用戶、組、權限、grep

<font color=red>權限總結表</font>
操作 源目錄權限 文件權限 目標目錄權限
rm刪文件 wx - -
mv改名 wx - -
mv移動文件 wx r wx
cp復制文件 x r wx

生成文件 wx - -

追加內容到文件 x w -
覆蓋文件內容 x w -
vim編輯 x rw -
執行二進制文件 x x -
執行shell腳本 x rx -
知識點：useradd，getent，恢復家目錄，加入附加組，刪除附加組，文件目錄權限，復制文件需要的最小權限，umask，Linux特殊權限SUID，SGID，Sticky BIT；Linux特殊屬性設置與查看：chatr，lsattr；ACL權限；文件訪問的權限順序；

cal、chown、chmod、chattr、lsattr、chpasswd、chsh（usermod -s）、chage、getent、getfacl、setfacl、groups、groupmems、groupadd、groupdel、gpasswd、head、less、more、nl、newgrp、newusers、od、tac、tail、umask、usermod、userdel、

用戶、組
查看httpd的安裝腳本
[root@centos7 ~]# rpm -q --scripts httpd
preinstall scriptlet (using /bin/sh):

Add the "apache" group and user

/usr/sbin/groupadd -g 48 -r apache 2> /dev/null || :
/usr/sbin/useradd -c "Apache" -u 48 -g apache \
-s /sbin/nologin -r -d /usr/share/httpd apache 2> /dev/null || :
postinstall scriptlet (using /bin/sh):

if [ $1 -eq 1 ] ; then

Initial installation

    systemctl preset httpd.service htcacheclean.service >/dev/null 2>&1 || : 

fi
preuninstall scriptlet (using /bin/sh):

if [ $1 -eq 0 ] ; then

Package removal, not upgrade

    systemctl --no-reload disable httpd.service htcacheclean.service > /dev/null 2>&1 || : 
    systemctl stop httpd.service htcacheclean.service > /dev/null 2>&1 || : 

fi
postuninstall scriptlet (using /bin/sh):

systemctl daemon-reload >/dev/null 2>&1 || :

Trigger for conversion from SysV, per guidelines at:

https://fedoraproject.org/wiki/Packaging:ScriptletSnippets#Systemd

posttrans scriptlet (using /bin/sh):
test -f /etc/sysconfig/httpd-disable-posttrans || \
/bin/systemctl try-restart httpd.service htcacheclean.service >/dev/null 2>&1 || :
/usr/sbin/groupadd -g 48 -r apache 2> /dev/null
groupadd創建組，-g指定gid，-r指定系統組，apache為創建的組名。2>/dev/null不打印錯誤信息

/usr/sbin/useradd -c "Apache" -u 48 -g apache -s /sbin/nologin -r -d /usr/share/httpd apache 2> /dev/null
useradd創建用戶，-c"Apache"為用戶說明，-u 48指定uid，-g apache指定主組，-s /sbin/nologin指定用戶默認shell類型，-r指定為系統用戶，-d /usr/share/httpd 指定該用戶的家目錄，2>/dev/null不輸出錯誤信息

ubuntu創建用戶：useradd -ms /bin/bash zhangsan，ubuntu默認創建用戶不創建家目錄，要加-m參數，默認shell為sh，要使用-s /bin/bash指定shell

useradd -r -s /sbin/nologin mysql
創建系統類型的mysql用戶，shell類型為/sbin/nologin

修改密碼：
1、passwd --stdin(ubuntu不支持)
[root@centos7 ~]# echo 123 | passwd --stdin alice
更改用戶 alice 的密碼 。
passwd：所有的身份驗證令牌已經成功更新。
2、chpasswd（通用型ubuntu和centos都可以）
chpasswd可以用于批量改密碼

[root@centos7 ~]# echo alice:123 | chpasswd
3、passwd -q（通用型）
[root@centos7 ~]# echo -e "123\n123" | passwd alice
更改用戶 alice 的密碼 。
新的 密碼：無效的密碼： 密碼少于 8 個字符
重新輸入新的 密碼：passwd：所有的身份驗證令牌已經成功更新。
4、passwd其他參數
usermod -L也可以實現鎖定用戶，usermod -U也可以實現解鎖用戶

-e：讓某用戶密碼過期，下次登陸必須改密碼。passwd -e alice

-l：鎖定用戶，下次無法登陸。passwd -l alice.
-u：與-l相反，解鎖用戶。passwd -u alice
newusers批量創建用戶，chpasswd批量改密碼
通過passwd格式的文件批量創建用戶

[root@centos7 ~]# cat users.txt
wangmazi:x:2000:2000:wangmazi:/home/wangmazi:/bin/bash
wangmazi2:x:2001:2001:wangmazi2:/home/wangmazi2:/bin/bash
[root@centos7 ~]# newusers users.txt
[root@centos7 ~]# id wangmazi
uid=2000(wangmazi) gid=2000(wangmazi) 組=2000(wangmazi)
[root@centos7 ~]# id wangmazi2
uid=2001(wangmazi2) gid=2001(wangmazi2) 組=2001(wangmazi2)
[root@centos7 ~]# cat passwd.txt
wangmazi:123
wangmazi2:123
[root@centos7 ~]# cat passwd.txt | chpasswd
[root@centos7 ~]# getent shadow wangmazi
wangmazi:$6$GTDPf/xUtOE$2XBjr7prZI0mr3M4SH1z4/Gmhoyut/IWv6YOKQd1jhGYl8NweXhIH7sFQDbATniaKlR4ZPHlnJZTqhOJpDLyC1:18104:0:99999:7:::
[root@centos7 ~]# getent shadow wangmazi2
wangmazi2:$6$CZ6RG/ndilFV2s$gsl4mVNkE/QlctHn6EQDw74uilWofVSjuw8bYOfeh4LqUP8INw7R46THhzfSY88AYvpJMHSM43Psgu1Y5ODBw1:18104:0:99999:7:::
創建目錄的隱藏文件哪來的？
/etc/skel/目錄來的，希望新建的用戶家目錄有某某某文件，把文件放到/etc/skel目錄即可

[root@centos7 ~]# ls /home/alice/ -a
. .bash_logout .bashrc 模板
.. .bash_profile .mozilla
[root@centos7 ~]# ls /etc/skel/ -a
. .bash_logout .bashrc 模板
.. .bash_profile .mozilla
用戶的默認配置，默認家目錄，默認shell，默認mail等等在哪里配置？
/etc/login.defs /etc/useradd

[root@centos7 ~]# grep -Ev "^$|#" /etc/login.defs
MAIL_DIR /var/spool/mail
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
UID_MIN 1000
UID_MAX 60000
SYS_UID_MIN 201
SYS_UID_MAX 999
GID_MIN 1000
GID_MAX 60000
SYS_GID_MIN 201
SYS_GID_MAX 999
CREATE_HOME yes
UMASK 077
USERGROUPS_ENAB yes
ENCRYPT_METHOD SHA512
[root@centos7 ~]# grep -Ev "^$|#" /etc/default/useradd
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes
getent查看某用戶的passwd庫、shadow庫、group庫等信息
更多可以看getent --help

[root@centos7 ~]# getent passwd alice
alice:x:2006:2006::/home/alice:/bin/bash
[root@centos7 ~]# getent group alice
alice:x:2006:
[root@centos7 ~]# getent shadow alice
alice:!!:18104:0:99999:7:::
useradd幫助
不想創建家目錄可以使用-M，ubuntu默認就不創建家目錄，centos默認會創建家目錄

[root@centos7 ~]# useradd --help
用法：useradd [選項] 登錄
useradd -D
useradd -D [選項]

選項：
-b, --base-dir BASE_DIR 新賬戶的主目錄的基目錄
-c, --comment COMMENT 新賬戶的 GECOS 字段
-d, --home-dir HOME_DIR 新賬戶的主目錄
-D, --defaults 顯示或更改默認的 useradd 配置
-e, --expiredate EXPIRE_DATE 新賬戶的過期日期
-f, --inactive INACTIVE 新賬戶的密碼不活動期
-g, --gid GROUP 新賬戶主組的名稱或 ID
-G, --groups GROUPS 新賬戶的附加組列表
-h, --help 顯示此幫助信息并推出
-k, --skel SKEL_DIR 使用此目錄作為骨架目錄
-K, --key KEY=VALUE 不使用 /etc/login.defs 中的默認值
-l, --no-log-init 不要將此用戶添加到最近登錄和登錄失敗數據庫
-m, --create-home 創建用戶的主目錄
-M, --no-create-home 不創建用戶的主目錄
-N, --no-user-group 不創建同名的組
-o, --non-unique 允許使用重復的 UID 創建用戶
-p, --password PASSWORD 加密后的新賬戶密碼
-r, --system 創建一個系統賬戶
-R, --root CHROOT_DIR chroot 到的目錄
-s, --shell SHELL 新賬戶的登錄 shell
-u, --uid UID 新賬戶的用戶 ID
-U, --user-group 創建與用戶同名的組
-Z, --selinux-user SEUSER 為 SELinux 用戶映射使用指定 SEUSER
給alice用戶添加三個附加組：root，bob，jerry
usermod命令如果僅使用-G選項，新的附加組會替換舊的附加組，-aG表示追加附加組，不影響原有的附加組。-G ""可以清除該用戶的所有附加組

[root@centos7 ~]# usermod -aG root,bob,jerry alice
查看alice加入了那些組
[root@centos7 ~]# id alice
uid=2006(alice) gid=2006(alice) 組=2006(alice),0(root),1006(bob),1007(jerry)
查看root組有哪些附加用戶
[root@centos7 ~]# getent group root
root:x:0:gentoo,alice
[root@centos7 ~]# groupmems -g root -l
gentoo alice
把alice踢出root組
[root@centos7 ~]# groupmems -g root -d alice
[root@centos7 ~]# id alice
uid=2006(alice) gid=2006(alice) 組=2006(alice),1006(bob),1007(jerry)
清除alice的所有附加組
使用空來替換alice原有的附加組，

[root@centos7 ~]# usermod -G "" alice
[root@centos7 ~]# id alice
uid=2006(alice) gid=2006(alice) 組=2006(alice)
groupmems幫助
[root@centos7 ~]# groupmems --help
用法：groupmems [選項] [動作]

選項：
-g, --group groupname 更改組 groupname，而不是用戶的組(只 root)
-R, --root CHROOT_DIR chroot 到的目錄

動作：
-a, --add username 將用戶 username 添加到組成員中
-d, --delete username 從組的成員中刪除用戶 username
-h, --help 顯示此幫助信息并推出
-p, --purge 從組中移除所有成員
-l, --list 列出組中的所有成員
如果alice家目錄被刪，家目錄沒東西，如何快速恢復alice家目錄
1、/etc/skel恢復
[root@centos7 ~]# rm -rf /home/alice/
[root@centos7 ~]# cp /etc/skel /home/alice -a
[root@centos7 ~]# chmod 700 /home/alice
[root@centos7 ~]# chown alice:alice /home/alice -R
2、新建用戶恢復
[root@centos7 ~]# rm -rf /home/alice/
[root@centos7 ~]# useradd rose
[root@centos7 ~]# cp /home/{rose,alice} -a
[root@centos7 ~]# chown alice:alice /home/alice -R
[root@centos7 ~]# userdel -r rose
定義別名，防止rm誤刪
[root@centos7 ~]# mkdir /data/.trash -p
[root@centos7 ~]# echo "alias rm='mv -t /data/.trash'" >> ~/.bashrc
[root@centos7 ~]# . ~/.bashrc
[root@centos7 ~]# rm hello.txt
[root@centos7 ~]# ls /data/.trash/
hello.txt
通過id命令判斷用戶是否存在，不存在則創建
-u -G

[root@centos7 ~]# id root
uid=0(root) gid=0(root) 組=0(root)
[root@centos7 ~]# id wang
uid=1003(wang) gid=1003(wang) 組=1003(wang),10(wheel)
切換用戶
1、su wang（不完全切換，類似于出差）
切換到wang用戶，PATH變量，環境不變，當前目錄不變

2、su -l wang（完全切換，類似于搬家）
-l即--login，表示完全切換，可以縮寫成su - wang，

3、nologin的用戶不能切
系統用戶一般都是nologin，不能切換

4、臨時切換root執行個命令
[qqq@centos7 ~]$ su - -c "cat /etc/shadow"
修改用戶密碼策略chage
chage

[root@centos7 ~]# chage --help
用法：chage [選項] 登錄

選項：
-d, --lastday 最近日期 將最近一次密碼設置時間設為“最近日期”
-E, --expiredate 過期日期 將帳戶過期時間設為“過期日期”
-h, --help 顯示此幫助信息并推出
-I, --inactive INACITVE 過期 INACTIVE 天數后，設定密碼為失效狀態
-l, --list 顯示帳戶年齡信息
-m, --mindays 最小天數 將兩次改變密碼之間相距的最小天數設為“最小天數”
-M, --maxdays 最大天數 將兩次改變密碼之間相距的最大天數設為“最大天數”
-R, --root CHROOT_DIR chroot 到的目錄
-W, --warndays 警告天數 將過期警告天數設為“警告天數”
chfn指定個人信息
chsh修改用戶shell，等于usermod -s
newgrp
創建用戶gentoo，附加組為bin和root，默認shell為/bin/csh，注釋信息為”Gentoo Distribution“
[root@centos7 ~]# getent passwd gentoo
[root@centos7 ~]# useradd gentoo -G bin,root -s /bin/csh -c "Gentoo Distribution"
[root@centos7 ~]# getent passwd gentoo
gentoo:x:2007:2007:Gentoo Distribution:/home/gentoo:/bin/csh
創建下面的用戶、組、成員關系
名字為webs的組

用戶nginx，使用webs作為附加組

用戶varnish，使用webs作為附加組

用戶mysql，不可交互登陸系統，不是webs組成員。nginx，mysql，varnish密碼都是magedu

[root@centos7 ~]# getent group webs
webs:x:2008:
[root@centos7 ~]# getent passwd nginx varnish mysql
nginx:x:987:981:nginx user:/var/cache/nginx:/sbin/nologin
mysql:x:986:980::/home/mysql:/sbin/nologin
[root@centos7 ~]# userdel -r nginx
[root@centos7 ~]# groupdel webs
[root@centos7 ~]#
[root@centos7 ~]# groupadd webs
[root@centos7 ~]# useradd -G webs nginx
[root@centos7 ~]# useradd -G webs mysql
[root@centos7 ~]# userdel -r mysql
[root@centos7 ~]# useradd -G webs varnish
[root@centos7 ~]# useradd -s /sbin/nologin mysql
[root@centos7 ~]# echo magedu | passwd --stdin nginx
更改用戶 nginx 的密碼 。
passwd：所有的身份驗證令牌已經成功更新。
[root@centos7 ~]# echo magedu | passwd --stdin mysql
更改用戶 mysql 的密碼 。
passwd：所有的身份驗證令牌已經成功更新。
[root@centos7 ~]# echo magedu | passwd --stdin varnish
更改用戶 varnish 的密碼 。
passwd：所有的身份驗證令牌已經成功更新。
[root@centos7 ~]# getent passwd nginx varnish mysql
nginx:x:2008:2009::/home/nginx:/bin/bash
varnish:x:2009:2010::/home/varnish:/bin/bash
mysql:x:2010:2011::/home/mysql:/sbin/nologin
[root@centos7 ~]# groupmems -g webs -l
nginx varnish
[root@centos7 ~]# getent shadow nginx mysql varnish
nginx:$6$hch9C3JT$oK5.j.CG8rJ1kndv542EbBBEtdB2SYqER9n8m48KUtr0wFuENZviQL2X/IO6CfsAfyYpZH4F856JGRIpCSgit.:18104:0:99999:7:::
mysql:$6$iODHihkf$slMMlr2yfQO9NY6Ob/QIV4t8VaFm7yQRLg4VIRJTB6ZGi3a9RqBE8VMo/fzU3u2bjP9nakiai8W.0Y2CRsFr/:18104:0:99999:7:::
varnish:$6$pdjOkLXJ$D4Xzm3v8oyiQjakHhmU/5Yg.05XKDZCsUWoWZ7e7HtqyW6WacfjJqEZWMZudDECoqdRtWNS8szrDg8tDHm1y60:18104:0:99999:7:::
文件權限
圖片參考：Linux文件屬性詳解
參考：Linux文件權限的總結詳解

chmod幫助
[root@centos7 ~]# chmod --help
用法：chmod [選項]... 模式[,模式]... 文件...
　或：chmod [選項]... 八進制模式 文件...
　或：chmod [選項]... --reference=參考文件 文件...
Change the mode of each FILE to MODE.
With --reference, change the mode of each FILE to that of RFILE.

-c, --changes like verbose but report only when a change is made
-f, --silent, --quiet suppress most error messages
-v, --verbose output a diagnostic for every file processed
--no-preserve-root do not treat '/' specially (the default)
--preserve-root fail to operate recursively on '/'
--reference=RFILE use RFILE's mode instead of MODE values
-R, --recursive change files and directories recursively
--help 顯示此幫助信息并退出
--version 顯示版本信息并退出

Each MODE is of the form '[ugoa]([-+=]([rwxXst]|[ugo]))+|[-+=][0-7]+'.
文件的權限：
r：可以讀取文件

w：可以修改、增加文件內容。（1）如果沒r權限，則不能vim，只能覆蓋或追加。（2）能否刪文件取決于父目錄的權限

x：執行權限。（1）沒有r權限，不能執行shell腳本，會報權限不足，但能執行二進制程序。

目錄的權限：
r：具有瀏覽目錄的功能。（1）沒有x權限，不能進入目錄，ls -l只能看到文件名，看不到文件權限信息。不能進入目錄的子目錄。

w：必須配合x權限。具有增加，刪除，修改，移動，復制目錄內的文件。（1）沒有x權限，不能vim創建文件，不能使用重定向創建文件。（2）沒r權限，不能看到目錄下的文件； （3）沒x權限，不能修改文件名。目錄有了wx權限，可以刪除，改名文件（前提知道目錄下的文件名）（4）不能修改目錄下別人文件的權限，能否追加內容，查看文件內容還要取決于該文件的權限。（5）移動目錄內的文件除了目錄需要wx，文件也需要r（6）cp文件，目錄不需要w

x：能進入目錄。（1）沒r權限，看不到目錄內容（2）沒w權限，不能創建，刪除，修改mv（3）cp文件除了目錄需要x，文件也需要r

面試題：完成下列操作需要的最小權限：
cp /etc/fstab /data/testdir/
1、用戶要有cp命令的執行權限（shell腳本還需要r權限）；

2、/etc目錄要有x權限（可以進去）

3、fstab需要r

4、/data目錄需要x權限（可以進去）

5、/data/testdir目錄需要wx權限（可以進去并修改）

權限總結
操作 源目錄權限 文件權限 目標目錄權限
rm刪文件 wx - -
mv改名 wx - -
mv移動文件 wx r wx
cp復制文件 x r wx

生成文件 wx - -

追加內容到文件 x w -
覆蓋文件內容 x w -
vim編輯 x rw -
執行二進制文件 x x -
執行shell腳本 x rx -
umask與權限
打印umask值 ： umask
umask默認值022
創建的文件的默認權限：666-umask（如果出現奇數，奇數加一）
因為文件默認不能有執行權限，很危險

比如umask=023，創建的文件權限=666-023=643,3是奇數，加一，最終權限為644

創建的目錄的默認權限：777-umask
比如umask=023，創建的目錄權限為777-023=654

設置umask
echo "umask 022" >> ~/.bashrc

Linux特殊權限：SUID、SGID、SBIT
SUID
操作對象：可執行的二進制文件
作用：讓普通用戶臨時擁有某執行文件所有者的權限（讓本來沒有相應權限的用戶運行這個程序時，可以訪問他沒有權限訪問的資源）
例如：passwd
[root@centos7 ~]# which passwd | xargs ls -l
-rwsr-xr-x. 1 root root 27832 6月 10 2014 /usr/bin/passwd
使用方法：chmod 4744 file1 chmod +s file1
SGID
1、作用于目錄：當用戶在此目錄下創建文件時，文件的所屬組會自動繼承目錄的所屬組
2、作用于二進制可執行文件：當用戶執行此程序時，將會臨時繼承此程序所屬組的權限
SBIT
操作對象：目錄
作用：粘滯位，只能針對目錄設置，設置后只有文件所有者或者root才可以刪除和移動其中的文件
例如：/tmp目錄
[root@centos7 ~]# ll /tmp -d
drwxrwxrwt. 15 root root 4096 7月 28 21:17 /tmp
使用方法：chmod 1755 /data chmod +t /data
Linux特殊屬性
chattr
i屬性：加上后不能修改文件，包括刪除，改名
a屬性：加上后只能追加文件
lsattr
顯示文件屬性

[root@centos7 ~]# chattr +i /etc/passwd #加i屬性
[root@centos7 ~]# lsattr /etc/passwd #查看特殊屬性
----i----------- /etc/passwd
[root@centos7 ~]# rm /etc/passwd #刪除不了
rm：是否刪除普通文件 "/etc/passwd"？y
rm: 無法刪除"/etc/passwd": 不允許的操作
[root@centos7 ~]# mv /etc/{passwd,p} #改名失敗
mv: 無法將"/etc/passwd" 移動至"/etc/p": 不允許的操作
[root@centos7 ~]# echo hello >> /etc/passwd #追加失敗
-bash: /etc/passwd: 權限不夠
[root@centos7 ~]# chattr -i /etc/passwd #去掉i屬性
[root@centos7 ~]# lsattr /etc/passwd #查看屬性
---------------- /etc/passwd
ACL權限
Access Control list：訪問控制列表

單獨給某用戶，某組來這設置權限

CentOS之前版本，默認手工創建的ext4系統無ACL功能，需要手動增加
tune2fs -o acl /dev/sdb1
mount -o acl /dev/sdb1 /mnt/test
setfacl -m 設置ACL權限
setfacl -x 取消權限
setfacl -b 文件 清除全部ACL權限
getfacl file 查看ACL權限
[root@centos7 ~]# setfacl -m u:qqq:w date.sh #設置ACL
[root@centos7 ~]# getfacl date.sh #查看ACL

file: date.sh

owner: root

group: root

user::---
user:qqq:-w-
group::---
mask::-w-
other::--x

[root@centos7 ~]# setfacl -x u:qqq date.sh
[root@centos7 ~]# getfacl date.sh

file: date.sh

owner: root

group: root

user::---
group::---
mask::---
other::--x
[root@centos7 ~]# setfacl -x date.sh #清除所有ACL權限
ACL生效順序：文件所有者，自定義用戶，自定義組+所屬組累加權限，其他人