DAY12用户管理，用户提权，用户流程

[root@oldboy ~]# grep -E -v "^#|^$" /etc/login.defs

MAIL_DIR /var/spool/mail

PASS_MAX_DAYS 99999

PASS_MIN_DAYS 0

PASS_MIN_LEN 5

PASS_WARN_AGE 7

UID_MIN                  1000

UID_MAX                60000

SYS_UID_MIN              201

SYS_UID_MAX              999

GID_MIN                  1000

GID_MAX                60000

SYS_GID_MIN              201

SYS_GID_MAX              999

CREATE_HOME yes

UMASK          077

USERGROUPS_ENAB yes

ENCRYPT_METHOD SHA512

[root@oldboy ~]# cat /etc/default/useradd

# useradd defaults file

GROUP=100

HOME=/home

INACTIVE=-1

EXPIRE=

SHELL=/bin/bash

SKEL=/etc/skel

CREATE_MAIL_SPOOL=yes

在我们创建一个用户时，如果创建时指定了参数，以指定参数为准，如果没有指定参数，那么就以系统中默认的两个配置文件（/etc/login.defs  /etc/default/useradd）作为参照.

组的概念：

组就是一个逻辑概念。逻辑上将多个用户捆绑成一个组，当我们操作组的时候就相当于在操作组下的所有用户。

组的分类：

基本组：创建时指定组，就叫基本组 （只能有1个）

私有组：创建时没有指定组，默认创建与用户同名的组 （只有有1个）

附加组：对于用户来说，可以有N多个。 （有多个）

注意：

1.首先得有组。

2.在进行加入。

组的信息存放在那里？

/etc/group

/etc/gshadow

1.使用groupadd命令新增组，groupadd [-g GID] groupname

#创建基本组, 不指定gid

[root@bgx ~]# groupadd no_gid

#创建基本组, 指定gid为5555

[root@bgx ~]# groupadd -g 5555 yes_gid

#创建系统组，gid从201-999

[root@bgx ~]# groupadd -r sys_gid

2.使用groupmod命令修改组

#-g 修改组gid

[root@bgx ~]# groupmod -g 1111 no_gid

#-n 修改组名称

[root@oldboy ~]# groupmod yes_gid -n active_gid

3.groupdel删除组，默认删除私有组。如果要删除基本组，需要先删除基本组中的用户才可以删除该组。

[root@oldboy ~]# useradd ttboy -g active_gid

[root@oldboy ~]# useradd ggboy -G active_gid

[root@oldboy ~]# grep "active_gid" /etc/group

active_gid:x:12345:ggboy

[root@oldboy ~]# groupdel active_gid

groupdel：不能移除用户“ttboy”的主组

#移除主要的成员，就能删除该组

[root@oldboy ~]# userdel ttboy

[root@oldboy ~]# groupdel active_gid

[root@oldboy ~]# id ggboy

uid=6009(ggboy) gid=12346(ggboy) 组=12346(ggboy)

注意：删除一个组，必须确保该组的主要成员已经移除该组，就可以正常删除。（附加进来的成员无需考虑在内。）

/etc/profile.d/1.sh

/etc/profile

/etc/bashrc

/root/.bashrc

/root/.bash_profile

[root@oldboy ~]# bash

/etc/profile.d/1.sh

/etc/bashrc

/root/.bashrc

su - username属于登陆式shell，su username属于非登陆式shell，区别在于加载的环境变量不一样。

#1.普通用户使用su切换root

[xuliangwei@node1 ~]$ su

密码：        #输入root的密码

[root@node1 xuliangwei]# pwd

/home/xuliangwei

#2.普通用户使用su -切换到root，会加载root的环境变量

[xuliangwei@node1 ~]$ su -

密码：

[root@node1 ~]# pwd

/root

#3.以某个用户的身份执行某个服务，使用命令su -c username

[root@bgx ~]# su - xuliangwei -c 'ifconfig'

[root@bgx ~]# su - xuliangwei -c 'ls ~'

#1.快速配置sudo方式

[root@node1 ~]# usermod bgx -G wheel

[root@node1 ~]$ sudo tail -f /var/log/secure    #sudo审计日志

#1.切换普通用户

[root@bgx ~]# su - xuliangwei

#2.检查普通用户能提权的命令

[xuliangwei@xuliangwei ~]$ sudo -l

User xuliangwei may run the following commands on this host:

    (ALL) ALL

#3.普通用户正常情况下是无法删除opt目录的

[xuliangwei@xuliangwei ~]$ rm -rf /opt/

rm: cannot remove `/opt: Permission denied

#4.使用sudo提权，需要输入普通用户的密码。

[xuliangwei@xuliangwei ~]$ sudo rm -rf /opt

方式一：

oldxu oldqiang  = 运维

oldli oldguo    = dba

1.需要真实创建这四个用户

[root@oldboy opt]# useradd oldxu

[root@oldboy opt]# useradd oldqiang

[root@oldboy opt]# useradd oldli

[root@oldboy opt]# useradd oldguo

#编辑sudo配置

[root@bgx ~]# visudo

# 1.使用sudo定义分组,这个系统group没什么关系

User_Alias OPS = oldxu,oldqiang

User_Alias DBA = oldli,oldguo

# 2.定义可执行的命令组, 便于后续调用

Cmnd_Alias NETWORKING = /sbin/ifconfig, /bin/ping

Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/yum

Cmnd_Alias SERVICES = /sbin/service, /usr/bin/systemctl start

Cmnd_Alias STORAGE = /bin/mount, /bin/umount

Cmnd_Alias DELEGATING = /bin/chown, /bin/chmod, /bin/chgrp

Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall

# 3.使用sudo开始分配权限

OPS  ALL=(ALL) NETWORKING,SOFTWARE,SERVICES,STORAGE,DELEGATING,PROCESSES

DBA  ALL=(ALL) SOFTWARE,PROCESSES

#4.登陆对应的用户使用 sudo -l 验证权限

方式二：针对系统中真实的组来进行操作

oldxu oldqiang  = 运维

oldli oldguo    = dba

#1.添加两个真实的系统组,  OPS DBA

[root@www ~]# groupadd OPS

[root@www ~]# groupadd DBA

#2.添加两个用户,      OPS(oldxu oldqiang)  DBA(oldli oldguo)

[root@oldboy ~]# usermod  oldxu -G OPS

[root@oldboy ~]# usermod  oldqiang -G OPS

[root@oldboy ~]# usermod  oldguo -G DBA

[root@oldboy ~]# usermod  oldli -G DBA

#3.记得添加密码

[root@oldboy ~]# echo "1" | passwd --stdin oldxu

[root@oldboy ~]# echo "1" | passwd --stdin oldguo

[root@oldboy ~]# echo "1" | passwd --stdin oldli

[root@oldboy ~]# echo "1" | passwd --stdin oldqiang

#4.在sudo中配置规则

[root@www ~]# visudo

    Cmnd_Alias NETWORKING = /sbin/ifconfig, /bin/ping

    Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/yum

    Cmnd_Alias SERVICES = /sbin/service, /usr/bin/systemctl start

    Cmnd_Alias STORAGE = /bin/mount, /bin/umount

    Cmnd_Alias DELEGATING = /bin/chown, /bin/chmod, /bin/chgrp

    Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall

    %OPS ALL=(ALL) SOFTWARE

    %DBA ALL=(ALL) SOFTWARE,PROCESSES

#5.检查sudo是否配置有错

[root@www ~]# visudo -c

/etc/sudoers: parsed OK

#6.检查oldxu,和oldguo的sudo权限

[oldguo@oldboy ~]$ sudo -l

[sudo] password for oldguo:

User oldguo may run the following commands on oldboy:

(ALL) /bin/rpm, /usr/bin/yum, /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall

[oldxu@oldboy ~]$ sudo -l

[sudo] password for oldxu:

User oldxu may run the following commands on oldboy:

(ALL) /sbin/ifconfig, /bin/ping, /bin/rpm, /usr/bin/yum, /sbin/service, /usr/bin/systemctl start,

/bin/mount, /bin/umount, /bin/chown, /bin/chmod, /bin/chgrp, /bin/nice, /bin/kill,

/usr/bin/kill, /usr/bin/killall

所以sudo，并不能完全的解决所有的权限问题，仅仅是相对的。  （需要有一个操作审计平台,来监督每个人的操作。  jumpserver ）

©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 213,928评论 6赞 493
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 91,192评论 3赞 387
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 159,468评论 0赞 349
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 57,186评论 1赞 286
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 66,295评论 6赞 386
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 50,374评论 1赞 292
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 39,403评论 3赞 412
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 38,186评论 0赞 269
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 44,610评论 1赞 306
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,906评论 2赞 328
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,075评论 1赞 341
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 34,755评论 4赞 337
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 40,393评论 3赞 320
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,079评论 0赞 21
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,313评论 1赞 267
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 46,934评论 2赞 365
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 43,963评论 2赞 351

推荐阅读更多精彩内容

  • Day9 笔记总结
    用户的创建流程： 1.useradd创建用户时，系统会以/etc/login.defs、/etc/defaults...
    散作满河星y阅读 297评论 0赞 0
  • 8/6 day10-用户管理
    1.如何为用户设定密码，又如何修改密码（root才能执行） 普通用户只允许变更自己的密码，无法修改其他人密码，并且...
    生活一场戏而已_b526阅读 267评论 0赞 0
  • day9 - 用户管理
    1、为用户添加密码（root用户才能执行） 创建用户后，如果需要使用该用户登录系统则需要为用户设定密码。 ...
    青衫忆笙666阅读 404评论 0赞 0
  • day 10 用户管理
    今日内容 1.如何为用户设定密码，又如何修改密码? 2.用户的创建流程? [扩展了解] 3.用户组如何管理？ 4....
    记不住的悔阅读 245评论 0赞 0
  • day 10 用户管理
    2 今日内容 6.如何为用户设定密码，又如何修改密码? 7.用户的创建流程? [扩展了解] 8.用户组如何管理？ ...
    但若归去若已晚阅读 187评论 0赞 0