Linux权限管理之基本权限

misty 2019年06月10日 106次浏览

Linux权限管理之基本权限

在Linux中一切皆文件

文件基本权限

  • -rw-r--r--

    • -文件类型 (-文件,d目录, l软连接)
    • rw-(u所有者) r--(g所属组) r--(o其他人)
    • r读权限 w写权限 x执行权限(execute)

chmod 命令

  • chmod [选项] 模式 文件名

    • -R 递归

    • 模式

      • [ugoa][+-=][rwx]
      • [mode=421]
  • 修改权限的方式

    • chmod u+x test.log 赋予文件拥有者对某个文件的执行权限
    • chmod g+w,o+w test.log 赋予文件所属组和其他用户文件写入权限,多个操作用,隔开
    • chmod a=rwx test.log 赋予全部用户读写和执行权限,=直接赋值即可,不用在意原来的权限

以上操作易用性不高,命令代码量略大,当操作的内容有差别的时候,不方便

  • 权限的数字表示

    • r --- 4
    • w --- 2
    • x --- 1
  • 示例 (常用)

    *   `chmod 777 test.log`   赋予文件读写执行权限给全部用户
    
    • chmod 644 test.log 赋予拥有者读写权限,所属组和其他用户只读权限
    • chmod 755 test.log 赋予拥有者读写执行权限,所有者和所属组读权限和可执行权限
    • chmod 467 test.log 这种权限赋予方式不合理,也不应该出现

权限对文件的作用

  • r:读取文件内容(cat more head tail)

  • w:编辑,新增,修改文件内容(vi echo)

  • 但是不包含删除文件权限,对文件有写权限,对其上一级目录没有写权限,不能删除

  • x:可执行

权限对目录的作用

  • r:可以查询目录下的文件名(ls)
  • w:具有修改目录结构的权限,如新建文件和目录,删除此目录下文件和目录,重命名此目录下文件和目录,剪切(touch rm mv cp)
  • x:可以进入目录(cd)

对文件来讲最高权限是x,对目录来讲最高权限是w ,所以对文件少赋予x权限,目录少赋予w权限;
对目录只能赋予 0(没有权限) 5(rx) 7(rwx) ,其他权限4,1,6没有任何意义

  • 添加用户进行测试
    useradd user1
    passwd 123456
#### 修改文件的所有者
  • chown 用户名 文件名

    *   `chown misty test.log`    >在实际操作过程中,超级用户如果要让一个用户拥有7权限,最合理的方式是直接将当前文件的拥有者修改成这个指定用户,防止为了让这个用户拥有7权限,而不得不赋予其他用户7权限的情况
    

    修改文件的所属组

  • chgrp 组名 文件名

    *   `chgrp group1 test.log`
    
  • 第二种方式 chown 所有者:所属组 文件名

    *   `chown root:root test.log`
    
  • 让用户对文件拥有一定的权限

要求:拥有一个test目录
     让misty拥有所有权限
     让所有学员拥有查看权限
     其他人不许查看这个目录

 mkdir test #创建test目录
 useradd misty # 添加一个用户
 passwd 123456 # 设置密码
 groupadd student #添加一个学生组
 gpasswd -a user1 student #向学生组添加一个用户,用户之前已创建
 useradd user2      # 添加一个用户 不设置密码
 gpasswd -a user2 student    # 向学生组添加第二个用户  
 chown misty:student test  # 修改文件夹的所有者和所属组
 chmod 750 test       # 修改文件夹的权限,赋予拥有者最高权限,用户组读权限和执行权限(可查看可进入),其他用户不给权限
> 分配文件基本权限时,核心原则:`在最小权限情况下能够实现要求即可`,直接赋予777是极其不负责任和不安全的行为

### 文件默认权限
  • 创建文件之后直接赋予的权限就是默认权限

  • umask 查看默认权限(umask值)

  • 0022 默认umask值0022

  • 第一位0:文件特殊权限

  • 022 :文件默认权限

  • 修改umask值 umask umask值 ,临时生效,重启电脑丧失作用

  • umask 033

  • 永久修改umask值 vi /etc/profile 在环境变量配置文件里面修改umask值

  • 文件的默认权限

    • 文件的默认权限不能建立为执行文件,必须手工赋予执行权限,防止直接的执行权限所带来的安群隐患
    • 所以文件默认权限最大为666
    • 默认权限需要换算成字再相减(不是直接相减)
    • 建立文件之后的默认权限 ,为666 减去umask
      img

    目录的默认权限

  • 目录的默认权限最大为777

  • 默认权限需要换算成字母再相减

  • 建立目录之后的默认权限,为777减去umask值
    img

  • 修改umask值为0000

    • 此时创建文件默认权限是666
    • 此时创建目录额默认权限是777
  • 普通用户的默认umask为0002,对应的权限是664

    • root用户的UID为0,普通用户的UID大于500,小于500为管理员

    ACL权限

    文件特殊权限

    不可改变位权限

    sudo权限

    以上都是操作文件的权限,只有sudo是操作命令的权限(严格意义命令也是文件)

    • root把本来只能超级用户执行的命令赋予普通用户执行
    • sudo的操作对象是系统命令

    sudo的使用

  • visudo 实际修改的是/etc/sudoers文件

  • root ALL=[(ALL)] ALL #用户名 被管理主机的地址 = (可使用的身份) 授权命令(绝对路径)

  • #%wheel ALL=[(ALL)] ALL #%组名 被管理主机的地址=(可使用的身份) 授权命令(绝对路径)

  • whereis [命令] 查看命令的路径

  • 例子1:

  • 授权普通用户可以重启服务器

    visudo
    #这里也可以不指定身份
    - user1 All=(ALL) /sbin/shutdown -r now # 这里写的越详细,用户的权限越小,越粗略,用户的权限越高因为命令以及命令的参数可以指定
    :wq
    # 切换成普通用户执行如下命令
    su  - user1 #切换成普通用户
    sudo -l #查看可用的sudo命令
    sudo /sbin/shutdown -r now  #普通用户执行sudo赋予的命令
> 命令赋予的时候需要写绝对路径,普通用户执行的时候也需要写绝对路径;centos 6之后可以不用写绝对路径,做了相关的优化,但是在其他的发行版仍然需要
  • 例子2 :

  • 授权普通用户可以添加其他用户

    visudo
     - user1 ALL=/usr/sbin/useradd #授权添加用户的权限
     - user1 ALL=/usr/bin/passwd #授权用户设定密码的权限 ,因为没有密码是无法登陆的
     #查看用户是否添加成功
     cat /etc/passwd
     sudo /usr/sbin/useradd misty #添加用户
     sudo /usr/bin/passwd misty #修改密码
     #重复输入两次密码,设置完成    ### 非常重要,在这里有一个巨大的隐患,因为权限设置太过于简单,导致权限过大,以至于可以修改root用户的密码
     #补齐下面这句话,不允许设置root用户的密码,三句代码的顺序不能颠倒
     - user1 ALL=/usr/bin/passwd[A-Za-z]*, !/usr/bin/passwd "", !/usr/bin/passwd root
     # 用户密码要包含字母,不能为""(不能直接passwd ,以sudo的话是以root身份修改密码),不能为root用户设置密码
     ### 重要:当以sudo执行命令的时候身份是root,如果passwd后面不带用户,代表可以修改当前用户身份的密码(sudo 为root身份)
    
  
*   例子三

  *   不可以将sudo权限赋值给`vi`命令

```shell
 ### 查看保存密码的文件
  /bin/vi /etc/shadow # 编辑shadow
  ll /etc/shadow      #普通用户这个文件根本没有权限
  #但是一旦vi被赋予sudo权限,编辑shadow将加密的密码直接替换原来的,就可以修改密码,
  • 超级管理员打开shadow 文件
    img