Linux常用命令及帳戶管理

Linux常用命令及帳戶管理從基礎(chǔ)操作到企業(yè)級(jí)安全配置的完整指南Contents課程目錄Linux常用命令及帳戶管理核心模塊概覽01Linux系統(tǒng)基礎(chǔ)概述02用戶賬號(hào)管理03用戶組管理04權(quán)限管理系統(tǒng)05高級(jí)安全配置06常用命令速查Chapter01Linux系統(tǒng)基礎(chǔ)概述理解Linux的設(shè)計(jì)哲學(xué)與核心架構(gòu)CoreFeaturesLinux系統(tǒng)核心特點(diǎn)Linux以其多用戶多任務(wù)架構(gòu)、嚴(yán)格的權(quán)限控制機(jī)制、卓越的穩(wěn)定性和開源生態(tài)，成為全球服務(wù)器市場(chǎng)占比超過90%的主流操作系統(tǒng)，是理解現(xiàn)代IT基礎(chǔ)設(shè)施的必備知識(shí)。多用戶多任務(wù)設(shè)計(jì)：支持?jǐn)?shù)百用戶同時(shí)登錄并獨(dú)立執(zhí)行任務(wù)，進(jìn)程間隔離確保系統(tǒng)穩(wěn)定性嚴(yán)格的權(quán)限控制：每個(gè)文件、目錄和進(jìn)程都有所有者、所屬組和其他用戶的三級(jí)權(quán)限劃分卓越的穩(wěn)定性：內(nèi)核設(shè)計(jì)優(yōu)秀，服務(wù)器可連續(xù)運(yùn)行數(shù)年無需重啟，年宕機(jī)時(shí)間低于1小時(shí)開源生態(tài)系統(tǒng)：全球數(shù)百萬開發(fā)者共同維護(hù)，安全問題可在數(shù)小時(shí)內(nèi)得到響應(yīng)和修復(fù)Linux在企業(yè)數(shù)據(jù)中心的核心應(yīng)用場(chǎng)景LinuxFundamentals命令行界面與Shell基礎(chǔ)Shell是Linux用戶與內(nèi)核交互的橋梁，負(fù)責(zé)解析用戶輸入的命令并調(diào)用系統(tǒng)資源執(zhí)行。Shell的角色定位作為命令解釋器，接收用戶輸入、解析語法、調(diào)用內(nèi)核API并返回執(zhí)行結(jié)果常用Shell類型Bash是默認(rèn)Shell，支持命令歷史和自動(dòng)補(bǔ)全；Zsh功能更強(qiáng)大，適合高級(jí)用戶命令基本格式'命令-選項(xiàng)參數(shù)'結(jié)構(gòu)，如ls-la/home中l(wèi)s是命令、-la是選項(xiàng)、/home是參數(shù)特殊字符含義管道符|連接命令、重定向>輸出到文件、通配符*匹配文件名，是高效操作的基礎(chǔ)Linux終端命令行工作環(huán)境CHAPTER02用戶賬號(hào)管理掌握用戶生命周期的完整管理流程ACCOUNTTYPESLinux用戶賬號(hào)類型解析Linux通過超級(jí)用戶、普通用戶和程序用戶三類賬號(hào)實(shí)現(xiàn)權(quán)限分層，每類賬號(hào)有不同的UID范圍和使用場(chǎng)景，這種設(shè)計(jì)是系統(tǒng)安全的基礎(chǔ)架構(gòu)。超級(jí)用戶(root)UID固定為0，擁有系統(tǒng)最高權(quán)限，可執(zhí)行任何操作包括修改系統(tǒng)配置和刪除關(guān)鍵文件類似Windows的Administrator賬戶，但權(quán)限更強(qiáng)大，誤操作可能導(dǎo)致系統(tǒng)崩潰生產(chǎn)環(huán)境建議通過sudo臨時(shí)獲取root權(quán)限，而非直接以root身份登錄UID=0普通用戶UID范圍為1000-60000，僅在自己的家目錄(如/home/username)擁有完整權(quán)限由root或管理員創(chuàng)建，用于日常辦公和開發(fā)，操作其他目錄需依賴授權(quán)通過用戶組機(jī)制可獲得額外的訪問權(quán)限，實(shí)現(xiàn)靈活的權(quán)限管理UID1000+程序用戶UID范圍為1-999，低權(quán)限賬戶通常不允許登錄系統(tǒng)，僅用于維持服務(wù)運(yùn)行常見示例包括bin(系統(tǒng)命令)、apache(Web服務(wù))、mysql(數(shù)據(jù)庫)等隔離程序權(quán)限的核心機(jī)制，避免因程序漏洞導(dǎo)致整個(gè)系統(tǒng)被攻擊UID1-999LinuxAccountManagement用戶賬號(hào)創(chuàng)建命令詳解useradd和adduser是Linux創(chuàng)建用戶的兩個(gè)核心命令，前者適合腳本自動(dòng)化，后者適合交互式操作。掌握常用選項(xiàng)可以實(shí)現(xiàn)精確的用戶配置。01基礎(chǔ)用法：useradd-musername創(chuàng)建用戶并自動(dòng)生成家目錄，-m選項(xiàng)確保/home/username目錄被創(chuàng)建02登錄Shell：-s/bin/bash設(shè)置默認(rèn)Shell，-s/sbin/nologin禁止用戶登錄，常用于程序賬戶03用戶組配置：-gprimary_group設(shè)置主組，-Ggroup1,group2設(shè)置附加組，實(shí)現(xiàn)權(quán)限靈活分配04高級(jí)選項(xiàng)：-u2001指定UID，-c"描述信息"添加注釋，-e2024-12-31設(shè)置賬戶過期時(shí)間系統(tǒng)管理員執(zhí)行用戶管理命令的工作場(chǎng)景LinuxSecurity密碼管理與安全策略密碼管理不僅涉及設(shè)置和修改，還包括有效期控制、強(qiáng)度策略和賬戶鎖定等安全措施。合理的密碼策略是企業(yè)信息安全的重要防線。passwd命令用法：passwdusername設(shè)置密碼，root可重置任意用戶密碼，普通用戶僅能修改自己的密碼密碼有效期控制：chage-M90設(shè)置90天強(qiáng)制更換，chage-W7提前7天發(fā)出過期警告賬戶鎖定機(jī)制：passwd-lusername鎖定賬戶，在/etc/shadow中密碼字段前添加!!標(biāo)記密碼強(qiáng)度策略：通過PAM模塊配置最小長度12位、包含大小寫字母數(shù)字特殊字符、禁止重復(fù)3次以上字符信息安全與密碼管理概念示意LifecycleManagement用戶狀態(tài)控制與生命周期用戶生命周期管理涵蓋創(chuàng)建、修改、鎖定、過期和刪除等階段。合理的狀態(tài)控制既能保障系統(tǒng)安全，也能滿足企業(yè)人員流動(dòng)的管理需求。企業(yè)賬號(hào)管理業(yè)務(wù)場(chǎng)景01usermod-e2024-12-31賬戶過期設(shè)置：usermod-e2024-12-31設(shè)置到期日期，過期后用戶無法登錄但賬戶數(shù)據(jù)保留EXPIRE02passwd-lpasswd-u賬戶鎖定與解鎖：passwd-l鎖定、passwd-u解鎖，適用于員工休假或臨時(shí)停用場(chǎng)景LOCK03userdeluserdel-r用戶刪除策略：userdel僅刪除賬戶，userdel-r同時(shí)刪除家目錄，建議先備份再清理DELETE04usermod-s/sbin/nologinShell限制登錄：usermod-s/sbin/nologin禁止交互式登錄，但服務(wù)仍可正常運(yùn)行RESTRICTLinuxUserManagement/etc/passwd配置文件解析/etc/passwd是Linux用戶信息的核心配置文件，采用冒號(hào)分隔的7字段結(jié)構(gòu)存儲(chǔ)用戶名、UID、GID、家目錄和Shell等關(guān)鍵信息，是理解用戶管理的基礎(chǔ)。01文件結(jié)構(gòu)概述每行代表一個(gè)用戶，7個(gè)字段以冒號(hào)分隔，格式為'用戶名:密碼占位:UID:GID:注釋:家目錄:Shell'，系統(tǒng)通過該文件識(shí)別用戶身份與權(quán)限。02密碼占位符機(jī)制第二字段的x表示密碼存儲(chǔ)在/etc/shadow中，這是出于安全考慮的分離設(shè)計(jì)，防止普通用戶讀取加密后的密碼哈希值。03UID/GID字段第三字段為用戶唯一標(biāo)識(shí)(UID)，第四字段為主組標(biāo)識(shí)(GID)。系統(tǒng)內(nèi)部通過數(shù)字而非名稱識(shí)別用戶，0為root用戶，1-999為系統(tǒng)保留UID。04家目錄與Shell第六字段指定用戶登錄后的初始工作目錄(如/home/username)，第七字段決定用戶使用的命令解釋器(如/bin/bash或/sbin/nologin)。/etc/passwd示例內(nèi)容#用戶名:密碼:UID:GID:注釋:家目錄:Shellroot:x:0:0:root:/root:/bin/bashdaemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologinbin:x:2:2:bin:/bin:/usr/sbin/nologinsys:x:3:3:sys:/dev:/usr/sbin/nologinsync:x:4:65534:sync:/bin:/bin/syncgames:x:5:60:games:/usr/games:/usr/sbin/nologinman:x:6:12:man:/var/cache/man:/usr/sbin/nologinlp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologinmail:x:8:8:mail:/var/mail:/usr/sbin/nologinnews:x:9:9:news:/var/spool/news:/usr/sbin/nologinuucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin字段1:用戶名字段3:UID字段6:家目錄字段7:ShellSecurity/etc/shadow安全字段解析/etc/shadow存儲(chǔ)密碼哈希和安全策略，是Linux賬戶安全的核心防線。理解其9字段結(jié)構(gòu)對(duì)于實(shí)施密碼策略和安全審計(jì)至關(guān)重要。數(shù)據(jù)安全與加密保護(hù)01文件權(quán)限控制：僅root用戶可讀（-rw-------），防止普通用戶獲取密碼哈希進(jìn)行暴力破解-rw-------02密碼哈希格式：$6$開頭表示SHA-512算法，后接salt值和加密結(jié)果$6$·SHA-51203日期字段計(jì)算：以1970年1月1日為基準(zhǔn)的天數(shù)，用于密碼有效期判斷EpochDays04安全策略字段：最小修改間隔、警告期提前通知、非活動(dòng)期自動(dòng)鎖定AutoLockCHAPTER03用戶組管理通過組機(jī)制實(shí)現(xiàn)高效的批量權(quán)限管理USERGROUPS用戶組概念與類型用戶組分為基本組和附加組兩種類型，基本組是用戶的默認(rèn)歸屬，附加組用于獲取額外權(quán)限。團(tuán)隊(duì)分組協(xié)作場(chǎng)景01基本組（私有組）用戶創(chuàng)建時(shí)自動(dòng)生成的默認(rèn)組，通常與用戶名同名，每個(gè)用戶有且只有一個(gè)基本組02附加組（公共組）用戶額外加入的組，可同時(shí)屬于多個(gè)附加組，用于獲取特定資源的訪問權(quán)限03實(shí)際應(yīng)用場(chǎng)景張三基本組為tech，附加組為mailadm和docker，可同時(shí)獲得技術(shù)和郵件管理權(quán)限04文件歸屬規(guī)則創(chuàng)建文件時(shí)默認(rèn)歸屬用戶的基本組，可通過newgrp命令臨時(shí)切換當(dāng)前有效組LINUX·ACCOUNTMANAGEMENT用戶組創(chuàng)建與配置groupadd、groupmod和groupdel是用戶組管理的三個(gè)核心命令，掌握其選項(xiàng)和注意事項(xiàng)可以實(shí)現(xiàn)靈活的組配置，但修改GID后需要手動(dòng)更新文件歸屬。01groupaddgroupname-g1500創(chuàng)建用戶組：groupaddgroupname創(chuàng)建新組，-g1500可指定GID，不指定則自動(dòng)分配下一個(gè)可用ID02groupmod-nnewnameoldname-gnewGID修改組屬性：groupmod-nnewnameoldname重命名組，-gnewGID修改GID，但已有文件歸屬不會(huì)自動(dòng)更新03groupdelgroupnamegpasswd刪除用戶組：groupdelgroupname刪除組，但組內(nèi)仍有用戶時(shí)無法刪除，需先用gpasswd移除所有成員04cat/etc/group組信息查看：cat/etc/group查看組配置文件，格式為"組名:密碼占位:GID:成員列表"，成員以逗號(hào)分隔IT運(yùn)維人員正在管理系統(tǒng)用戶組配置CHAPTER04權(quán)限管理系統(tǒng)掌握文件權(quán)限的核心機(jī)制與配置方法FILEPERMISSIONS文件權(quán)限基礎(chǔ)（rwx解讀）Linux文件權(quán)限通過10位字符串表示，首字符標(biāo)識(shí)文件類型，后9位分為所有者、所屬組、其他用戶三組，每組包含讀、寫、執(zhí)行三種權(quán)限，是訪問控制的基礎(chǔ)。01文件類型標(biāo)識(shí)：首位字符表示類型，-為普通文件、d為目錄、l為軟鏈接、c為字符設(shè)備、b為塊設(shè)備02三組權(quán)限劃分：后9位分為所有者（owner）、所屬組（group）、其他用戶（other）三組，每組3位03權(quán)限含義差異：文件權(quán)限中r讀w寫x執(zhí)行；目錄權(quán)限中r列出內(nèi)容、w創(chuàng)建刪除、x進(jìn)入目錄04實(shí)例解讀：-rwxr-xr--所有者全部權(quán)限·組用戶可讀可執(zhí)行·其他用戶僅可讀Linux終端·文件權(quán)限字段輸出示例PermissionManagementchmod命令詳解chmod是修改文件權(quán)限的核心命令，支持符號(hào)模式和數(shù)字模式兩種方式。數(shù)字模式因簡潔高效成為實(shí)際工作中的首選。01符號(hào)模式：chmodu+xfile給所有者添加執(zhí)行權(quán)限，chmodgo-wfile移除組和其他用戶的寫權(quán)限02數(shù)字模式原理：r=4、w=2、x=1，三組權(quán)限分別求和，如rwx=7、rw-=6、r-x=5、r--=403常用數(shù)字組合：755(rwxr-xr-x)適用于可執(zhí)行文件，644(rw-r--r--)適用于普通文件，700私有目錄04遞歸修改：-R選項(xiàng)遞歸修改目錄及子文件權(quán)限，如chmod-R755/var/www設(shè)置Web目錄權(quán)限終端命令行操作場(chǎng)景FILEOWNERSHIPchown與文件歸屬管理chown命令用于修改文件的所有者和所屬組，是文件歸屬管理的核心工具。只有root用戶可以修改所有者，這保證了系統(tǒng)權(quán)限體系的完整性。01修改所有者和組：chownowner:groupfilename同時(shí)修改，如chownalice:developersproject.txt02單獨(dú)修改所有者：chownalicefilename只改所有者不改變組，省略冒號(hào)和組名即可03單獨(dú)修改所屬組：chown:developersfilename或chgrpdevelopersfilename只修改組04遞歸修改：-R選項(xiàng)遞歸修改整個(gè)目錄樹，如chown-Rwww-data:www-data/var/www設(shè)置Web目錄歸屬服務(wù)器文件管理·數(shù)據(jù)中心FILEPERMISSIONSumask默認(rèn)權(quán)限機(jī)制umask通過從最大權(quán)限中減去掩碼值來確定新文件的默認(rèn)權(quán)限，是系統(tǒng)級(jí)權(quán)限策略的重要配置。合理設(shè)置umask可以在便利性和安全性之間取得平衡。工作原理目錄最大權(quán)限777、文件最大權(quán)限666，新創(chuàng)建權(quán)限=最大權(quán)限-umask值常見配置022目錄755/文件644適合共享環(huán)境，077目錄700/文件600適合私有環(huán)境查看與修改umask查看當(dāng)前值，umask077臨時(shí)修改，寫入~/.bashrc或/etc/profile永久生效安全場(chǎng)景/home目錄建議umask077防止其他用戶訪問，Web目錄可設(shè)umask022便于協(xié)作配置建議：開發(fā)環(huán)境推薦umask022保證團(tuán)隊(duì)協(xié)作效率，生產(chǎn)服務(wù)器建議umask027或077強(qiáng)化數(shù)據(jù)隔離保護(hù)Chapter05高級(jí)安全配置掌握企業(yè)級(jí)安全策略與高級(jí)權(quán)限控制權(quán)限管理·SUDOCONFIGURATIONSudo策略配置sudo是企業(yè)權(quán)限管理的核心機(jī)制，通過精確配置可以實(shí)現(xiàn)最小權(quán)限原則。使用visudo編輯配置可避免語法錯(cuò)誤，合理的sudo策略既保障安全又提升運(yùn)維效率。企業(yè)服務(wù)器運(yùn)維管理場(chǎng)景01配置方式：使用visudo命令編輯/etc/sudoers，內(nèi)置語法檢查防止配置錯(cuò)誤導(dǎo)致系統(tǒng)無法使用sudo02配置格式解析：用戶主機(jī)=(身份)命令，如aliceALL=(ALL)ALL允許alice以任何身份執(zhí)行任何命令03精細(xì)化控制：jenkinsALL=(deploy)/usr/bin/systemctlrestartnginx只允許特定用戶執(zhí)行特定命令04組策略配置：%docker-usersALL=(ALL)NOPASSWD:/usr/bin/docker允許組內(nèi)成員免密執(zhí)行指定命令PermissionManagementACL訪問控制列表ACL突破了傳統(tǒng)三類權(quán)限的限制，可以為任意用戶或組設(shè)置獨(dú)立的訪問權(quán)限。在需要精細(xì)化權(quán)限控制的場(chǎng)景下，ACL是不可或缺的補(bǔ)充機(jī)制。01突破傳統(tǒng)權(quán)限限制當(dāng)傳統(tǒng)的所有者/組/其他用戶三類權(quán)限無法滿足需求時(shí)，ACL可為特定用戶設(shè)置獨(dú)立權(quán)限，實(shí)現(xiàn)更細(xì)粒度的訪問控制。02設(shè)置ACL權(quán)限setfacl-mu:alice:rwfilesetfacl-mg:devs:rxdir03查看ACL配置getfaclfilename顯示文件的ACL規(guī)則列表，包括用戶、組和掩碼權(quán)限04刪除ACL規(guī)則setfacl-xu:alicefilesetfacl-bfilePERMISSIONSGID與權(quán)限繼承SGID使目錄下的新文件自動(dòng)繼承目錄的所屬組，是團(tuán)隊(duì)共享目錄的核心配置。結(jié)合StickyBit可實(shí)現(xiàn)更安全的共享環(huán)境，是企業(yè)協(xié)作場(chǎng)景的必備技術(shù)。團(tuán)隊(duì)協(xié)作共享目錄場(chǎng)景示意01SGID目錄特性：設(shè)置SGID后，目錄下新建文件自動(dòng)繼承目錄的所屬組，而非創(chuàng)建者的基本組自動(dòng)繼承所屬組02設(shè)置SGID：chmodg+s/shared或chmod2775/shared，2表示SGID位，775是常規(guī)權(quán)限chmod277503StickyBit機(jī)制：設(shè)置后只有文件所有者和root可刪除文件，/tmp目錄采用此配置防止誤刪防誤刪保護(hù)04共享目錄實(shí)踐：chmod2775/project&&chgrpdevteam/project，成員文件自動(dòng)歸屬devteamdevteam自動(dòng)歸屬SecurityHardening安全加固與審計(jì)監(jiān)控企業(yè)級(jí)安全需要多層防護(hù)：禁用空密碼、強(qiáng)制密碼強(qiáng)度、啟用審計(jì)監(jiān)控。完善的審計(jì)日志不僅滿足合規(guī)要求，也是安全事件追溯的關(guān)鍵依據(jù)。數(shù)據(jù)中心安全審計(jì)監(jiān)控實(shí)景禁用空密碼編輯/etc/pam.d/system-auth移除nullok選項(xiàng)，防止未設(shè)置密碼的賬戶登錄系統(tǒng)system-auth密碼強(qiáng)度策略authconfig--passminlen=12--passmaxrepeat=3強(qiáng)制12位最小長度和字符復(fù)雜度MinLength12文件審計(jì)配置auditctl-w/etc/passwd-pwa-kuser_changes監(jiān)控關(guān)鍵文件的寫入和屬性修改/etc/passwd審計(jì)日志查詢ausearch-kuser_changes按關(guān)鍵詞查詢，aureport-f生成文件訪問統(tǒng)計(jì)報(bào)告ausearchCHAPTER06常用命令速查快速掌握日常運(yùn)維的核心命令集UserInfoCommands用戶信息查詢命令用戶信息查詢是日常運(yùn)維的基礎(chǔ)工作，id、groups、w等命令可以快速獲取用戶身份、所屬組和在線狀態(tài)，是故障排查和安全審計(jì)的常用工具。01idaliceuid=1001(alice)gid=1001(alice)groups=…id命令：顯示用戶的UID、GID和所有所屬組，如idalice輸出uid=1001(alice)gid=1001(alice)groups=…02groupsalicegroups命令：顯示用戶所屬的所有組列表，groupsalice快速查看用戶有哪些組權(quán)限03w命令：顯示當(dāng)前登錄用戶及活動(dòng)狀態(tài)，包括登錄時(shí)間、空閑時(shí)長、當(dāng)前執(zhí)行的命令，適合實(shí)時(shí)監(jiān)控04lastlastblast/lastb命令：last顯示登錄歷史記錄，lastb顯示失敗的登錄嘗試，用于安全審計(jì)和異常檢測(cè)運(yùn)維工程師監(jiān)控服務(wù)器的日常工作場(chǎng)景TROUBLESHOOTING故障排查工具箱用戶和權(quán)限故障排查需要系統(tǒng)性方法：先驗(yàn)證配置文件完整性，再檢查賬戶狀態(tài)，最后分析權(quán)限鏈路。掌握這些工具可以快速定位和解決各類訪問問題。01pwckgrpck配置文件驗(yàn)證：pwck檢查/etc/passwd和/etc/shadow格式，grpck驗(yàn)證/etc/group完整性02getentpasswduser登錄故障排查：檢查Shell路徑、賬戶鎖定狀態(tài)（!!標(biāo)記）、過期日期，getentpasswduser支持LD