linux权限设计

╰+哭是因爲堅強的太久メ 2023-07-02 03:20 20阅读 0赞

## linux权限设计 ##

### 文章目录 ###

*   *  linux权限设计
     *   *  linux的安全性
         *   *  /etc/passwd文件
             *  /etc/shadow文件

缺乏安全性的系统不是完整的系统。系统中必须有一套能够保护文件免遭非授权用户浏览或修改的机制。Linux沿用了Unix文件权限的办法，即允许用户和组根据每个文件和目录的安全性设置来访问文件。

### linux的安全性 ###

Linux安全系统的核心是用户账户。每个能进入Linux系统的用户都会被分配唯一的用户账户。用户对系统中各种对象的访问权限取决于他们登录系统时用的账户。

用户权限是通过创建用户时分配的用户ID（User ID，通常缩写为UID）来跟踪的。UID是数值，每个用户都有唯一的UID，但在登录系统时用的不是UID，而是登录名。登录名是用户用来登录系统的最长八字符的字符串（字符可以是数字或字母），同时会关联一个对应的密码。

Linux系统使用特定的文件和工具来跟踪和管理系统上的用户账户。

#### /etc/passwd文件 ####

Linux系统使用一个专门的文件来将用户的登录名匹配到对应的UID值。这个文件就是/etc/passwd文件，它包含了一些与用户有关的信息。下面是Linux系统上典型的/etc/passwd文件的一个例子。

[root@localhost tmp]# cat /etc/passwd
    root:x:0:0:root:/root:/bin/bash
    bin:x:1:1:bin:/bin:/sbin/nologin
    daemon:x:2:2:daemon:/sbin:/sbin/nologin
    adm:x:3:4:adm:/var/adm:/sbin/nologin
    lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
    sync:x:5:0:sync:/sbin:/bin/sync
    shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
    halt:x:7:0:halt:/sbin:/sbin/halt
    mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
    operator:x:11:0:operator:/root:/sbin/nologin
    games:x:12:100:games:/usr/games:/sbin/nologin
    ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
    nobody:x:99:99:Nobody:/:/sbin/nologin
    systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin
    dbus:x:81:81:System message bus:/:/sbin/nologin
    polkitd:x:999:998:User for polkitd:/:/sbin/nologin
    libstoragemgmt:x:998:997:daemon account for libstoragemgmt:/var/run/lsm:/sbin/nologin
    abrt:x:173:173::/etc/abrt:/sbin/nologin
    rpc:x:32:32:Rpcbind Daemon:/var/lib/rpcbind:/sbin/nologin
    sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
    postfix:x:89:89::/var/spool/postfix:/sbin/nologin
    ntp:x:38:38::/etc/ntp:/sbin/nologin
    chrony:x:997:995::/var/lib/chrony:/sbin/nologin
    tcpdump:x:72:72::/:/sbin/nologin

root用户账户是Linux系统的管理员，固定分配给它的UID是 0 。就像上例中显示的，Linux系统会为各种各样的功能创建不同的用户账户，而这些账户并不是真的用户。这些账户叫作系统账户，是系统上运行的各种服务进程访问资源用的特殊账户。所有运行在后台的服务都需要用一个系统用户账户登录到Linux系统上。

在安全成为一个大问题之前，这些服务经常会用root账户登录。遗憾的是，如果有非授权的用户攻陷了这些服务中的一个，他立刻就能作为root用户进入系统。为了防止发生这种情况，现在运行在Linux服务器后台的几乎所有的服务都是用自己的账户登录。这样的话，即使有人攻入了某个服务，也无法访问整个系统。

Linux为系统账户预留了500以下的UID值。有些服务甚至要用特定的UID才能正常工作。为普通用户创建账户时，大多数Linux系统会从500开始，将第一个可用UID分配给这个账户（并非所有的Linux发行版都是这样）。

/etc/passwd文件包含了7个字段的信息，每个信息之间用：隔开，具体的信息含义如下：

*  登录用户名
 *  用户密码
 *  用户账户的UID（数字形式）
 *  用户账户的组ID（GID）（数字形式）
 *  用户账户的文本描述（称为备注字段）
 *  用户HOME目录的位置
 *  用户的默认shell

/etc/passwd文件中的密码字段都被设置成了x，这并不是说所有的用户账户都用相同的密码。

在早期的Linux上，/etc/passwd文件里有加密后的用户密码。但鉴于很多程序都需要访问

/etc/passwd文件获取用户信息，这就成了一个安全隐患。随着用来破解加密密码的工具的不断演进，用心不良的人开始忙于破解存储在/etc/passwd文件中的密码。Linux开发人员需要重新考虑这个策略。

现在，绝大多数Linux系统都将用户密码保存在另一个单独的文件中（叫作shadow文件，位置在/etc/shadow）。只有特定的程序（比如登录程序）才能访问这个文件。

/etc/passwd是一个标准的文本文件。你可以用任何文本编辑器在/etc/password文件里直接手动进行用户管理（比如添加、修改或删除用户账户）。但这样做极其危险。如果/etc/passwd文件出现损坏，系统就无法读取它的内容了，这样会导致用户无法正常登录（即便是root用户）。用标准的Linux用户管理工具去执行这些用户管理功能就会安全许多。

#### /etc/shadow文件 ####

/etc/shadow文件对Linux系统密码管理提供了更多的控制。只有root用户才能访问/etc/shadow文件，这让它比起/etc/passwd安全许多。

/etc/shadow文件为系统上的每个用户账户都保存了一条记录。记录就像下面这样：

[root@localhost tmp]# cat /etc/shadow
    root:$6$Ey4l/mJXzc7QRd./$QnD9WQYpZ1i98dduoD00kZ8Jzr6ojyL8gnQW.S2U6SwZmzDc8MXoSKJvFbYRj7igNfA0loLBj7VC1tokthMfu/::0:99999:7:::
    bin:*:17834:0:99999:7:::
    daemon:*:17834:0:99999:7:::
    adm:*:17834:0:99999:7:::
    lp:*:17834:0:99999:7:::
    sync:*:17834:0:99999:7:::
    shutdown:*:17834:0:99999:7:::
    halt:*:17834:0:99999:7:::
    mail:*:17834:0:99999:7:::
    operator:*:17834:0:99999:7:::
    games:*:17834:0:99999:7:::
    ftp:*:17834:0:99999:7:::
    nobody:*:17834:0:99999:7:::
    systemd-network:!!:18241::::::
    dbus:!!:18241::::::
    polkitd:!!:18241::::::
    libstoragemgmt:!!:18241::::::
    abrt:!!:18241::::::
    rpc:!!:18241:0:99999:7:::
    sshd:!!:18241::::::
    postfix:!!:18241::::::
    ntp:!!:18241::::::
    chrony:!!:18241::::::
    tcpdump:!!:18241::::::

/etc/shadow文件包含了9个字段的信息，每个信息之间用：隔开，具体的信息含义如下：

*  与/etc/passwd文件中的登录名字段对应的登录名
 *  加密后的密码
 *  自上次修改密码后过去的天数密码（自1970年1月1日开始计算）
 *  多少天后才能更改密码
 *  多少天后必须更改密码
 *  密码过期前提前多少天提醒用户更改密码
 *  密码过期后多少天禁用用户账户
 *  用户账户被禁用的日期（用自1970年1月1日到当天的天数表示）
 *  预留字段给将来使用

使用shadow密码系统后，Linux系统可以更好地控制用户密码。它可以控制用户多久更改一

次密码，以及什么时候禁用该用户账户，如果密码未更新的话。