分享
 
 
 

Windows到Linux之旅:第4部分.用户管理

王朝system·作者佚名  2008-05-18
窄屏简体版  字體: |||超大  

密码、组和它们的映像

级别:初级

Chris Walden (cmwalden-at-us.ibm.com)

电子商务架构师,IBM Developer Relations

2004 年 1 月

IBM 电子商务架构师 Chris Walden 将通过他在 developerWorks 上发表的九篇系列文章来指导您如何在 Linux 环境中运用您的 Windows 操作技巧。在本部分,我们使用 Webmin 界面和命令行添加、删除用户和组,并介绍了密码和组文件的映像。

Linux 中的用户管理与 Windows 中的用户管理很相似,但又很不相同。两个系统都是多用户系统,基于用户身份来控制他们对资源的访问。两个操作系统都允许将用户分组管理以简化访问控制,以避免为众多用户分别设置权限。不过,相同之处也仅此而已。

超级用户

在 Linux 中,超级用户称为 root。root 用户可以控制所有的程序,访问所有文件,使用系统上的所有功能。对 root 用户来说没有不可以做的事情。就管理的角度而言,root 的权限是至高无上的。所以,root 帐号一定要通过安全的密码保护起来,这一点非常重要。您不应该使用 root 身份来处理日常的事务。

其他用户也可以被赋予 root 特权,但一定要谨慎行事。通常您可以配置一些特定的程序由某些用户以 root 身份去运行,而不必赋予他们 root 权限。

创建新用户

可以通过命令行或者 Webmin 等工具来创建新用户。

添加用户的命令是 useradd。例如,从控制台中创建一个新用户:

useradd -c "normal user" -d /home/userid -g users-G webadm,helpdesk -s\ /bin/bash userid

这个命令创建了一个名为“userid”(命令的最后一个参数)的新用户。“normal user”是对这个用户的注释。userid 的主目录将是“/home/userid”。userid 的主组将是 users,但他也被加入到“webadm”和“helpdesk”这两个组。userid 将使用“/bin/bash”shell 作为他的常规控制台环境。

使用 Webmin 创建新用户简单而且直观。使用您喜欢的浏览器登录到 Webmin,切换到 System 窗体。选择“Users and Groups”工具,然后点击 Create a new user。

图 1. Webmin 的 Create User 屏幕

[myimg]upload/webmincreateuser2.png[/myimg]

填写好用户的详细信息,然后点击 Create。用户创建完成。

用 GUI 工具添加用户在“Basic tasks for new Linux developers”一文中也讨论了。

修改密码

可以从控制台使用 passwd 命令来修改用户的密码:

passwd userid

只有 root 用户可以用 passwd 修改其他用户的密码。输入完命令后,系统将提示您输入并确认您要设置的密码。如果两次输入一致,用户的标识就会更新,密码修改成功。从控制台输入 passwd,用户可以修改自己的密码;在这种情况下,系统会向用户询问原来的密码,验证通过后才可以输入新密码。

大多数的 Linux 发行版本安装时都会启用 password cracker 模块,用于修改密码。这个模块将检查密码是否遵循了良好的密码设置习惯。如果用户使用了不安全的密码,它将自动警告用户。您可以将系统配置为要求用户必须使用安全的密码。root 在设置不安全的密码时也会被警告,但是仍然可以设置成功。

在 Webmin 中,可以使用 System 窗体中的“Change Passwords”模块来修改密码。在列表中选择一个用户,然后在空白处输入新密码。

删除用户

可以从控制台使用 userdel 命令来删除用户。

userdel -r userid

使用可选的 -r 开关可以将用户的主目录及所有相关信息全部删除。如果想要保留用户主目录,那么不要使用 -r 开关。这个开关不会自动删除系统中所有属于这个用户的文件,只是删除他的主目录。

如何组织用户

Linux 的配置是基于文本的。Linux 中的所有用户都存放于 /etc/passwd 文件中。您可以使用 more 命令来分页查看这个文件:

more /etc/passwd

/etc 目录

不要忘记,Linux 的大多数配置文件都是在 /etc 目录下。

这个文件的结构非常直观。每一行是一个新用户,参数用冒号隔开。

userid:x:75000:75000::/home/userid:/bin/bash

第一列是用户名。第二列是用户的密码。第三列是用户的数字 ID。第四列是用户的主组的 ID。第五列是用户的全名,或者是注释。第六列是用户主目录的位置,这个目录通常位于 /home 目录下,目录名与用户 ID 相同。第七列是用户的默认控制台 shell。

Password 文件结构

Login IDPasswordUser IDGroup IDCommentHome directoryDefault shell

useridx7500075000/home/userid/bin/bash

注意上面的例子中 Password 列是一个“x”。这并不是说用户的密码是“x”。以前密码曾经是以平文本的形式存储在这个文件中。现在也还有这样的配置,但由于密码容易泄露,已经很少有人再这样做了。解决的方法是创建 shadow password。在 /etc/passwd 文件中存放密码的位置只是存放一个“x”,而经过加密的密码存放于 /etc/shadow 文件中。这项技术通过将用户信息与密码数据分离而提高了安全性。MD5 密码加密算法支持更为可靠的密码,从而进一步提高了安全性。一个映像密码条目的样例如下所示:

映像密码和用户权限

Linux 用户管理的特点之一在于它沿袭了 UNIX 风格,使用 passwd 文件。登录的用户必须可以读取 /etc/passwd 文件,以判断他的用户名是否存在。如果将用户名和密码存放在同一个文件中,潜在的攻击者就可能获得密码;他们可以下载 /etc/passwd 文件,然后以暴力破解的方法获得密码。映像文件不必所有人都可读,这样攻击者将不能获得任何形式的密码。

这种方法还是不最好的,因为攻击还是可以得到 一些 用户信息。更好的方法是将用户保存于一个单独的地方,比如使用 LDAP。

userid:$1$z2NXZR19$PZpyL84DmPKBXMeURaXXM.:12138:0:186:7:::

所有的映像密码过程都是在后台进行,您只需要启用这项功能,别的什么都不用去做。

Linux 中的组与 Windows 中的组很类似。您可以创建一个组,然后将成员添加到这个组的列表中。可以以组为单位来分配资源。隶属于同一个组的成员可以访问同一资源。

使用控制台命令 groupadd 创建组很简单:

groupadd mygroup

这将创建一个名为“newgroup”的没有任何成员的组。组存放于 /etc/group 文件中。每一个组由单独的一行列出,如下所示:

mygroup:x:527:

第一列是组的名字。第二列是一个密码。同样,“x”说明真正的密码存放在 /etc/gshadow 映像文件中。第三列是组的一个数字索引。在第三列之后将是以逗号隔开的组的成员的用户 ID。

可以使用 gpasswd 命令向组中添加成员,要使用 -a 开关,后面跟要添加的用户名:

gpasswd -a userid mygroup

删除组的成员还是使用这个命令,不过使用的开关是 -d 而不是 -a:

gpasswd -d userid mygroup

也可以通过直接编辑 /etc/group 文件来对组进行修改。

编辑 passwd 文件时要当心

直接编辑 /etc/passwd 文件和 /etc/group 文件的真正危险在于有可能偶然失误而造成 ID 编号的重复。所有的资源都通过 ID 编号而不是用户或组的名字来确定用户的身份。如果您不小心造成了 ID 编号的重复,那么可能会有一些意想不到的事情发生。例如,如果您将一个用户的 ID 编号设置为 0 (root 用户的 ID),那个用户的身份将是 root!。另外,如果您在文件中删除了用户行或者组行,那么对应的用户或组也就被删掉了。

这些都是人为的错误。使用工具可以避免这些错误。不过,有时直接去编辑 /etc/group 文件是解决问题最快捷的途径。您一定要记住,当您在编辑那些文件时,您管理的是实际的权力。一定要小心。

在 Webmin 中,可以使用前面用到的管理用户的工具来创建、编辑、除去组。

用户和组的关联

虽然在这里我们不能详尽地论述访问控制,不过您应该对用户和组对文件的访问权限有初步的了解。如果您以长格式列出一个目录下的文件,您看到的将如下显示。

-rw-r--r-- 1 userid mygroup 703 Jun 23 22:12 myfile

现在暂时忽略其他的列,只去看第三、四和最后一列。第三列是文件主人的名字,userid。第四列是关联到这个文件的组,mygroup。最后一列是文件名。每个文件只能属于一个主人和一个组。可以为不能归于这两类的其他用户 (Other)设置权限。可以认为 Other 相当于 Windows 中的 Everyone 组。

一个文件只能属于一个主人,这在操作系统中很常见,但是,文件只能属于一个组,初次使用这一规则的管理员可能会觉得受到了限制。事实并不如此。由于用户可以同时是多个组的成员,所以只需要创建新的组就可以安全使用资源。在 Linux 中,往往是基于所需要的资源访问权限而不是根据业务单位来定义组。如果系统的资源逻辑上是有组织的,那么可以创建更多的组来更好地控制对资源的访问。

在本文最后的 参考资料 部分,您可以找到关于关联用户和组的更多详细资料。查看 man chmod 可以获得如何改变文件权限的详细信息。

结束语

在 Linux 中管理用户和组的方式与 Windows 中本质上是相同的,但是 Linux 中只能有惟一的组可以关联到一个系统资源。应该这样认识 Linux 中的组管理:不要吝惜对组的使用,在复杂的环境中,不要害怕创建很多组。应该根据资源访问权限而不是基于业务单位去创建组。

用户和组信息分别存储在 /etc/passwd 文件和 /etc/group 文件中。您的系统可能还会有 /etc/shadow 和 /etc/gshadow 文件,它们存储的是为了安全而经过加密的密码。直接编辑这些文件来管理用户和组不是不可以,但您一定要谨慎行事。

所有的用户和组的管理都可以在控制台中完成,可以写成脚本。也可以使用 Webmin 等工具以图形化的方式管理用户和组。

参考资料

* 阅读 Windows 到 Linux 之旅系列文章 的其他部分(developerWorks, 2003 年 11 月)。

* The Linux System Administrator's Guid, Chapter 11. Managing user accounts 虽然是一份比较老的文档,但是仍值得一读,因为管理用户和组的技术是通用的。这份指南将帮助您深入学习 Linux 中基于控制台的管理。

* Linux Headquarters 站点给出了关于很多主题的基本教程和提示。那些标签往往是“我已经安装了 Linux ... 现在该怎么办???”您可能会对 这些教程 很感兴趣。

* Linux Documentation Project 也提供了一个 分类的 HOWTO 列表,来帮助您快速方便地找到适当的文档。

* 在“针对 Linux 开发新手的基本任务”中也对使用 GUI 系统工具添加用户进行了介绍。

* developerWorks 教程“LPI certification 101 exam prep, Part 3: Intermediate administration”中也涉及了用户管理方面的内容。

* IBM Directory Server 实现了轻量目录访问协议(Lightweight Directory Access Protocol , LDAP),用于访问目录服务,尤其是那些基于 X.500 的目录服务。 更多细节请阅读“使用 IBM Directory Server 进行 Linux 用户验证”。

* Linux Documentation Project 的 Introduction to Linux 指南的 第 3 章中讲述了文件权限和安全。

* 阅读更多 Users and Logins 资料,请参考 Linux Unleashed (Macmillan Computer Publishing,1998 年)的相关章节,以及 The Official Red Hat Linux System Administration Primer(Red Hat, 2002 年)的 Managing Accounts and Groups。

* Maryland 大学共享了他们的关于 安全密码的选择 的思路与技巧。

* Red Hat Linux Manual 文档中有关于使用 Shadow passwd file 的详细资料。

* Linux Shadow Password HOWTO 介绍了映像系统的背景历史和相关资料,以及面向实现的循序渐进的指南。

* 系统安全是一个广泛而复杂的主题,但是在互联网的世界中,它会影响到每一个人。幸运的是,只要开始意识到这个问题,就不算晚。以下两篇文章将对您有所帮助,一篇是 Adding Security to Common Linux Distributions,另一篇是 Strategies for Keeping a Secure Server (来自于以前引用过的 Linux Administration Made Easy 指南的第 12 章)。

* IBM developerWorks 文章“Addressing security issues in Linux”将带您开始实现初步的安全。

* “Linux 用户技术 FAQ” (developerWorks, 2001 年 7 月)也可以帮助您顺利地从 Windows 过渡到 Linux。

* 要开始在 Linux 上使用 IBM 的软件产品,为您的 Linux 应用开发加油提速 将为您提供最好的参考资料。您可以找到关于 DB2、Lotus Domino、WebSphere Application Server、WebSphere Studio 等多种应用软件的安装提示和参考资料。您还可以登录获得免费的 Linux Software Evaluation Kit,里面有试用软件和培训资料。

* 在 developerWorks Linux 专区可以找到更多 为 Linux 开发者准备的参考资料。

关于作者

Chris Walden 是位于德克萨斯州奥斯汀的 IBM Developer Relations Technical Consulting(也称为 dragonslayers)的一名电子商务架构师,该公司为 IBM 商业伙伴提供教育、实现和咨询。他致力于 Linux 相关工作,一有机会就向身边的人宣传 Linux 的种种好处。除了完成他的架构师的职责之外,他还精通 Linux 基础设施服务器的各个领域,包括混合平台用户环境下的文件、打印以及其他应用服务等。Chris 有 10 年的计算机行业经验,从现场支持到 Web 应用开发和顾问,各个领域他都曾涉足。您可以通过 cmwalden-at-us.ibm.com 与 Chris 联系。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有