建站
咨詢
售后
建站咨詢
新聞中心
隨著Linux在服務器端的廣泛應用，Linux系統(tǒng)的安全性也得到了廣泛關(guān)注。在Linux之中，組設置及管理員權(quán)限設置是保證系統(tǒng)安全性的兩個重要方面。本文將向大家介紹Linux中如何進行組設置及管理員權(quán)限設置，以加強系統(tǒng)的安全性。
一、組設置
組是一種方便多個用戶管理的機制。組的作用在于將用戶分組，并給予相應的文件和目錄的權(quán)限。在Linux中，每個用戶都可以歸屬于多個組。組設置可以用來增強系統(tǒng)中某些用戶的安全級別。
1、創(chuàng)建組
在Linux中，創(chuàng)建組的命令是groupadd。其語法如下：
“`
groupadd [option] groupname
“`
其中，groupname為組名稱。例如，輸入命令：
“`
groupadd testgroup
“`
則可創(chuàng)建一個名為testgroup的組。
2、刪除組
刪除組的命令是groupdel。其語法如下：
“`
groupdel groupname
“`
其中，groupname為被刪除的組名稱。例如，輸入命令：
“`
groupdel testgroup
“`
則可刪除名為testgroup的組。
3、查看組
查看組的命令是groups。其語法如下：
“`
groups [username]
“`
其中，username為指定的用戶，如果不指定，則默認查看當前用戶所屬的組。例如，輸入命令：
“`
groups
“`
則可查看當前用戶所屬的組。
4、將用戶添加到組
將用戶添加到組的命令是usermod。其語法如下：
“`
usermod -aG groupname username
“`
其中，groupname為組名稱，username為指定的用戶名。例如，輸入命令：
“`
usermod -aG testgroup testuser
“`
則可將名為testuser的用戶添加到testgroup組。
二、管理員權(quán)限設置
以root用戶為例，root用戶在Linux中擁有系統(tǒng)更高權(quán)限。管理員權(quán)限設置可以用來限制其他用戶在操作系統(tǒng)中訪問敏感內(nèi)容。
1、添加管理員
在Linux中，可以通過執(zhí)行visudo命令來編輯sudoers文件，從而添加管理員。sudoers文件中存儲著Linux系統(tǒng)管理員的信息。
在執(zhí)行visudo命令時會打開sudoers文件，該文件定義了用戶和組的權(quán)限關(guān)系。在sudoers文件中，以root用戶為例，其默認的文件路徑為/etc/sudoers。
在sudoers文件中添加一名管理員，以下是訪問sudoers文件的命令：
“`
sudo visudo
“`
此時，會打開一個文本編輯器，可以在其中編輯sudoers文件。在文件中最后添加以下命令：
“`
myuser ALL=(ALL) ALL
“`
其中，myuser為指定的管理員用戶名。這條命令表示：
– myuser用戶被允許通過sudo命令執(zhí)行任何指令；
– myuser用戶可以作為任何用戶執(zhí)行任何指令。
添加后，保存并關(guān)閉文件。
2、限制管理員權(quán)限
有時候，為了限制管理員權(quán)限，我們需要配置sudoers文件來限制管理員可以執(zhí)行的操作。以下是限制管理員的命令：
“`
sudo visudo
“`
在sudoers文件中，以限制myuser管理員為例，可以添加以下命令：
“`
myuser ALL=(ALL) NOPASSWD: /in/halt, /in/reboot, /usr/bin/shutdown
“`
這條命令表示，myuser管理員被允許執(zhí)行/in/halt、/in/reboot和/usr/bin/shutdown指令。
3、授權(quán)其他用戶
有時候，我們可能需要授權(quán)其他用戶來執(zhí)行一些指定的操作。在sudoers文件中授權(quán)其他用戶也是非常簡單的。以下是授權(quán)其他用戶的命令：
“`
sudo visudo
“`
在sudoers文件中，以授權(quán)testuser為例，可以添加以下命令：
“`
testuser ALL=(ALL) NOPASSWD: /usr/bin/top
“`
這條命令表示，testuser用戶被允許執(zhí)行/usr/bin/top指令。
管理員在Linux中有更高的權(quán)限，因此在進行組設置及管理員權(quán)限設置時需要特別小心。在組設置方面，建議按照具體需要來分組，以便靈活配置用戶的權(quán)限。在管理員權(quán)限設置方面，需要靈活控制管理員的權(quán)限，以防止權(quán)限過大導致數(shù)據(jù)泄露。在授權(quán)其他用戶時，也需要仔細控制用戶的權(quán)限，以免出現(xiàn)安全問題。
相關(guān)問題拓展閱讀：
- linux里面怎么設置用戶只能看某個目錄下的文件?
- Linux特殊權(quán)限 SUID、SGID、Sticky
linux里面怎么設置用戶只能看某個目錄下的文件?
把A用戶放入a組，BCD用戶放入b組
然后把1目錄的權(quán)限設成rwxrwx—，肢喊然后組是a組
最后，悉饑鏈再把BCD用戶加入a的額外組睜孫里面，就可以了
可以用setfacl -x u:userA -R / #刪除userA的所有權(quán)限，
setfacl -m u:userA:rwx /dir1 #賦予userA對dir1的讀寫執(zhí)行權(quán)限，
setfacl -m u:userB:rwx /dir1 #賦予userB對dir1的rwx權(quán)限，同理可以設置userB C D對dir2，3，4等等其它目錄的權(quán)判氏限。
不過一般設置權(quán)限都需要你有root權(quán)限才行。
1、首先在終端輸入 su 回車， 輸入root帳戶密碼，獲得root權(quán)限（如果已經(jīng)是管理員權(quán)限則這步可以省了）。
2、然后就是chmod 777（此處空格）+上你要改的文件目錄地址，777的意思是給所有的用戶讀、寫、執(zhí)行的權(quán)限。
3、還有常用的是755（把上面的命令中的777改成755）這掘敬散是對目錄的所稿老有者添加讀、寫、執(zhí)行的權(quán)限，其他用戶只有讀和執(zhí)行的權(quán)限。
可使用chmod命令：
用于改變文件或目錄的訪問權(quán)限.用戶用它控制文件或目錄的訪問權(quán)限.
語法：該命令有兩種用法。一種是包含字母和操作符表達式的文字設定法；另一種是包含數(shù)字的數(shù)字設定法。 1. 文字設定法
chmod 文件名? 參數(shù)：
操作對象who可是下述字母中的任一個或者它們的組合： u 表示“用戶（user）寬芹液”，即文件或目錄的所有者。
g 表示“同組（group）用戶”，即與文件屬主有相同組ID的所有用戶。 o 表示“其他（others）用戶”。
a 表示“所有（all）用戶”。它是系統(tǒng)默認值。 操作符號可以是： + 添加某個權(quán)限。 – 取消某個權(quán)限。
= 賦予給定權(quán)限并取消其他所有權(quán)限（如果有的話）。
設置mode所表示的權(quán)限可用下述字母的任意組合： r 可讀。 w 可寫。 x 可執(zhí)行。
X 只有目標文件對某些用戶是可執(zhí)行的或該目標文件是目錄時才追加x 屬性。
s 在文件執(zhí)行時把進程的屬主或組ID置為該文件的文件慎物屬主。方式“u＋s”設置文件的用戶ID位，“g＋s”設置組首攜ID位。
wk_ad_begin({pid : 21});wk_ad_after(21, function(){$(‘.ad-hidden’).hide();}, function(){$(‘.ad-hidden’).show();});
t 保存程序的文本到交換設備上。 u 與文件屬主擁有一樣的權(quán)限。
g 與和文件屬主同組的用戶擁有一樣的權(quán)限。 o 與其他用戶擁有一樣的權(quán)限。
文件名：以空格分開的要改變權(quán)限的文件列表，支持通配符。 在一個命令行中可給出多個權(quán)限方式，其間用逗號隔開。例如：chmod g+r，o+r example 使同組和其他用戶對文件example 有讀權(quán)限
權(quán)限分為 讀寫執(zhí)行 （r w x ）
用戶分為（文件所屬） 擁有者owner 同組 grouper 其他人other
1文件 將B/C/D 劃分為同組成員 ，然后對悄基/根目錄（或者為1的上級目錄）做只有擁有者及同組成員有 r w x 權(quán)限（自定義），A為此運老其它成員，單獨為1做其它人也能訪問的權(quán)限（rwx）
命令森升涉及 chmod ;chown -R
用ACL授權(quán)可以處理這個問題
setfacl -m u:username:rwx dir/file 虛遲
-m：添加或者修改
u:username:rwx
g:groupname:rwx
setfacl -m u:username:r -R dir #同時設置子目錄下的權(quán)限型譽指
-R : 遞歸設置子目錄下的權(quán)限
setfacl -x u:username dir/file #刪除用戶的權(quán)限
setfacl -x g:groupname dir/file #刪除組的權(quán)限
setfacl -b dir/file #刪除該目錄的全部acl權(quán)卜配限
就這個問題，可以用
setfacl -x u:userA -R / #刪除userA的所有權(quán)限
setfacl -m u:userA:rwx /dir1 #賦予userA對dir1的讀寫執(zhí)行權(quán)限
Linux特殊權(quán)限 SUID、SGID、Sticky
文件的特殊權(quán)限有三種：1、suid;2、sgid;3、sticky，其中，suid和sgid用于累加提升權(quán)限，簡單來說就是如果原來的用戶可以訪問，反而切換到的用戶或者組不能訪問，這時候照樣是可以訪問的，下面介紹下森坦這此手桐三種權(quán)限。
SUID：
1、需要注意的是，只對二進制可執(zhí)行程序有效，不能為普通文件;
2、發(fā)起者對程序文件必須擁有執(zhí)行權(quán)限;
3、啟動為進程之后，其進程的宿主為原程序文件的宿主;
4、SUID設置在目錄上毫無意義。
SGID：
可以應用在二進制文件和作用在文件夾下，當作用在二進制文件下時，作用和SUID相似，只不過SUID是把發(fā)起者臨時變?yōu)槲募乃姓?，而SGID是把進程的發(fā)起者變成源程序文件的屬組，默認情況下，用戶創(chuàng)建文件時，其屬組為此用戶所屬的主組，當SGID作用在目錄下時，則對此目錄有寫權(quán)限的用戶在此目錄中創(chuàng)建的文件所屬的組為此目錄的屬組，通常用于創(chuàng)建一個協(xié)作目錄薯消。
Sticky：
默認情況下用戶可以刪除具有寫權(quán)限的目錄中的任何文件，無論該文件的權(quán)限或擁有權(quán)，如果在目錄設置Sticky位，只有文件的所有者或root**可以刪除該文件，Sticky位是作用在文件夾的，設置在文件上毫無意義。
在理解特殊權(quán)限之前,需要先具備幾個關(guān)于安全上下文的認知:
前提：進程有屬主和屬組；文件有屬主和屬組；
字母表示法:
數(shù)字表示法:
在普通三位數(shù)字權(quán)限位之前,用4代表添加的SUID位
文件權(quán)限表示:
環(huán)境前提:
linux中有一個二進制程序cat,屬主屬組均為root
linux中有一個系統(tǒng)文件/etc/shadow,屬主屬組均為root
我們創(chuàng)建一個普通用戶叫user1
user1具有對cat的執(zhí)行權(quán)限
user1 不具有對/etc/shadow的任何權(quán)限
默認情況下
user1執(zhí)行cat,系統(tǒng)創(chuàng)建一個cat進程,進程的屬主屬組取程序發(fā)起者,也就是user1:user1
cat進程訪問/etc/shadow,由于進程屬主屬組是user1:user1,與/etc/shadow的屬組屬主都不匹配,所以被拒絕訪問.
給cat設置SUID之后
user1執(zhí)行cat.系統(tǒng)創(chuàng)建一個cat進程,進程的屬主取cat的屬主,屬組取程序發(fā)起者,就是root:user1
cat進程訪問/etc/shadow,由于進程屬主是root,與/etc/shadow的屬主匹配,所以被允許訪問.
舉例說明:
passwd命令是linux系統(tǒng)中用來修改密碼的命令.系統(tǒng)中所有用戶都可以使用.
而passwd命令改密碼塌扮殲的行為是通過修改/etc/shadow文件來實現(xiàn).
看一下/etc/shadow的文件權(quán)限:
可見/etc/shadow對普通用戶沒有任何權(quán)限.
所以普通用戶默認無法使用文本編輯器打開或者編輯這個文件.
那為什么通過passwd這個命令就可以編輯呢?
用ls命令查看passwd命令的源文件信息:
我們發(fā)現(xiàn)passwd這個程序的屬主位的執(zhí)行位不是x而是s,說明passwd被設置了特殊權(quán)限SUID.
于是普通用戶運行passwd命令,系統(tǒng)創(chuàng)建的passwd進程的屬主由默認為”程序發(fā)起者”變?yōu)榱藀asswd的屬主
而passwd的屬主是root,所以普通用戶其實是在用root的權(quán)限修改/etc/shadow文件.最后passwd命令執(zhí)行結(jié)束,passwd進程被關(guān)閉.
做個實驗:
給命令vim添加SUID,可以讓普通用戶自己把自己變?yōu)槌売脩?
看一下vim的原權(quán)限
給vim加個SUID
權(quán)限變?yōu)?/p>
現(xiàn)在用普通用戶登錄
嘗試使用vim編輯系統(tǒng)賬戶文件/etc/passwd
找到自己的用戶名一行，修改第三列自己的uid為0，root的uid不用改，然后保存,提示只讀文件,使用w!強制保存,成功!
我們知道普通用戶quintin對vim是有執(zhí)行權(quán)限的,而對/etc/passwd則沒有編輯權(quán)限.
通常情況下quintin啟動vim后,系統(tǒng)會創(chuàng)建一個以當前用戶quintin為屬主屬組的vim進程,此時vim進程的屬主屬組為quintin:quintin,由于無論是屬主還是屬組都不具有對/etc/缺慶passwd的編輯權(quán)限,所以這個vim進程無權(quán)編輯/etc/passwd.
而給/usr/bin/vim設置了SUID之后,quintin或任何用戶啟動vim程序時,系統(tǒng)創(chuàng)建的vim進程的屬主則是取了/usr/bin/vim這個程序文件自身的屬主root,所以此時vim進程的屬主屬組為root:quintin. 系統(tǒng)檢查發(fā)現(xiàn)正好匹配了/etc/passwd的屬主,于是放行vim進程.
其他文本編輯器同理.
退出vim并重新登陸quintin帳戶，這時發(fā)現(xiàn)命令提示符已完全變?yōu)閞oot,而且系統(tǒng)認為我就是root，因為linux只通過uid判斷超級管理員,而quintin帳戶把自己的uid變成了超級管理員一樣的0,所以重新登陸之后,quintin具有了root的身份團沖.
測試:
找一個屬主屬組都為root且other位無w的文件
作用在二進制程序上時:
執(zhí)行sgid權(quán)限的程序時,此用戶將繼承此程序的所屬組權(quán)限
作用于目錄上時:
此文件夾下所有用戶新建文件都自動繼承此目錄的用戶組.
字母表示法
數(shù)字表示法 :
文件權(quán)限表示:
作用在二進制程序上時,原理同SUID,只是由user位變?yōu)間roup位.
作用于目錄上時演示:
普通帳戶quintin在/tmp中創(chuàng)建一個目錄叫quintindir,添加SGID.權(quán)限777
切換到普通用戶user1,在quintindir目錄中創(chuàng)建一個文件和一個目錄
結(jié)果顯示,user1在quintindir目錄下創(chuàng)建的文件和目錄都自動繼承了quintindir的屬組，而且新目錄的權(quán)限也繼承了SGID，所以設定了SGID的目錄中的所有新建文件和目錄都會自動屬于quintin組.
對于一個多人可寫的目錄，如果設置了sticky，則每個用戶僅能刪除和改名自己的文件或目錄；只能作用在目錄上.普通文件設置無意義,且會被linux內(nèi)核忽略，用戶在設置Sticky權(quán)限的目錄下新建的目錄不會自動繼承Sticky權(quán)限
字母表示法:
數(shù)字表示法:
在普通數(shù)字權(quán)限位前,用1代表添加Sticky位
文件權(quán)限表示:
目的:
我希望在系統(tǒng)中創(chuàng)建一個很多用戶可以共同使用的目錄,但是要求用戶之間不能互相刪除改變對方的文件.
實現(xiàn):
root用戶先創(chuàng)建一個777權(quán)限目錄/app/tmp
普通用戶quintin和wang分別在其中創(chuàng)建幾個文件和目錄
這時候有個問題,就是目錄中的任何用戶都可以隨意刪除其他人的文件.
所以root要給/tmp這個文件夾設定一個Sticky位.
設定完畢可見目錄tmp的other權(quán)限中的x位已經(jīng)顯示為t.說明已設定成功.
測試
切換到quintin用戶,進入/app/tmp目錄，嘗試刪除或改名用戶wang的文件或目錄
改名文件
改名目錄
移動文件
刪除文件
刪除目錄
以上所有操作均提示Operation not permitted,表明Sticky權(quán)限已發(fā)揮作用.
提示:
普通用戶在設定了Sticky位的目錄下創(chuàng)建的子目錄不會繼承這個Sticky權(quán)限,所以要注意設定好自己目錄的權(quán)限.
SUID:作用于文件(二進制程序)，此用戶將繼承此程序的所有者權(quán)限
SGID:作用于文件(二進制程序)和目錄
對于文件:此用戶將繼承此程序的所屬組權(quán)限.
對于目錄:此文件夾下所有用戶新建文件都自動繼承此目錄的用戶組.
Sticky:作用于目錄
設定后,目錄中的用戶只能刪除、移動或改名自己的文件或目錄
字母權(quán)限法很靈活,無論目錄還是文件都可以隨意添加刪除超級權(quán)限
數(shù)字權(quán)限表示法添加/刪除時:
數(shù)字權(quán)限法可以同時刪除文件的所有三種超級權(quán)限
數(shù)字權(quán)限法只能刪除目錄的Sticky.不能刪除目錄的SUID和SGID.數(shù)字權(quán)限法每次只能設置一種超級權(quán)限.添加權(quán)限時:對于文件,會刪除掉原有的其他超級權(quán)限.對于目錄,添加SUID或SGID時,Sticky會被刪除.
所有表示為大寫字母的權(quán)限均為無效(故障)權(quán)限,因為缺少了相應的x權(quán)限.
SUID:
user, 占據(jù)屬主的執(zhí)行權(quán)限位；
s: 屬主擁有x權(quán)限
S：屬主沒有x權(quán)限
SGID:
group, 占據(jù)group的執(zhí)行權(quán)限位；
s: group擁有x權(quán)限
S：group沒有x權(quán)限
Sticky:
other, 占據(jù)ohter的執(zhí)行權(quán)限位；
t: other擁有x權(quán)限
T：other沒有x權(quán)限
linux 組設置管理員權(quán)限設置的介紹就聊到這里吧，感謝你花時間閱讀本站內(nèi)容，更多關(guān)于linux 組設置管理員權(quán)限設置,Linux中如何進行組設置及管理員權(quán)限設置？,linux里面怎么設置用戶只能看某個目錄下的文件?,Linux特殊權(quán)限 SUID、SGID、Sticky的信息別忘了在本站進行查找喔。
香港服務器選創(chuàng)新互聯(lián)，2H2G首月10元開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）互聯(lián)網(wǎng)服務提供商,擁有超過10年的服務器租用、服務器托管、云服務器、虛擬主機、網(wǎng)站系統(tǒng)開發(fā)經(jīng)驗。專業(yè)提供云主機、虛擬主機、域名注冊、VPS主機、云服務器、香港云服務器、免備案服務器等。
文章題目：Linux中如何進行組設置及管理員權(quán)限設置？(linux組設置管理員權(quán)限設置)
瀏覽地址：http://m.5511xx.com/article/djpieoo.html
