群組介紹

Linux中為了使用戶(hù)共享文件或者其他資源方便，引入了群組的功能:

Linux中每一個(gè)用戶(hù)屬于一個(gè)群組（group），而每一個(gè)群組（group）都有一個(gè)group標(biāo)示符，即GID. 所有群組和對(duì)應(yīng)的gid都存放在根目錄的/etc/group中

Linux系統(tǒng)在創(chuàng)建每一個(gè)用戶(hù)時(shí)就為每一個(gè)用戶(hù)創(chuàng)建了了一個(gè)同名的群組，并將這個(gè)用戶(hù)加入到該群組中，也就是說(shuō)至少每個(gè)用戶(hù)都有一個(gè)同名的群組，當(dāng)然也可以加入到其他群組中。加入到其他群組是為了獲取適當(dāng)?shù)臋?quán)限來(lái)訪(fǎng)問(wèn)特定的資源。

如果一個(gè)文件屬于一個(gè)群組，則這個(gè)群組的所有用戶(hù)都能存取這個(gè)文件。

/etc/group

群組信息保存在/etc/group中,控制用戶(hù)如何分組。它的格式如下：

groupname:password:gid:members

下面是組文件的部分內(nèi)容：

more /etc/group root:x:0: daemon:x:1: ... 

第一個(gè)字段root和daemon,表示有root和daemon兩個(gè)群 

第二個(gè)字段x,表示root群組和daemon群組的群組密碼,已經(jīng)加密 第三個(gè)字段0和1,表示root群組的GID為0,daemon群組GID為1 第四個(gè)字段空,表示有root和daemon兩個(gè)群組

/etc/gshadow

Linux群組密碼存放在/etc/gshadow文件中，只有在特權(quán)用戶(hù)才能訪(fǎng)問(wèn)。在linux中一般很少用到群組密碼。

/etc/gshadow文件信息存儲(chǔ)結(jié)構(gòu)，包括4個(gè)字段用:隔開(kāi)依次為:

第一個(gè)字段就是這個(gè)群的名字 

第二個(gè)字段的x表示這個(gè)群組在登錄這個(gè)群組的密碼 

第三個(gè)字段是群組的gid 

第四個(gè)字段是這個(gè)群組中還有哪些成員

舉例說(shuō)明:顯示本機(jī)群組,終端執(zhí)行(只截取兩段):

more /etc/group root:x:0: adm:x:4:cxbii 

第一個(gè)字段root和adm,表示有root和adm兩個(gè)群 

第二個(gè)字段x,表示root群組和adm群組的群組密碼,已經(jīng)加密 

第三個(gè)字段0和4,表示root群組的GID為0,adm群組GID為4 

第四個(gè)字段為空和cxbii,表示root群組的沒(méi)有成員, adm群組有cxbii一個(gè)用戶(hù)

群組管理

添加群組

groupadd命令可以添加群組

語(yǔ)法:groupadd [-g gid [-o]] [-r] [-f] group 參數(shù): -g gid group’s ID 值 .除非使用 -o 參數(shù)不然該值必須是唯一， 不可相同.數(shù)值不可為負(fù)。預(yù)設(shè)為最小不得小于500而逐次增加。 0~999 傳統(tǒng)上是保留給系統(tǒng)帳號(hào)使用。 

-r 此 參數(shù)是用來(lái)建立系統(tǒng)帳號(hào)。的 UID 會(huì)比定義在系統(tǒng)檔上/etc/login.defs. 的 UID_MIN 來(lái)的小.注意 useradd 此法所建立的帳號(hào)不會(huì)建立使用者目錄，也不會(huì)在乎紀(jì)錄在 /etc/login.defs. 的定義值 . 如果你想要有使用者目錄須額外指定。 

-m 參數(shù)來(lái)建立系統(tǒng)帳號(hào)。 這是 RED HAT 額外增設(shè)的選項(xiàng)。它會(huì)自動(dòng)幫你選定一個(gè)小于999 的 gif 不需要 再加上 

-g 參數(shù)。這是RED HAT 額外增設(shè)的選項(xiàng)。 

-f 新增一個(gè)已經(jīng)存在的群組帳號(hào)，系統(tǒng)會(huì)出現(xiàn)錯(cuò)誤訊息然后結(jié)束groupadd .如果是這樣的情況，不會(huì)新增這個(gè)群組(如果 是這個(gè)情況下，系統(tǒng)不會(huì)再新增一次)也可同時(shí)加上 

-g 選項(xiàng)當(dāng)你加上一個(gè)gid，此時(shí) gid 就不用是唯一值，可不加 -o 參數(shù)，建好群組后會(huì)顯結(jié)果

舉例使用: sudo groupadd cjh ##建立cjh群組 sudo groupadd cjh #3建立cjh群組,并且在/etc/passwd文件中產(chǎn)生一個(gè)組ID（GID）是344的項(xiàng)目。

刪除群組

groupdel命令可以刪除群組

sudo groupdel group cjh 

##刪除cjh群組

設(shè)置群組密碼

gpasswd命令可以設(shè)置群組密碼：

sudo gpasswd group_name

使用gpasswd命令可以取消群組密碼：

sudo gpasswd -r group_name

：取消密組碼后，只有成員才可以通過(guò)newgrp命令切換入該組。

修改組成員

gpasswd命令可以修改向指定群組的用戶(hù)：

語(yǔ)法：gpasswd[-a user][-d user][-A user,...][-M user,...][-r][-R]groupname 

參數(shù): 

-a：添加用戶(hù)到組 

-d：從組刪除用戶(hù) 

-A：指定管理員 

-M：指定組成員和

-A的用途差不多 

-r：刪除密碼 

-R：限制用戶(hù)登入組，只有組中的成員才可以用newgrp加入該組

增加群組用戶(hù)

sudo gpasswd -a cxbii root 

##把cxbii加入rooot群組

刪除組成員

sudo gpasswd -d cxbii root 

##把cxbii移出rooot群組

身份切換

擁有可以毀滅自身這樣強(qiáng)大權(quán)限的用戶(hù)只有root用戶(hù)一位,但是由于root用戶(hù)權(quán)限過(guò)大,直接使用root用戶(hù)登陸系統(tǒng)操作是很危險(xiǎn)的事情,但是部分事情只有root權(quán)限能做,那么就涉及到了身份切換.與身份切換相關(guān)的有兩個(gè)命令:su和sudo.

：除非您知道您在做什么，否則請(qǐng)不要輕易嘗試以下命令，以下命令不一定保證您操作的安全性，也不能在您發(fā)生危險(xiǎn)動(dòng)作時(shí)進(jìn)行及時(shí)阻止，可能導(dǎo)致不可挽回的損失！

su

su：(Switch user 切換用戶(hù))，可讓一個(gè)普通用戶(hù)切換為超級(jí)用戶(hù)或其他用戶(hù)，并可臨時(shí)擁有所切換用戶(hù)的權(quán)限，切換時(shí)需輸入欲切換用戶(hù)的密碼；也可以讓超級(jí)用戶(hù)切換為普通用戶(hù)，臨時(shí)以低權(quán)限身份處理事務(wù)，切換時(shí)無(wú)需輸入欲切換用戶(hù)的密碼。

使用方式：

su [-fmp] [-c command] [-s shell] [--help] [--version] [-] [USER [ARG]] 說(shuō)明：變更為其他使用者的身份，除 root 外，需要鍵入該使用者的密碼 

參數(shù)： 

 -f 或 --fast 不必讀啟動(dòng)檔（如 csh.cshrc 等），僅用于 csh 或 tcsh  

-m -p 或 --preserve-environment 執(zhí)行 su 時(shí)不改變環(huán)境變數(shù)  

-c command 或 --command=command 變更為帳號(hào)為 USER 的使用者并執(zhí)行指令（command）后再變回原來(lái)使用者 

-s shell 或 --shell=shell 指定要執(zhí)行的 shell （bash csh tcsh 等），預(yù)設(shè)值為 /etc/passwd 內(nèi)的該使用者（USER） shell 

-help 顯示說(shuō)明文件 -

-version 顯示版本資訊 -

 -l 或 --login 這個(gè)參數(shù)加了之后，就好像是重新 login 為該使用者一樣，大部份環(huán)境變數(shù)（HOME SHELL USER等等）都是以該使用者（USER）為主，并且工作目錄也會(huì)改變，如果沒(méi)有指定 USER ，內(nèi)定是 root USER 欲變更的使用者帳號(hào) 

ARG 傳入新的 shell 參數(shù)

范例: 

su [用戶(hù)名] 

1.在root用戶(hù)下, 輸入 su 普通用戶(hù). 則切換至普通用戶(hù), 從root切換到變通用戶(hù)不需要密碼 

2.在普通用戶(hù)下, 輸入 su [用戶(hù)名] su -c ls root #變更帳號(hào)為 root 并在執(zhí)行 ls 指令后退出變回原使用者。 su root -f #變更帳號(hào)為 root 并傳入 -f 參數(shù)給新執(zhí)行的 shell。 su - clsung #變更帳號(hào)為 clsung 并改變工作目錄至 clsung 的家目錄（home dir）。

su命令和su -命令最大的本質(zhì)區(qū)別就是：前者只是切換了root身份，但Shell環(huán)境仍然是普通用戶(hù)的Shell；而后者連用戶(hù)和Shell環(huán)境一起切換成root身份了。

優(yōu)缺點(diǎn) 

優(yōu)點(diǎn):靈活的解決了身份切換問(wèn)題.

缺點(diǎn):su切換到特定用戶(hù)需要特定用戶(hù)的密碼,例如切換到root下，如果10個(gè)用戶(hù)需要切換到root,那么這10個(gè)用戶(hù)都需要知道root的密碼,那么將會(huì)增加root密碼泄露的可能,并且這10個(gè)用戶(hù)中有一個(gè)用戶(hù)出現(xiàn)失誤,將可能對(duì)系統(tǒng)造成不可挽回的災(zāi)難!

sudo

sudo是linux下常用的允許普通用戶(hù)使用超級(jí)用戶(hù)或者其它用戶(hù)權(quán)限的工具。 sudo 對(duì)于控制和審計(jì)root用戶(hù)的訪(fǎng)問(wèn)權(quán)限是極其有益的。它使得系統(tǒng)管理員可以將root用戶(hù)的系統(tǒng)管理任務(wù)分配給其他人，而無(wú)需給予他們r(jià)oot口令。管理員也可以根據(jù)每個(gè)用戶(hù)實(shí)際所需的root訪(fǎng)問(wèn)權(quán)限來(lái)定制系統(tǒng)訪(fǎng)問(wèn)權(quán)限，從而達(dá)到權(quán)限最小化的目標(biāo)

命令格式如下：

下面我們?cè)賮?lái)看一下sudo其它常用的一些參數(shù)：

選項(xiàng) 含義 作用 

 sudo -h Help 列出使用方法，退出。 

 sudo -V Version 顯示版本信息，并退出。  

sudo -l List 列出當(dāng)前用戶(hù)可以執(zhí)行的命令。只有在sudoers里的用戶(hù)才能使用該選項(xiàng)。  

sudo -u username|#uid User 以指定用戶(hù)的身份執(zhí)行命令。后面的用戶(hù)是除root以外的，可以是用戶(hù)名，也可以是#uid。 

 sudo -k Kill 清除“入場(chǎng)卷”上的時(shí)間，下次再使用sudo時(shí)要再輸入密碼。  

sudo -K Sure kill 與-k類(lèi)似，但是它還要撕毀“入場(chǎng)卷”，也就是刪除時(shí)間戳文件。 

sudo -b command Background 在后臺(tái)執(zhí)行指定的命令。 

sudo -p prompt command Prompt 可以更改詢(xún)問(wèn)密碼的提示語(yǔ)，其中%u會(huì)代換為使用者帳號(hào)名稱(chēng)，%h會(huì)顯示主機(jī)名稱(chēng)。非常人性化的設(shè)計(jì)。 

sudo -e file Edit 不是執(zhí)行命令，而是修改文件，相當(dāng)于命令sudoedit。

還有一些不常用的參數(shù)，在手冊(cè)頁(yè)sudo(8)中可以找到。

優(yōu)缺點(diǎn)

優(yōu)點(diǎn):解決了身份切換的問(wèn)題,同時(shí)避免root賬戶(hù)密碼的泄露.

缺點(diǎn):提權(quán)具有5分鐘時(shí)效,即上一個(gè)命令完成后,5分鐘內(nèi)沒(méi)有執(zhí)行其他需要root權(quán)限的任務(wù),需要重新提權(quán).

/etc/sudoers

sudo的配置文件默認(rèn)存放在/etc/sudoers下,sudo都提供了一個(gè)編輯該文件的命令：visudo來(lái)對(duì)該文件進(jìn)行修改。

強(qiáng)烈推薦使用該命令修改sudoers，因?yàn)樗鼤?huì)幫你校驗(yàn)文件配置是否正確，如果不正確，在保存退出時(shí)就會(huì)提示你哪段配置出錯(cuò)的。

首先寫(xiě)sudoers的缺省配置：

# sudoers file. 

# # This file MUST be edited with the 'visudo' command as root. # 

# See the sudoers man page for the details on how to write a sudoers file. 

# # Host alias specificATIon 

# User alias specificATIon 

# Cmnd alias specification # Defaults specification 

# User privilege specification root ALL=(ALL) ALL 

# Uncomment to allow people in group wheel to run all commands 

# %wheel ALL=(ALL) ALL # Same thing without a password 

# %wheel ALL=(ALL) NOPASSWD: ALL 

# Samples 

# %users ALL=/sbin/mount /cdrom,/sbin/umount /cdrom 

# %users localhost=/sbin/shutdown -h now

最簡(jiǎn)單的配置，讓普通用戶(hù)support具有root的所有權(quán)限 執(zhí)行visudo之后，可以看見(jiàn)缺省只有一條配置： root ALL=(ALL) ALL 那么你就在下邊再加一條配置： support ALL=(ALL) ALL 這樣，普通用戶(hù)support就能夠執(zhí)行root權(quán)限的所有命令 以support用戶(hù)登錄之后，執(zhí)行： sudo su - 然后輸入support用戶(hù)自己的密碼，就可以切換成root用戶(hù)了

常見(jiàn)問(wèn)題

忘記了登錄密碼,導(dǎo)致不能登錄系統(tǒng)

解決方法如下: 

1.正常安裝到硬盤(pán)的,開(kāi)機(jī)時(shí)按住Shift鍵，直到出現(xiàn)引導(dǎo)菜單。如果是wubi安裝的，那么在Windows啟動(dòng)菜單處，選擇深度操作系統(tǒng)的菜單項(xiàng)，按下Shift不放，再按Enter鍵松開(kāi)，直到啟動(dòng)菜單出現(xiàn)之后，再松開(kāi)Shift鍵。

2.然后確保光標(biāo)在深度操作系統(tǒng)啟動(dòng)的一行上(正常情況是第一項(xiàng))，然后按下“e”鍵。

3.在出現(xiàn)的畫(huà)面當(dāng)中，按幾下鍵盤(pán)的下方向鍵，使光標(biāo)移動(dòng)到“l(fā)inux /boot/....”的一行.

4.按鍵盤(pán)的End鍵使得光標(biāo)移動(dòng)到最后（低分辨率的話(huà)則有可能是下一行，其實(shí)是同一行因?yàn)樘L(zhǎng)被截?cái)嗔耍却蛞粋€(gè)空格，然后執(zhí)行:

rw init=/bin/bash

然后執(zhí)行:

passwd <你的用戶(hù)名>

6.按Ctrl-Alt-Del重啟，然后用新密碼登錄吧。

: 以上方法適合于所有使用Grub2的Linux系統(tǒng)，如果出于安全考慮，需要禁用到單用戶(hù)模式，點(diǎn)擊此處查看如何禁用單用戶(hù)模式。

終端使用sudo提權(quán)出錯(cuò)

出現(xiàn)這個(gè)問(wèn)題是sudo的配置文件出錯(cuò)，修改sudo的配置文件即可解決

使用su 切換到root，然后終端執(zhí)行：

sudo gedit /etc/sudoers 

Defaults env_reset 

Defaults mail_badpass 

Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin" 

# Host alias specification # User alias specification 

# Cmnd alias specification 

# User privilege specification root ALL=(ALL:ALL) ALL 

# Members of the admin group may gain root privileges %admin ALL=(ALL:ALL) ALL 

# Allow members of group sudo to execute any command %sudo ALL=(ALL) ALL xx ALL=(ALL) ALL (將此處的XX修改為出現(xiàn)改問(wèn)題的用戶(hù)名！）

保存文件退出即可解決

為什么用戶(hù)權(quán)限不默認(rèn)root？

由于root的權(quán)限過(guò)大，作為日常賬戶(hù)使用過(guò)于危險(xiǎn)，因此系統(tǒng)賬戶(hù)默認(rèn)不是root，并且登錄管理器默認(rèn)屏蔽root直接登錄。 如果需要臨時(shí)使用root權(quán)限，我們可以使用sudo命令，臨時(shí)獲取root權(quán)限。 終端輸入密碼沒(méi)有回顯。

Linux系統(tǒng)是一個(gè)非常重視密碼安全的系統(tǒng)，因此用戶(hù)在終端輸入密碼時(shí)，終端將不會(huì)回顯，即產(chǎn)生占位符(****)，所以你只需要盲打密碼后回車(chē)即可。