密碼

• /usr/share/doc/setup*/uidgid
  保留的用戶名和組的ID記錄UID,GID

• /etc/login.defs

  • 用戶郵件目錄
  • 用戶密碼 期限
  • 用戶uid/gid 可用的范圍(最小值，最大值)
  • 用戶uid/gid 可用的范圍(最小值，最大值)
  • 用戶創建時是否創建home目錄
  • UMASK 創建用戶家目錄的權限
  • 使用userdel時，如果組內沒有成員，可以刪除用戶組
  • passwd 創建密碼時的加密方式（SHA512）

• /etc/security/pwquality.conf
  密碼規則，密碼的復雜度要求

• chage ---更改用戶密碼有效期信息
  chage -M 90 username
  設置用戶密碼在90天內過期
  chage <username>
  交互式的設置用戶密碼有效期信息

• /etc/bashrc
  PS1
  umask 設置對新創建的文件或目錄應用哪些權限
  對PS1修改，shell的定制到/etc/profile.d/下進行

• /etc/profile /etc/profile.d/*.sh
  環境變量、 登陸初始化

• UMASK
  出于安全原因，默認情況下，常規文件不能具有執行權限。因此，即使umask為0000（不禁止任何權限），新的常規文件仍然沒有執行權限。但是，可以使用執行權限創建目錄(目錄777 文件666)：

  • -S 顯示mask后的實際字符權限

[john@server tmp]$ umask 0000
[john@server tmp]$ touch file
[john@server tmp]$ mkdir directory
[john@server tmp]$ ls -lh .
total 0
drwxrwxrwx. 2 john john 40 Nov  2 13:17 directory
-rw-rw-rw-. 1 john john  0 Nov  2 13:17 file

[tom@localhost ~]$ umask
0002
[tom@localhost ~]$ umask -S
u=rwx,g=rwx,o=rx
[tom@localhost ~]$ 

目錄777 文件666

• 添加用戶

useradd [options] username

juan:!!:14798:0:99999:7:::

在/etc/shadow文件的密碼字段中會出現兩個感嘆號（!!），它會鎖定該帳戶。

• 創建組

groupadd [options] group_name

• usermod 將現有用戶添加到現有組

usermod -g group_name user_name # 改變用戶的屬組 (不保留原有的)
usermod -G group_name1,group_name2,... user_name # 改變用戶的有多個屬組(不保留原有)
usermod -aG group_name1,group_name2,... user_name # 為用戶添加多個屬組(保留原有的)

• passwd [選項] user
  passwd [-k] [-l] [-u [-f]] [-d] [-e] [-n mindays] [-x maxdays] [-w warndays] [-i inactivedays] [-S] [--stdin] [username]

• /etc/passwd
  name:password:UID:GID:GECOS:directory:shell
  GECOS: 注釋，常用全名

• /etc/shadow

• ACLS
  • 設置ACL
    setfacl -m rules files
    rules:
    • u:uid:perms
      設置用戶的訪問ACL。可以指定用戶名或UID。該用戶可以是系統上的任何有效用戶。
    • g:gid:perms
      設置組的訪問ACL。可以指定組名或GID。該組可以是系統上的任何有效組。
    • m:perms
      設置有效權限掩碼。掩碼是擁有組的所有權限以及所有用戶和組條目的并集。
    • o:perms
      為文件組中的用戶以外的用戶設置訪問ACL。
      perms（權限）必須是字符r，w和x的組合，才能進行讀取，寫入和執行。
      例如，向用戶andrius授予讀寫權限：
      # setfacl -m u:andrius:rw /project/somefile
      例如，要刪除用戶，組或其他用戶的所有權限，請使用-x選項，并且不要指定任何權限：
      # setfacl -x rules files
      例如，要從具有UID 500的用戶中刪除所有權限，請執行以下操作：
      # setfacl -x u:500 /project/somefile
  • 恢復默認ACLs
    要設置默認ACL，請在規則前添加d:并指定目錄而不是文件名。
    例如，要將/ share /目錄的默認ACL設置為對不在用戶組中的用戶讀取和執行（單個文件的訪問ACL可以覆蓋它）：
    # setfacl -m d:o:rx /share
  • 查看ACLs
    getfacl

https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/index

特殊權限 suid sgid sticky

• SUID(setuid)
  功用：用戶運行某程序時，如果此程序擁有SUID權限，那么程序運行時，進程的屬主不是發起者，而是程序文件自己的屬主。
  
  
  
  
  設置setuid后在屬主的x位表示

• sgid(setgid)

功用：當目錄屬組有寫權限，且有SGID權限時，那么所有屬于此目錄的屬組，且以屬組的身份在此目錄中新建文件或者目錄時，新文件的屬組不是用戶的基本組，而是此目錄的屬組。

設置setgid后在屬組的x位表示

• sticky
  功用：對于屬組或全局可寫的目錄，組內的所有用戶或系統上的所有用戶對在此目錄中都能創建新文件或刪除所有的已有文件，如果為此類目錄設置sticky權限，則每個用戶都能創建新文件，且只能刪除自己的文件。
  
  
  
  
  

設置sticky后在全局(other)的x位表示

設置方法