用-m开关，如下所示：
usermod -d -m　/www floatboat
文件目录的权限
linux下，每一个文件、每一个目录都有一个属主，并针对用户自己、用户所在组、其它所有帐号（组）分别设定读、写、执行三种权限。例如，我（假定是webusers组的floatboat帐户的拥有者）使用如下命令建立一个新的文件
touch mytestfile
然后我们使用ls -l mytestfile这一命令来查看这个文件的权限状态（关于ls命令，可以查阅本站的命令查询），可以得到如下的屏幕输出显示：
-rw-rw-r-- 1 floatboat webusers 0 Feb 6 21:37 mytestfile
输出由空格分为9个部分，我们比较关心第一、三、四个字段，分别表示文件权限属性、文件所有者帐户、文件所属组。
◆使用chown命令修改文件的主人
当你新建立一个文件的时候，文件的所有者当然就是你了。这一事实只有超级用户（比如说root）才可以通过chown命令改变（例如 chown　otheruser mytestfile,把mytestfile文件的属主改为otheruser）。普通用户不能把自己的文件“送”给别人，不然你把有特殊目的的程序给了root怎么办？：）
chown命令的用法比较简单。这里我先假设你现在拥有超级用户权限，那么你就可以使用如下命令将一个文件“送给”floatboat了：
chown　floatboat　/home/floatboat/thefileisrootcreate.txt （假定该文件是由root创建的）
修改一个目录的所有者也是类似的：
chown floatboat /home/newboat
当然，如果这个目录还有子目录及文件需要同时送给floatboat，chown也是支持-R参数的：
chown -R floatboat /home/newboat
如果你同时想修改文件/目录所属的组的话，你可以使用以下命令方便的达到目的：
chown -R floatboat.ftpusers /home/newboat
这样，不但文件主人得到了修改，文件所属的组也变成了ftpusers
◆ 修改文件的组属性
文件所属组你倒是可以改变，前提是：
1、你的超级用户。
2、你同时属于两个或两个以上的组。
两个条件你至少具备一个，你才能够把文件所属旧组变为新组。使用如下的命令将当前目录下所有html文件所属的组改为httpd：
chgrp httpd *.html
和chown命令一样，chgrp也可以使用-R参数对一个目录内的所有文件和子目录进行递归的修改组属性。
<提示>：你可以使用不带参数的groups命令查看自己属于哪个组。
文件权限的设定是我们这一小节讨论的核心，我们主要介绍chmod命令的两种用法。
◆使用访问字符串设置文件目录权限
正如前面所说的，每一个文件、目录都针对用户自己、用户所在组、其它所有帐号（组）分别有读、写、执行三种权限及其组合。当一个普通用户新建一个文件的时候，它默认的访问权限显示就如我们刚才所举例子的第一个字段所示。总共十位字符“-rw-rw-r--”，第一位是目录区分标志，如果是d的话，表示这是一个目录。第二到四位分别表示文件所有者的读（r：read）、写（w:write）、执行（x:execute）属性，第五到七位是文件所属组的读、写、执行权限，第八到第十位则是其它用户的读、写、执行权限。如果对应的位是相应的字母，就是有这相应权限，否则为“-”，表示没有获得这个许可。象刚才例子中的文件就是自己可读写，本组可读写，其它用户可读，所有的用户（包括自己）都不能执行它。
我们的用u、g、o分别来指代用户（user）、组（group）、其它帐户（other），就可以方便的设置文件和目录的权限了。当然，我们也可以用a来表示所有的这三项。
例如，我们要对所有perl的脚本文件设定权限，对所有用户都可以读和
 
ROOT权限控制
Linux是当前比较流行的网络服务器操作系统，它继承了UNIX系统安全、稳定、高效等优点。在Linux系统中Root拥有最高权限，正因如此攻击者往往以获取Root权限为目标。作为管理员如何有效地对Root进行有效管理呢?本文将从权限控制的角度，提供几个安全技巧。
演示环境
Red Hat Enterprise Linux 5
1、远程登录
我们知道在RHEL系统中，默认是允许Root用户直接远程登录的。假若攻击者获取了Root的密码，然后进行远程登录，那整个服务器就沦陷了。因此，我们要做好Root的权限限制，拒绝其远程登录。这样，就算攻击者获取了Root密码，也不能通过远程登录控制服务器。限制Root远程登录的方法有很多种，笔者向大家推荐两种。
(1)SSH限制
我们知道SSH是Linux系统中用于远程维护管理的一个服务，类似于Windows系统中的Telnet或者远程桌面3389。通过SSH限制Root远程登录，我们需要做的就是修改SSH的配置文件。找/etc/ssh/sshd_config文件，在其中添加PermitRootLogin no。需要注意的是Linux系统是大小写敏感的，不要输错。输入完毕后，保存并退出，然后输入命令service sshd restart重启SSH服务使修改生效。这样当通过Root远程连接Linux服务器时，就会拒绝连接。
(2)PAM认证
我们还可以使用PAM认证模块来拒绝Root用户直接登录系统，可通过下面的操作来实现。打开/etc/pam.d/sshd文件，在第一行加入auth required /lib/security/pam_listfile.so item=user sense=deny file=/etc/sshduser onerr=succeed这条语句。其含义是，在登录时认证帐户和密码是否有效，只有认证通过才能登录系统，否则结束认证拒绝登录。它的认证模块是/lib/security/pam_listfile.so，认证的用户是用户(user)，当然也可以是组(group)，认证的方式是拒绝(deny)，认证文件是/etc/sshduser，文件名及目录随意，如果认证成功就返回(succeed)。
然后我们创建一个认证文件，可以在终端中运行命令echo "root" > /etc/sshduser来创建，当然我们也可以使用vi打开sshduser文件来加入用户。需要说明的是，当有多个用户时，每个用户占用一行。添加完成后，再使用Root直接登录服务器就可以看到登录被拒绝了。
2、su限制
我们知道在Linux系统中有个su命令，利用该命令只要知道Root用户的密码，默认情况下任何人都可以切换到Root用户中进行操作。例如，一个属于users组的普通用户gslw可以通过su命令切换到Root用户中.
因此，我们需要对SU进行限制，只允许特定组的用户才能SU到Root用户。使用的方法还是通过PAM认证模块来实现。我们先前控制ssh服务，是使用/etc/pam.d/sshd文件，当然控制用户使用su命令就需要对
/etc/pam.d/su文件进行修改。直接打开该文件进行修改，或者在终端命令窗口输入命令vi /etc/pam.d/su，然后去掉其中#auth required pam_wheel.so use_uid的注释即可。
其含义是，使用pam_wheel.so文件来检查当前用户的UID，如果不是whell组的用户就直接拒绝。现在我们通过gslw用户登录系统，然后su到Root可以看到被拒绝。当然，要使其可以su到Root需要将其加入了wheel组才可以。
3、Root分权
大家知道，由于Root具有最高的权限，经常用root用户来管理系统，会给系统带来一定的安全隐患。比如，一条无意识输入的破坏性的命令有可能会给系统带来毁灭性的打击。另外，如果系统被植入了嗅探工具，如果用root登录会造成root口令被窃取。因此我们要消减Root的权限，可以让其它用户来完成Root的一些工作，避免过多地使用Root用户。
如何为Root分权，要根据服务器的性质来确定。比如一个Linux平台的apache服务器，作为管理员经常使用的命令应该是诸如/usr/local/apache2/bin/apachect1 start/stop/restart这样的是启动/重启/停止服务器的命令。我们可以为此创建一个用户gslw来管理apache服务器，我们知道普通用户是没有权限来启动apache服务器的。这里要用到sudo命令，通过它为gslw用户加入扩展权限使其可以管理apache服务器。
利用Vi或者直接进入/etc/pam.d打开sudo文件，然后在其中添加一行gslw ALL=(ALL) /usr/local/apache2/bin/apachectl命令就可以了。该命令分成四个字段，依次为用户名、作用对象、以谁的身份运行以及运行的命令。当然，我们也可以加入gslw localhost=(root) /usr/local/apache2/bin/apachectl start，这样过滤更严格一些。最后保存退出后，使用gslw用户登录系统就可以运行/usr/local/apache2/bin/apachectl start命令了。上面只是举例，大家可以根据自己的需要在sudo文件中添加相应的命令行。不过，需要说明的是命令一定要严格过滤，不要赋权过大。
总结：Linux下的权限控制是非常严格的，但也非常灵活，我们可以根据自己的安全需求进行布防。当然，关于Root权限的控制策略和方法还有很多，希望本文提供的思路对大家有所帮助