/etc/passwd    用户名：用户密码：UID：GID：说明：家目录：使用的shell

1. 账号名称:

就是账号啦!用来对应 UID 的。例如 root 的 UID 对应就是 0 (第三字段);

2. 密码:

早期 Unix 系统的密码就是放在这字段上!但是因为这个文件的特性是所有的程序都能够读取,

这样一来很容易造成密码数据被窃取, 后来就将这个字段的密码数据改放到/etc/shadow中。

所以这里你会看到一个『 x 』

3.UID

id 范围     该 ID 使用者特性

0           当 UID 是 0 时,代表这个账号是『系统管理员』! 所以当你要让其他的账号

名称也具有 root 的权限时,将该账号的 UID 改为 0 即可。 这也就是说,一

(系统管理员) 部系统上面的系统管理员不见得只有 root ， 不过不建议有多

个账号的UID 是 0 啦~

1~499       保留给系统使用的 ID,其实除了 0 之外,其他的 UID 权限与特性并没有不一

样。默认500 以下的数字让给系统作为保留账号只是一个习惯。由于系统上面

的服务希望使用较小的权限去运作,因此不希望使用 root的身份去执行这些

服务, 所以我们就得要提供这些运作中程序的拥有者账号才行。这些系统账号

通常是不可登入的, 所以才会有/sbin/nologin 这个特殊的 shell 存在。根据

系统账号的由来,通常系统账号又约略被区分为两种:

1~99:由 distributions 自行建立的系统账号;

100~499:若用户有系统账号需求时,可以使用的账号 UID。

500~65535    给一般使用者用的。事实上,目前的 linux 核心 (2.6.x 版)已经可以支持到

(可登入账号) 4294967295 (2^32-1) 这么大的 UID 号码

4.GID:

这个与/etc/group 有关，其实 /etc/group 的观念与/etc/passwd 差不多,只是他是用来规范

组名与 GID 的对应而已!

5. 用户信息说明栏:

这个字段基本上并没有什么重要用途,只是用来解释这个账号的意义，不过,如果您提供使用 finger

的功能时, 这个字段可以提供很多的讯息，后面的 chfn 指令会来解释这里的说明。

6. 家目录:

这是用户的家目录,以上面为例, root 的家目录在 /root ,所以当 root 登入之后,就会立刻跑

到 /root 目录里头，如果你有个账号的使用空间特别的大,你想要将该账号的家目录移动到其他

的硬盘去可以在这个字段进行修改，默认的用户家目录在/home/yourIDname

7. Shell:

我们在第十一章 BASH 提到很多次,当用户登入系统后就会取得一个 Shell 来与系统的核心沟通

以进行用户的操作任务，预设 shell 就是在这个字段指定的，这里比较需要注意的是,有一个

shell 可以用来替代成让账号无法取得 shell 环境的登入动作，那就是/sbin/nologin。

/etc/shadow 文件结构

shadow 同样以『:』作为分隔符,如果数一数,会发现共有九个字段啊,这九个字段的用途是这样的:

1. 账号名称:

由于密码也需要与账号对应因此,这个文件的第一栏就是账号,必须要与 /etc/passwd 相同

2. 密码:

这个字段内的数据才是真正的密码,而且是经过编码的密码 (加密)， 你只会看到有一些特殊

符号的字母就是了!需要特别留意的是,虽然这些加密过的密码很难被解出来, 但是『很难』不

等于『不会』,所以,这个文件的预设权限是『-rw-------』或者是『-r--------』,亦即只有

root 才可以读写，你得随时注意,不要不小心更动了这个文件的权限。

另外,由于各种密码编码的技术不一样,因此不同的编码系统会造成这个字段的长度不相同。 举

例来说,旧式的 DES 编码系统产生的密码长度就与目前惯用的 MD5 不同，MD5 的密码

长度明显的比较长些。由于固定的编码系统产生的密码长度必须一致,因此『当你让这个字段的

长度改变后,该密码就会失效(算不出来)』。 很多软件透过这个功能,在此字段前加上 ! 或 * 改

变密码字段长度,就会让密码『暂时失效』了。

3. 最近更动密码的日期:

这个字段记录了『更动密码那一天』的日期,不过,很奇怪呀!在我的例子中怎么会是 14126这个

是因为计算 Linux 日期的时间是以 1970 年 1 月 1 日作为 1 而累加的日期,1971 年 1 月1日

则为 366。 得注意一下这个资料呦!上述的 14126 指的就是 2008-09-04那一天，而想要了解该

日期可以使用本章后面 chage 指令，至于想要知道某个日期的累积日数, 可使用如下的程序计算

(%号和s之间没有空格):

#echo $(($(date --date="2008/09/04" +%s)/86400+1))

上述指令中,2008/09/04 为你想要计算的日期,86400 为每一天的秒数, %s 为 1970/01/01

以来的累积总秒数。 由于 bash 仅支持整数,因此最终需要加上 1 补齐 1970/01/01 当天

4. 密码不可被更动的天数:(与第 3 字段相比)

第四个字段记录了:这个账号的密码在最近一次被更改后需要经过几天才可以再被变更，如果是

0 的话, 表示密码随时可以更动的意思。这的限制是为了怕密码被某些人一改再改而设计的，如

果设定为 20 天的话,那么当你设定了密码之后, 20 天之内都无法改变这个密码。

5. 密码需要重新变更的天数:(与第 3 字段相比)

经常变更密码是个好习惯，为了强制要求用户变更密码,这个字段可以指定在最近一次更改密码

后, 在多少天数内需要再次的变更密码才行。你必须要在这个天数内重新设定你的密码,否则这

个账号的密码将会『变为过期特性』。 而如果像上面的 99999 (计算为 273 年) 的话,那就表

示,密码的变更没有强制性之意。

6. 密码需要变更期限前的警告天数:(与第 5 字段相比)

当账号的密码有效期限快要到的时候 (第 5 字段),系统会依据这个字段的设定,发出『警告』言

论给这个账号,提醒他『再过 n 天你的密码就要过期了,请尽快重新设定你的密码呦!』,如上

面的例子,则是密码到期之前的 7 天之内,系统会警告该用户。

7. 密码过期后的账号宽限时间(密码失效日):(与第 5 字段相比)

密码有效日期为『更新日期(第 3 字段)』+『重新变更日期(第 5 字段)』,过了该期限后用户依旧

没有更新密码,那该密码就算过期了。 虽然密码过期但是该账号还是可以用来进行其他工作的,

包括登入系统取得 bash 。不过如果密码过期了, 那当你登入系统时,系统会强制要求你必须要

重新设定密码才能登入继续使用喔,这就是密码过期特性。

这个字段的功能是在密码过期几天后,如果使用者还是没有登入更改密码,那么这个账号的密码

将会『失效』, 亦即该账号再也无法使用该密码登入了。要注意密码过期与密码失效并不相同。

8. 账号失效日期:

这个日期跟第三个字段一样,都是使用 1970 年以来的总日数设定。这个字段表示: 这个账号在

此字段规定的日期之后,将无法再使用。 就是所谓的『账号失效』,此时不论你的密码是否有过

期,这个『账号』都不能再被使用， 这个字段会被使用通常应该是在『收费服务』的系统中,你

可以规定一个日期让该账号不能再使用。

9. 保留:

最后一个字段是保留的,看以后有没有新功能加入。

/etc/group 文件结构

这个文件就是在记录 GID 与组名的对应了

这个文件每一行代表一个群组,也是以冒号『:』作为字段的分隔符,共分为四栏,每一字段的意义是:

1. 组名:

2. 群组密码:

通常不需要设定,这个设定通常是给『群组管理员』使用的,目前很少有这个机会设定群组管理

员，同样的,密码已经移动到 /etc/gshadow 去,因此这个字段只会存在一个『x』而已;

3. GID:

就是群组的 ID，/etc/passwd 第四个字段使用的 GID 对应的群组名,就是由这里对应出来

4. 此群组支持的账号名称:

我们知道一个账号可以加入多个群组,那某个账号想要加入此群组时,将该账号填入这个字段即可。

举例来说,如果我想要让 dmtsai 也加入 root 这个群组,那举在第一行的最后面加上

『,dmtsai』,注意不要有空格, 使成为『 root:x:0:root,dmtsai 』就可以啰~

有效群组(effective group)与初始群组(initial group)

#usermod -G groupname username <==将username用户加入群组groupname，groupname为其附加组

groups: 有效于支持群组的观察

#groups

输出用户支持的所有群组，且第一个是用户有效群组，通常有效群组的作用是在新建文件,新建文件的属组为用户的有效群组

newgrp: 有效群组的切换

不过使用 newgrp 是有限制的,那就是你想要切换的群组必须是你已经有支持的群组。

#newgrp groupname <==用户切换有效群组为groupname

newgrp 这个指令,这个指令可以变更目前用户的有效群组, 而且是另外以一个 shell来提供这个功能的,因此如果你想要回到原本的环境中,请输入 exit 回到原本的 shell。

/etc/gshadow

这个文件内同样还是使用冒号『:』来作为字段的分隔字符,而且你会发现,这个文件几乎与

/etc/group 一模一样，是这样没错~不过,要注意的大概就是第二个字段~第二个字段是密码

栏, 如果密码栏上面是『!』时,表示该群组不具有群组管理员，至于第四个字段也就是支持

的账号名称，这四个字段的意义为:

1. 组名

2. 密码栏,同样的,开头为 ! 表示无合法密码,所以无群组管理员

3. 群组管理员的账号

4. 该群组的所属账号 (与/etc/group 内容相同)

账号管理

新增与移除使用者: useradd, 相关配置文件, passwd, usermod, userdel

#useradd [-u UID] [-g 初始群组] [-G 次要群组] [-mM]\

> [-c 说明栏] [-d 家目录绝对路径] [-s shell] 使用者账号名

选项与参数:

-u :后面接的是 UID ,是一组数字。直接指定一个特定的 UID 给这个账号;

-g :后面接的那个组名就是我们上面提到的 initial group

该群组的 GID 会被放置到 /etc/passwd 的第四个字段内。

-G :后面接的组名则是这个账号还可以加入的群组。

这个选项与参数会修改 /etc/group 内的相关资料

-M :强制不要建立用户家目录(系统账号默认值)

-m :强制要建立用户家目录(一般账号默认值)

-c :这个就是 /etc/passwd 的第五栏的说明内容，可以随便设定

-d :指定某个目录成为家目录,而不要使用默认值。务必使用绝对路径

-r :建立一个系统的账号,这个账号的 UID 会有限制 (参考 /etc/login.defs)

-s :后面接一个 shell ,若没有指定则预设是 /bin/bash

-e :后面接一个日期,格式为『YYYY-MM-DD』此项目可写入 shadow 第八字段,即账号失效日的设定项目;

-f :后面接 shadow 的第七字段项目,指定密码是否会失效。0 为立刻失效,

-1 为永久不失效(密码只会过期而强制于登入时重新设定而已)

CentOS 这些默认值主要会帮我们处理几个项目:

在 /etc/passwd 里面建立一行与账号相关的数据,包括建立 UID/GID/家目录等;

在 /etc/shadow 里面将此账号的密码相关参数填入,但是尚未有密码;

在 /etc/group 里面加入一个与账号名称一模一样的组名;

在 /home 底下建立一个与账号同名的目录作为用户家目录,且权限为 700

一般账号应该是 UID 500 号以后,那用户自己建立的系统账号则一般是由100 号以后起算的。

所以在这里我们加上 -r 这个选项以后,系统就会主动将账号与账号同名群组的UID/GID 都指定

小于 500 以下, 在本案例中则是使用 100(UID) 与 103(GID) 啰!此外,由于系统账号主要是用来

进行运作系统所需服务的权限设定, 所以系统账号默认都不会主动建立家目录的!

useradd建立普通用户是的参考档 /etc/default/useradd,可以是使用

#useradd -D <==查看默认的值

/etc/default/useradd内容解析：

ROUP=100:新建账号的初始群组使用 GID 为 100 者

系统上面 GID 为 100 者即是 users 这个群组,此设定项目指的就是让新设使用者账号的初始群

组为 users 这一个的意思。 但是我们知道 CentOS 上面并不是这样的,在 CentOS 上面预设的

群组为与账号名相同的群组。 举例来说, vbird1 的初始群组为 vbird1 。怎么会这样啊?这是

因为针对群组的角度有两种不同的机制所致, 这两种机制分别是:

私有群组机制:系统会建立一个与账号一样的群组给使用者作为初始群组。这种群组的设

定机制会比较有保密性,这是因为使用者都有自己的群组,而且家目录权限将会设定为

700 (仅有自己可进入自己的家目录) 之故。使用这种机制将不会参考 GROUP=100 这个

设定值。代表性的 distributions 有 RHEL, Fedora, CentOS 等;

公共群组机制:就是以 GROUP=100 这个设定值作为新建账号的初始群组,因此每个账

号都属于 users 这个群组, 且默认家目录通常的权限会是『 drwxr-xr-x ... username

users ... 』,由于每个账号都属于 users 群组,因此大家都可以互相分享家目录内的数据

之故。代表 distributions 如 SuSE 等。

由于我们的 CentOS 使用私有群组机制,因此这个设定项目是不会生效的。

HOME=/home:用户家目录的基准目录(basedir)

用户的家目录通常是与账号同名的目录,这个目录将会摆放在此设定值的目录后。所以 vbird1

的家目录就会在 /home/vbird1/

INACTIVE=-1:密码过期后是否会失效的设定值

我们在 shadow 文件结构当中谈过,第七个字段的设定值将会影响到密码过期后, 在多久时间

内还可使用旧密码登入。这个项目就是在指定该日数啦!如果是 0 代表密码过期立刻失效, 如果

是 -1 则是代表密码永进不会失效,如果是数字,如 30 ,则代表过期 30 天后才失效。

EXPIRE=:账号失效的日期

就是 shadow 内的第八字段,你可以直接设定账号在哪个日期后就直接失效,而不理会密码的问

题。通常不会设定此项目,但如果是付费的会员制系统,或许这个字段可以设定

SHELL=/bin/bash:默认使用的 shell 程序文件名

系统默认的 shell 就写在这里。假如你的系统为 mail server ,你希望每个账号都只能使用 email

的收发信件功能, 而不许用户登入系统取得 shell ,那么可以将这里设定为 /sbin/nologin ,如

此一来,新建的使用者预设就无法登入

SKEL=/etc/skel:用户家目录参考基准目录

这个咚咚就是指定用户家目录的参考基准目录，举我们的范例一为例, vbird1 家目录

/home/vbird1 内的各项数据,都是由 /etc/skel 所复制过去的，所以未来如果我想要让新

增使用者时,该用户的环境变量 ~/.bashrc 就设定妥当的话,您可以到 /etc/skel/.bashrc 去编

辑一下,也可以建立 /etc/skel/www 这个目录,那么未来新增使用者后,在他的家目录下就会

有 www 那个目录了。

CREATE_MAIL_SPOOL=yes:建立使用者的 mailbox

你可以使用『 ll /var/spool/mail/vbird1 』看一下,会发现有这个文件的存在，这就是使用者

的邮件信箱

除了这些基本的账号设定值之外, UID/GID还有密码参数参考/etc/login.defs啦!

内容：

MAIL_DIR    /var/spool/mail<==用户默认邮件信箱放置目录

PASS_MAX_DAYS 99999        <==/etc/shadow 内的第 5 栏,多久需变更密码日数

PASS_MIN_DAYS 0            <==/etc/shadow 内的第 4 栏,多久不可重新设定密码日数

PASS_MIN_LEN 5             <==密码最短的字符长度,已被 pam 模块取代,失去效用!

PASS_WARN_AGE 7            <==/etc/shadow 内的第 6 栏,过期前会警告的日数

UID_MIN 500                <==使用者最小的 UID,意即小于 500 的 UID 为系统保留

UID_MAX 60000              <==使用者能够用的最大 UID

GID_MIN 500                <==使用者自定义组的最小 GID,小于 500 为系统保留

GID_MAX     60000          <==使用者自定义组的最大 GID

CREATE_HOME    yes         <==在不加 -M 及 -m 时,是否主动建立用户家目录?

UMASK    077               <==用户家目录建立的 umask ,因此权限会是 700

USERGROUPS_ENAB yes        <==使用 userdel 删除时,是否会初除初始群组

MD5_CRYPT_ENAB yes         <==密码是否经过 MD5 的加密机制处理

这个文件规范的数据则是如下所示:

mailbox 所在目录:

用户的默认 mailbox 文件放置的目录在 /var/spool/mail,所以 vbird1 的 mailbox 就是在

/var/spool/mail/vbird1

shadow 密码第 4, 5, 6 字段内容:

透过 PASS_MAX_DAYS 等等设定值来指定的，所以你知道为何预设的 /etc/shadow 内每一行

都会有『 0:99999:7 』的存在了吗?^_^!不过要注意的是,由于目前我们登入时改用 PAM 模块来

进行密码检验,所以那个 PASS_MIN_LEN 是失效的!

UID/GID 指定数值:

虽然 Linux 核心支持的账号可高达 2^32 这么多个,不过一部主机要作出这么多账号在管理上也是

很麻烦的， 所以在这里就针对 UID/GID 的范围进行规范就是了。上表中的 UID_MIN 指的就是

可登入系统的一般账号的最小 UID ,至于 UID_MAX 则是最大 UID 之意。

要注意的是,系统给予一个账号 UID 时,他是 (1)先参考 UID_MIN 设定值取得最小数值; (2)由

/etc/passwd 搜寻最大的 UID 数值, 将 (1) 与 (2) 相比,找出最大的那个再加一就是新账号的

UID 了。我们上面已经作出 UID 为 700 的 vbird2 , 如果再使用『 useradd vbird4 』时,你

猜 vbird4 的 UID 会是多少?答案是: 701 。 所以中间的 505~699 的号码就空下来啦!

而如果我是想要建立系统用的账号,所以使用 useradd -r sysaccount 这个 -r 的选项时,就会

找『比 500 小的最大的那个 UID + 1 』就是了。

用户家目录设定值:

系统默认会帮用户建立家目录就是因为这个『CREATE_HOME = yes』的设定值，这个

设定值会让你在使用 useradd 时, 主动加入『 -m 』这个产生家目录的选项，如果不想要建

立用户家目录,就只能强制加上『 -M 』的选项在 useradd 指令执行时。至于建立家目录的权

限设定就透过 umask 这个设定值，因为是 0700 的预设设定,因此用户家目录默认权限才

会是『 drwx------ 』哩!

用户删除与密码设定值:

使用『USERGROUPS_ENAB yes』这个设定值的功能是: 如果使用 userdel 去初除一个账号

时,且该账号所属的初始群组已经没有人隶属于该群组了, 那么就删除掉该群组,举例来说,我

们刚刚有建立 vbird4 这个账号,他会主动建立 vbird4 这个群组。 若 vbird4 这个群组并没有其

他账号将他加入支持的情况下,若使用 userdel vbird4 时,该群组也会被删除的意思。 至于

『MD5_CRYPT_ENAB yes』则表示使用 MD5 来加密密码明文,而不使用旧式的 DES

现在你知道啦,使用 useradd 这支程序在建立 Linux 上的账号时,至少会参考:

/etc/default/useradd

/etc/login.defs

/etc/skel/*

这些文件,不过,最重要的其实是建立 /etc/passwd, /etc/shadow, /etc/group, /etc/gshadow 还有

用户家目录，所以,如果你了解整个系统运作的状态,也是可以手动直接修改这几个文件就是了。

O账号建立了,接下来处理一下用户的密码

passwd

使用 useradd 建立了账号之后,在预设的情况下,该账号是暂时被封锁的, 也就是说,该账号是无法登入的。

#passwd     [--sdtin]    <==所有人都可以使用来修改自己的密码

# passwd [-l] [-u] [--sdtin] [-S] [-n 日数] [-x 日数] [-w 日数] [-i 日期] 账号 <==root 功能

选项与参数:

--stdin :可以透过来自前一个管线的数据,作为密码输入,对 shell script 有用

要注意的是,这个选项并不存在所有 distributions 版本中, 请使用 man passwd 确认你的 distribution 是否有支持此选项喔!

-l :是 Lock 的意思,会将 /etc/shadow 第二栏最前面加上 ! 使密码失效;

-u :与 -l 相对,是 Unlock 的意思!

-S :列出密码相关参数,亦即 shadow 文件内的大部分信息。

-n :后面接天数,shadow 的第 4 字段,多久不可修改密码天数

-x :后面接天数,shadow 的第 5 字段,多久内必须要更动密码

-w :后面接天数,shadow 的第 6 字段,密码过期前的警告天数

-i :后面接『日期』,shadow 的第 7 字段,密码失效日期

新的 distributions 是使用较严格的 PAM 模块来管理密码,这个管理的机制写在 /etc/pam.d/passwd当中。而该文件与密码有关的测试模块就是使用:pam_cracklib.so,这个模块会检验密码相关的信息, 并且取代 /etc/login.defs 内的 PASS_MIN_LEN的设定。

chage

更详细的密码参数显示功能

#chage [-ldEImMW] 账号名

选项与参数:

-l :列出该账号的详细密码参数;

-d :后面接日期,修改 shadow 第三字段(最近一次更改密码的日期),格式YYYY-MM-DD

-E :后面接日期,修改 shadow 第八字段(账号失效日),格式 YYYY-MM-DD

-I :后面接天数,修改 shadow 第七字段(密码失效日期)

-m :后面接天数,修改 shadow 第四字段(密码最短保留天数)

-M :后面接天数,修改 shadow 第五字段(密码多久需要进行变更)

-W :后面接天数,修改 shadow 第六字段(密码过期前警告日期)

chage 有一个功能很不错，如果你想要让『使用者在第一次登入时, 强制他们一定要更改密码后才能

够使用系统资源』,可以利用如下的方法来处理

范例二:建立一个名为 agetest 的账号,该账号第一次登入后使用默认密码,但必须要更改过密码后,使用新密码才能够登入系统使用 bash 环境

#useradd agetest

#echo "agetest" | passwd --stdin agetest

#chage -d 0 agetest

此时此账号的密码建立时间会被改为 1970/1/1 ,所以会有问题

你会发现 agetest 这个账号在第一次登入时可以使用与账号同名的密码登入, 但登入时就

会被要求立刻更改密码,更改密码完成后就会被踢出系统。再次登入时就能够使用新密码登入了

usermod

所谓这『人有失手,马有乱蹄』,所以,当然有的时候会『不小心』在 useradd 的时候加入了错误的设定数据。或者是,在使用 useradd 后,发现某些地方还可以进行细部修改。 此时,当然我们可以直接到 /etc/passwd 或 /etc/shadow 去修改相对应字段的数据, 不过,Linux 也有提供相关

的指令让大家来进行账号相关数据的微调，那就是 usermod

# usermod [-cdegGlsuLU] username

选项与参数:

-c :后面接账号的说明,即 /etc/passwd 第五栏的说明栏,可以加入一些账号的说明。

-d :后面接账号的家目录,即修改 /etc/passwd 的第六栏;

-e :后面接日期,格式是 YYYY-MM-DD 也就是在 /etc/shadow 内的第八个字段数据

-f :后面接天数,为 shadow 的第七字段。

-g :后面接初始群组,修改 /etc/passwd 的第四个字段,亦即是 GID 的字段

-G :后面接次要群组,修改这个使用者能够支持的群组,修改的是 /etc/group

-a :与 -G 合用,可『增加次要群组的支持』而非『设定』

-l :后面接账号名称。亦即是修改账号名称, /etc/passwd 的第一栏

-s :后面接 Shell 的实际文件,例如 /bin/bash 或 /bin/csh 等等。

-u :后面接 UID 数字啦!即 /etc/passwd 第三栏的资料;

-L :暂时将用户的密码冻结,让他无法登入。其实仅改 /etc/shadow 的密码栏。

-U :将 /etc/shadow 密码栏的 ! 拿掉,解冻啦

userdel

这个功能就太简单了,目的在删除用户的相关数据,而用户的数据有:

用户账号/密码相关参数:/etc/passwd, /etc/shadow

使用者群组相关参数:/etc/group, /etc/gshadow

用户个人文件数据: /home/username, /var/spool/mail/username..

整个指令的语法非常简单:

#userdel [-r] username

选项与参数:

-r :连同用户的家目录也一起删除

其实用户如果在系统上面操作过一阵子了,那么该用户其实在系统内可能会含有其他文件的。举例来说,

他的邮件信箱 (mailbox) 或者是例行性工作排程 (crontab, 十六章) 之类的文件。 所以,如果想要

完整的将某个账号完整的移除,最好可以在下达 userdel -r username 之前, 先以『 find / -user

username 』查出整个系统内属于 username 的文件,然后再加以删除吧!

用户功能

不论是 useradd/usermod/userdel ,那都是系统管理员所能够使用的指令, 如果我是一般身份使用

者,那举我是否除了密码之外,就无法更改其他的数据呢? 当然不是啦!这里我们介绍几个一般身份用

户常用的账号数据变更与查询指令啰!

finger

finger 的中文字面意义是:『手指』或者是『指纹』的意思。这个 finger 可以查阅很多用户相关的信

息喔! 大部分都是在 /etc/passwd 这个文件里面的信息啦!我们就先来检查检查用户信息吧!

# finger [-s] username

选项与参数:

-s :仅列出用户的账号、全名、终端机代号与登入时间等等;

-m :列出与后面接的账号相同者,而不是利用部分比对 (包括全名部分)

由于 finger 类似指纹的功能,他会将用户的相关属性列出来!如上表所示,其实他列出来的几乎都是

/etc/passwd 文件里面的东西。列出的信息说明如下:

Login:为使用者账号,亦即 /etc/passwd 内的第一字段;

Name:为全名,亦即 /etc/passwd 内的第五字段(或称为批注);

Directory:就是家目录了;

Shell:就是使用的 Shell 文件所在;

Never logged in.:figner 还会调查用户登入主机的情况喔!

No mail.:调查 /var/spool/mail 当中的信箱资料;

No Plan.:调查 ~vbird1/.plan 文件,并将该文件取出来说明!

不过是否能够查阅到 Mail 与 Plan 则与权限有关了!因为 Mail / Plan 都是与使用者自己的权限设定有

关, root 当然可以查阅到用户的这些信息,但是 vbird1 就不见得能够查到 vbird3 的信息, 因为

/var/spool/mail/vbird3 与 /home/vbird3/ 的权限分别是 660, 700 ,那 vbird1 当然就无法查阅的到!

chfn

chfn 修改用户的 finger 数据，有点像是: change finger 的意思!这玩意的使用方法如下:

# chfn [-foph] [账号名]

选项与参数:

-f :后面接完整的大名;

-o :您办公室的房间号码;

-p :办公室的电话号码;

-h :家里的电话号码!

chsh

这就是 change shell 的简写!使用方法就更简单了!

$ chsh [-ls]

选项与参数:

-l :列出目前系统上面可用的 shell ,其实就是 /etc/shells 的内容!

-s :设定修改自己的 Shell 啰

id

id 这个指令则可以查询某人或自己的相关 UID/GID 等等的信息,他的参数也不少,不过, 都不需要

让~反正使用 id 就全部都列出啰~ ^_^

#id [username]

新增与移除群组

基本上,群组的内容都与这两个文件有关:/etc/group,/etc/gshadow。群组的内容其实很简单,都是上面两个

文件的新增、修改与移除而已, 不过,如果再加上有效群组的概念,那么 newgrp与gpasswd 则不可不知呢!

# groupadd [-g gid] [-r] 组名

选项与参数:

-g :后面接某个特定的 GID ,用来直接给予某个 GID

-r :建立系统群组啦!与 /etc/login.defs 内的 GID_MIN 有关

groupmod

跟 usermod 类似的,这个指令仅是在进行 group 相关参数的修改而已。

#groupmod [-g gid] [-n group_name] 群组名

选项与参数:

-g :修改既有的 GID 数字;

-n :修改既有的组名

groupdel

呼呼! groupdel 自然就是在删除群组的啰~用法很简单:

#groupdel [groupname]

若要删除 vbird1 这个群组的话?

#groupdel vbird1

groupdel: cannot remove user's primary group.

为什么 mygroup 可以删除,但是 vbird1 就不能初除呢?原因很简单,『有某个账号 (/etc/passwd)

的 initial group 使用该群组!』 如果查阅一下,你会发现在 /etc/passwd 内的 vbird1 第四栏的 GID

就是 /etc/group 内的 vbird1 那个群组的 GID ,所以啰,当然无法初除~否则 vbird1 这个用户登入系

统后, 就会找不到 GID ,那可是会造成很大的困扰的!那举如果硬要要初除 vbird1 这个群组呢? 你

『必须要确认 /etc/passwd 内的账号没有任何人使用该群组作为 initial group 』才行喔!所以,你可

以:

修改 vbird1 的 GID ,或者是:

删除 vbird1 这个使用者。

gpasswd:群组管理员功能

如果系统管理员太忙碌了,导致某些账号想要加入某个项目时找不到人帮忙!这个时候可以建立『群组

管理员』喔! 什么是群组管理员呢?就是让某个群组具有一个管理员,这个群组管理员可以管理哪些账

号可以加入/移出该群组! 那要如何『建立一个群组管理员』呢?就得要透过 gpasswd 啰!

关于系统管理员(root)做的动作:

#gpasswd groupname

#gpasswd [-A user1,...] [-M user3,...] groupname

#gpasswd [-rR] groupname

选项与参数:

:若没有任何参数时,表示给予 groupname 一个密码(/etc/gshadow)

-A :将 groupname 的主控权交由后面的使用者管理(该群组的管理员)

-M :将某些账号加入这个群组当中!

-r :将 groupname 的密码移除

-R :让 groupname 的密码栏失效

关于群组管理员(Group administrator)做的动作:

[someone@www ~]$ gpasswd [-ad] user groupname

选项与参数:

-a :将某位使用者加入到 groupname 这个群组当中!

-d :将某位使用者移除出 groupname 这个群组当中。

账号管理实例

账号管理不是随意建置几个账号就算了!有时候我们需要考虑到一部主机上面可能有多个账号在协同工

作! 举例来说,在大学任教时,我们学校的专题生是需要分组的,这些同一组的同学间必须要能够互相

修改对方的数据文件, 但是同时这些同学又需要保留自己的私密数据,因此直接公开家目录是不适宜

的。那该如何是好? 为此,我们底下提供几个例子来让大家思考看看啰:

任务一:单纯的完成上头交代的任务,假设我们需要的账号数据如下,你该如何实作?

账号名称    账号全名        支援次要群组    是否可登入主机    密码

myuser1 1st user     mygroup1         可以         password

myuser2 2nd user     mygroup1         可以         password

myuser3 3rd user     无额外支持         不可以         password

处理的方法如下所示:

# groupadd mygroup1

# useradd -G mygroup1 -c "1st user" myuser1

# useradd -G mygroup1 -c "2nd user" myuser2

# useradd -c "3rd user" -s /sbin/nologin myuser3

# echo "password" | passwd --stdin myuser1

# echo "password" | passwd --stdin myuser2

# echo "password" | passwd --stdin myuser3

要注意的地方主要有:myuser1 与 myuser2 都有支援次要群组,但该群组不见得会存在,因此需要先

手动建立他! 然后 myuser3 是『不可登入系统』的账号,因此需要使用 /sbin/nologin 这个 shell来

给予,这样该账号就无法登入啰! 这样是否理解啊!接下来再来认论比较难一些的环境!如果是专题环

境该如何制作?

任务二:我的使用者 pro1, pro2, pro3 是同一个项目计划的开发人员,我想要让这三个用户在同一个目

录底下工作, 但这三个用户还是拥有自己的家目录与基本的私有群组。假设我要让这个项目计划在

/srv/projecta 目录下开发, 可以如何进行?

1. 假设这三个账号都尚未建立,可先建立一个名为 projecta 的群组,

再让这三个用户加入其次要群组的支持即可:

#groupadd projecta

# useradd -G projecta -c "projecta user" pro1

# useradd -G projecta -c "projecta user" pro2

# useradd -G projecta -c "projecta user" pro3

# echo "password" | passwd --stdin pro1

# echo "password" | passwd --stdin pro2

# echo "password" | passwd --stdin pro3

2. 开始建立此项目的开发目录:

# mkdir /srv/projecta

# chgrp projecta /srv/projecta

# chmod 2770 /srv/projecta

# ll -d /srv/projecta

drwxrws--- 2 root projecta 4096 Feb 27 11:29 /srv/projecta

由于此项目计划只能够给 pro1, pro2, pro3 三个人使用,所以 /srv/projecta 的权限设定一定要正确才行， 所以该目录群组一定是 projecta ,但是权限怎么会是 2770 呢还记得第七章谈到的 SGID 吧?为

了让三个使用者能够互相修改对方的文件, 这个 SGID 是必须要存在的喔!如果连这里都能够理解,您的账号管理已经有一定程度的概念。但接下来有个困扰的问题发生了!假如任务一的 myuser1 是 projecta 这个项目的助理,他需要这个项目的内容, 但是他『不可以修改』项目目录内的任何数据!那该如何是好?你或许可以这样做:

将 myuser1 加入 projecta 这个群组的支持,但是这样会让 myuser1 具有完整的 /srv/projecta

的权限, myuser1 是可以删除该目录下的任何数据的!这样是有问题的;

将 /srv/projecta 的权限改为 2775 ,让 myuser1 可以进入查阅数据。但此时会发生所有其他人

均可进入该目录查阅的困扰! 这也不是我们要的环境，传统的 Linux 权限无法针对某个个人设定专

属的权限吗?其实是可以的，那就是ACL