第二周博客作业
文件系统目录结构
文件系统的目录结构
- 文件和目录被组织成一个单根倒置树结构
- 文件系统从根目录下开始，用“/”表示
- 根文件系统(rootfs)：root fifilesystem
- 标准Linux文件系统（如：ext4），文件名称大小写敏感，例如：MAIL, Mail, mail, mAiL
- 以 . 开头的文件为隐藏文件
- 路径分隔的 /
- 文件名最长255个字节
- 包括路径在内文件名称最长4095个字节
- 蓝色-->目录 绿色-->可执行文件 红色-->压缩文件 浅蓝色-->链接文件 灰色-->其他文件
- 除了斜杠和NUL,所有字符都有效.但使用特殊字符的目录名和文件不推荐使用，有些字符需要用引号来引用
- 每个文件都有两类相关数据：元数据：metadata，即属性， 数据：data，即文件内容
Linux的文件系统分层结构：FHS Filesystem Hierarchy Standard
参考文档：http://www.pathname.com/fhs/
常见的文件系统目录功能
/boot：引导文件存放目录，内核文件(vmlinuz)、引导加载器(bootloader, grub)都存放于此目录
/bin：所有用户使用的基本命令；不能关联至独立分区，OS启动即会用到的程序
/sbin：管理类的基本命令；不能关联至独立分区，OS启动即会用到的程序
/lib：启动时程序依赖的基本共享库文件以及内核模块文件(/lib/modules)
/lib64：专用于x86_64系统上的辅助共享库文件存放位置
/etc：配置文件目录
/home/USERNAME：普通用户家目录
/root：管理员的家目录
/media：便携式移动设备挂载点
/mnt：临时文件系统挂载点
/dev：设备文件及特殊文件存储位置
b: block device，随机访问
c: character device，线性访问
/opt：第三方应用程序的安装位置
/srv：系统上运行的服务用到的数据
/tmp：临时文件存储位置
/usr: universal shared, read-only data
bin: 保证系统拥有完整功能而提供的应用程序
sbin:
lib：32位使用
lib64：只存在64位系统
include: C程序的头文件(header fifiles)
share：结构化独立的数据，例如doc, man等
local：第三方应用程序的安装位置
bin, sbin, lib, lib64, etc, share
/var: variable data fifiles
cache: 应用程序缓存数据目录
lib: 应用程序状态信息数据
local：专用于为/usr/local下的应用程序存储可变数据
lock: 锁文件
log: 日志目录及文件
opt: 专用于为/opt下的应用程序存储可变数据
run: 运行中的进程相关数据,通常用于存储进程pid文件
spool: 应用程序数据池
tmp: 保存系统两次重启之间产生的临时数据
/proc: 用于输出内核与进程信息相关的虚拟文件系统
/sys：用于输出当前系统上硬件设备相关信息虚拟文件系统
/selinux: security enhanced Linux，selinux相关的安全策略等信息的存储位置
用程序的组成部分
二进制程序：/bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin, /usr/local/sbin
库文件：/lib, /lib64, /usr/lib, /usr/lib64, /usr/local/lib, /usr/local/lib64
配置文件：/etc, /etc/DIRECTORY, /usr/local/etc
帮助文件：/usr/share/man, /usr/share/doc, /usr/local/share/man, /usr/local/share/doc
centos7以后的目录结构变化
- /bin 和 /usr/bin
- /sbin 和 /usr/sbin
- /lib 和/usr/lib
- /lib64 和 /usr/lib64
Linux下的文件类型
- **- **普通文件
- d 目录文件directory
- b 块设备block
- c 字符设备character
- l 符号链接文件link
- p 管道文件pipe
- s 套接字文件socket
文件操作命令
显示当前工作目录
每个shell和系统进程都有一个当前的工作目录 CWD：current work directory
显示当前shell CWD的绝对路径
pwd命令: printing working directory
- -P 显示真实物理路径
- -L 显示链接路径（默认）
绝对和相对路径
- 绝对路径
以正斜杠/ 即根目录开始
完整的文件的位置路径
可用于任何想指定一个文件名的时候 - 相对路径名
不以斜线开始
一般情况下，是指相对于当前工作目录的路径，特殊场景下，是相对于某目录的位置
可以作为一个简短的形式指定一个文件名
基名：basename，只取文件名而不要路径
目录名：dirname，只取路径，不要文件名
更改目录
命令 cd ： change directory 改变目录
选项：-P 切换至物理路径，而非软链接目录
可以使用绝对或相对路径
- 切换至父目录： cd ..
- 切换至当前用户主目录： cd
- 切换至以前的工作目录： cd -
相关的环境变量： - PWD：当前目录路径
- OLDPWD：上一次目录路径
列出目录内容
ls 命令可以列出当前目录的内容或指定目录
常见选项：
- -a 包含隐藏文件
- -l 显示额外的信息
- -R 目录递归
- -ld 目录和符号链接信息
- -1 文件分行显示
- -S 按从大到小排序
- -t 按mtime排序
- -u 配合-t选项，显示并按atime从新到旧排序
- -U 按目录存放顺序显示
- -X 按文件后缀排序
说明：
ls 查看不同后缀文件时的颜色由 /etc/DIR_COLORS 和@LS_COLORS变量定义
查看文件状态 stat
文件相关信息：metadata, data
每个文件有三个时间戳：
- access time 访问时间，atime，读取文件内容
- modify time 修改时间，mtime，改变文件内容（数据）
- change time 改变时间，ctime，元数据发生改变
确定文件内容
文件可以包含多种类型的数据，使用file命令检查文件的类型，然后确定适当的打开命令或应用程序使用
file [options] <filename>...
常用选项:
- -b 列出文件辨识结果时，不显示文件名称
- -f filelist 列出文件filelist中文件名的文件类型
- -F 使用指定分隔符号替换输出文件名后默认的”:”分隔符
- -L 查看对应软链接对应文件的文件类型
- --help 显示命令在线帮助
文件通配符模式 wildcard pattern
文件通配符可以用来匹配符合条件的多个文件，方便批量管理文件
通配符采有特定的符号，表示特定的含义，此特符号称为元 meta 字符
常见的通配符如下：
* 匹配零个或多个字符，但不匹配 "." 开头的文件，即隐藏文件
? 匹配任何单个字符
~ 当前用户家目录
~mage 用户mage家目录
~+和. 当前工作目录
~- 前一个工作目录
[0-9] 匹配数字范围
[a-z] 字母
[A-Z] 字母
[wang] 匹配列表中的任何的一个字符
[^wang] 匹配列表中的所有字符以外的字符
别外还有在Linux系统中预定义的字符类：man 7 glob
[:digit:]：任意数字，相当于0-9
[:lower:]：任意小写字母,表示 a-z
[:upper:]: 任意大写字母,表示 A-Z
[:alpha:]: 任意大小写字母
[:alnum:]：任意数字或字母
[:blank:]：水平空白字符
[:space:]：水平或垂直空白字符
[:punct:]：标点符号
[:print:]：可打印字符
[:cntrl:]：控制（非打印）字符
[:graph:]：图形字符
[:xdigit:]：十六进制字符
创建空文件和刷新时间
touch命令可以用来创建空文件或刷新文件的时间
格式：
touch [OPTION]... FILE...
选项说明：
- -a 仅改变 atime和ctime
- -m 仅改变 mtime和ctime
- -t [[CC]YY]MMDDhhmm[.ss] 指定atime和mtime的时间戳
- -c 如果文件不存在，则不予创建
复制文件和目录
利用 cp（copy）命令可以实现文件或目录的复制
格式：
cp [OPTION]... [-T] SOURCE DEST
cp [OPTION]... SOURCE... DIRECTORY
cp [OPTION]... -t DIRECTORY SOURCE...
常用选项
- -i 如果目标已存在，覆盖前提示是否覆盖
- -n 不覆盖，注意两者顺序
- -r, -R 递归复制目录及内部的所有内容
- -a 归档，相当于-dR --preserv=all，常用于备份功能
- -d --no-dereference --preserv=links 不复制原文件，只复制链接名
- --preserv[=ATTR_LIST]
mode: 权限
ownership: 属主属组
timestamp:
links
xattr
context
all - -p 等同--preserv=mode,ownership,timestamp
- -v --verbose
- -f --force
- -u --update 只复制源比目标更新文件或目标不存在的文件
- -b 目标存在，覆盖前先备份，默认形式为 filename~ ,只保留最近的一个备份
--backup=numbered 目标存在，覆盖前先备份加数字后缀，形式为 filename.# ，可以保留多个版本
| 源目标 | 不存在 | 存在且为文件 | 存在且为目录 |
|---|---|---|---|
| 一个文件 | 新建DEST，并将SRC中内容填充至DEST中 | 将SRC中的内容覆盖至DEST中 注意数据丢失风险！ 建议用 –i 选项 | 在DEST下新建与原文件同名的文件，并将SRC中内容填充至新文件中 |
| 多个文件 | 提示错误 | 提示错误 | 在DEST下新建与原文件同名的文件，并将原文件内容复制进新文件中 |
| 目录须使用-r选项 | 创建指定DEST同名目录，复制SRC目录中所有文件至DEST下 | 提示错误 | 在DEST下新建与原目录同名的目录，并将SRC中内容复制至新目录中 |
移动和重命名文件
mv 命令可以实现文件或目录的移动和改名
同一分区移动数据,速度很快:数据位置没有变化
不同分区移动数据,速度相对慢:数据位置发生了变化
格式：
mv [OPTION]... [-T] SOURCE DEST
mv [OPTION]... SOURCE... DIRECTORY
mv [OPTION]... -t DIRECTORY SOURCE...
常用选项：
- -i 交互式
- -f 强制
- -b 目标存在，覆盖前先备份
利用rename 可以批量修改文件名
格式：
rename [options] <expression> <replacement> <file>...
删除文件
使用 rm 命令可以删除文件
注意：此命令非常危险，慎重使用，建议使用mv 代替 rm
格式：
rm [OPTION]... FILE...
常用选项：
- -i 交互式
- -f 强制删除
- -r 递归
- --no-preserve-root 删除/
rm虽然删除了文件，但是被删除的文件仍然可能被恢复，在安全要求较高的场景下，可以使用shred安全删除文件
shred格式
shred [OPTION]... FILE...
常见选项：
-z 最后一次覆盖添加0，以隐藏覆盖操作
-v 能够显示操作进度
-u 覆盖后截断并删除文件
-n # 指定覆盖文件内容的次数（默认值是3次）
目录操作
显示目录树 tree
常见选项：
- -d: 只显示目录
- -L level：指定显示的层级数目
- -P pattern: 只显示由指定wild-card pattern匹配到的路径
创建目录 mkdir
常见选项：
- -p: 存在于不报错，且可自动创建所需的各目录
- -v: 显示详细信息
- -m MODE: 创建目录时直接指定权限
删除空目录rmdir
常见选项：
- -p 递归删除父空目录
- -v 显示详细信息
注意：rmdir只能删除空目录，如果想删除非空目录，可以使用rm -r 命令，递归删除目录树
文件元数据和节点表结构
inode表结构
每个文件的属性信息，比如：文件的大小，时间，类型等，称为文件的元数据(meta data)。这此元数据是存放在node（index node）表中。node 表中有很多条记录组成，第一条记录对应的存放了一个文件的元数据信息
第一个node表记录对应的保存了以下信息：
- inode number 节点号
- 文件类型
- 权限
- UID
- GID
- 链接数（指向这个文件名路径名称个数）
- 该文件的大小和不同的时间戳
- 指向磁盘上文件的数据块指针
- 有关文件的其他数据
目录
目录是个特殊文件，目录文件的内容保存了此目录中文件的列表及inode number对应关系 - 文件引用一个是 inode号
- 人是通过文件名来引用一个文件
- 一个目录是目录下的文件名和文件inode号之间的映射
cp和inode
cp 命令： - 分配一个空闲的inode号，在inode表中生成新条目
- 在目录中创建一个目录项，将名称与inode编号关联
- 拷贝数据生成新的文件
rm和inode
rm 命令： - 链接数递减，从而释放的inode号可以被重用
- 把数据块放在空闲列表中
- 删除目录项
- 数据实际上不会马上被删除，但当另一个文件使用数据块时将被覆盖
mv和inode
*如果mv命令的目标和源在相同的文件系统，作为mv 命令
用新的文件名创建对应新的目录项
删除旧目录条目对应的旧的文件名
不影响inode表（除时间戳）或磁盘上的数据位置：没有数据被移动！
*如果目标和源在一个不同的文件系统， mv相当于cp和rm
硬（hard）链接
硬链接本质上就给一个文件起一个新的名称，实质是同一个文件
硬链接特性
- 创建硬链接会在对应的目录中增加额外的记录项以引用文件
- 对应于同一文件系统上一个物理文件
- 每个目录引用相同的inode号
- 创建时链接数递增
- 删除文件时：rm命令递减计数的链接，文件要存在，至少有一个链接数，当链接数为零时，该文
件被删除 - 不能跨越驱动器或分区
- 不支持对目录创建硬链接
格式:
ln filename [linkname ]
符号 symbolic （或软 soft）链接
一个符号链接指向另一个文件,就像 windows 中快捷方式，软链接文件和原文件本质上不是同一个文件
软链接特点
- 一个符号链接的内容是它引用文件的名称
- 可以对目录创建软链接
- 可以跨分区的文件实现
- 指向的是另一个文件的路径；其大小为指向的路径字符串的长度；不增加或减少目标文件inode的
引用计数 - 软链接如果使用相对路径，是相对于原文件的路径，而非相对于当前目录
格式：
ln -s filename [linkname]
硬链接和软链接区别总结
- 本质：
硬链接：本质是同一个文件
软链接：本质不是同一个文件 - 跨设备
硬链接：不支持
软链接：支持 - inode
硬链接：相同
软链接：不同 - 链接数
硬链接：创建新的硬链接,链接数会增加,删除硬链接,链接数减少
软链接：创建或删除,链接数不会变化 - 文件夹
硬链接：不支持
软链接：支持 - 相对路径
硬链接：原始文件相对路径是相对于当前工作目录
软链接：原始文件的相对路径是相对于链接文件的相对路径 - 删除源文件
硬链接：只是链接数减一,但链接文件的访问不受影响
软链接：链接文件将无法访问 - 文件类型
硬链接：和源文件相同
软链接：链接文件,和源文件无关
标准I/O重定向和管道
标准输入和输出
程序: 指令+数据
读入数据: input
输出数据: output
打开的文件都有一个id: file descriptor(文件描述符)
Linux给程序提供三种I/O设备
- 标准输入(STDIN) -0 默认接受来自终端窗口的输入
- 标准输出(STDOUT) -1 默认输出到终端窗口
- 标准错误(STDERR) -2 默认输出到终端窗口
I/O重定向redirect
I/O重定向：将默认的输入，输出或错误对应的设备改变，指向新的目标
标准输出和错误重新定向
STDOUT和STDERR可以被重定向到指定文件,而非默认的当前终端
格式：
命令 操作符号 文件名
支持的操作符号包括：
1> 或 > 把STDOUT重定向到文件
2> 把STDERR重定向到文件
&> 把所有输出重定向到文件
以上如果文件已存在，文件内容会被覆盖
set -C 禁止将内容覆盖已有文件,但可追加， 利用 >| 仍可强制覆盖
set +C 允许覆盖，默认
追加
>> 可以在原有内容基础上，追加内容
把输出和错误重新定向追加到文件
>> 追加标准输出重定向至文件
2>> 追加标准错误重定向至文件
标准输出和错误输出各自定向至不同位置
COMMAND > /path/to/file.out 2> /path/to/error.out
合并标准输出和错误输出为同一个数据流进行重定向
&> 覆盖重定向
&>> 追加重定向
COMMAND > /path/to/file.out 2>&1 （顺序很重要）
COMMAND >> /path/to/file.out 2>&1
合并多个程序
(CMD1;CMD2......) 或者{ CMD1;CMD2;....; }合并多个程序的STDOUT
范例：
[root@centos8 ~]#ls 1> /dev/pts/1
[root@centos8 ~]#ls /data > /dev/pts/1
范例：清除大文件
cat /dev/null > /data/file.log
标准输入重定向
从文件中导入STDIN，代替当前终端的输入设备，使用 < 来重定向标准输入
某些命令能够接受从文件中导入的STDIN
tr 命令
tr 转换和删除字符
tr [OPTION]... SET1 [SET2]
选项：
-d --delete：删除所有属于第一字符集的字符
-s --squeeze-repeats：把连续重复的字符以单独一个字符表示,即去重
-t --truncate-set1：将第一个字符集对应字符转化为第二字符集对应的字符
-c –C --complement：取字符集的补集
\NNN character with octal value NNN (1 to 3 octal digits)
\\ backslash
\a audible BEL
\b backspace
\f form feed
\n new line
\r return
\t horizontal tab
\v vertical tab
[:alnum:]：字母和数字
[:alpha:]：字母
[:digit:]：数字
[:lower:]：小写字母
[:upper:]：大写字母
[:space:]：空白字符
[:print:]：可打印字符
[:punct:]：标点符号
[:graph:]：图形字符
[:cntrl:]：控制（非打印）字符
[:xdigit:]：十六进制字符
范例：
#该命令会把/etc/issue中的小写字符都转换成大写字符
tr ‘a-z’ ‘A-Z’< /etc/issue
#删除fstab文件中的所有abc中任意字符
tr –d abc < /etc/fstab
标准输入重定向
利用“<” 可以将标准输入重定向
比如：
cat > file
mage
wangxiaochun
按ctrl+d离开，可以使用文件来代替键盘的输入
cat < file1 > file2
cat < file1 >> file1
把多行重定向
使用 "<<终止词" 命令从键盘把多行重导向给STDIN，直到终止词位置之前的所有文本都发送给STDIN，有时被称为就地文本（here documents）
其中终止词可以是任何一个或多个符号，比如：!，@，$，EOF（End Of File），magedu等，其中EOF比较常用
管道
管道
管道（使用符号“|”表示）用来连接多个命令
格式
命令1 | 命令2 | 命令3 | …
功能说明：
- 令1的STDOUT发送给命令2的STDIN，命令2的STDOUT发送到命令3的STDIN
- 命令会在当前shell进程的子shell进程中执行
- 多种工具的功能
注意：STDERR默认不能通过管道转发，可利用2>&1 或 |& 实现，格式如下
命令1 2>&1 | 命令2
命令1 |& 命令2
管道中的 - 符号
管道中有时会使用 - 符号
示例：
将 /home 里面的文件打包，但打包的数据不是记录到文件，而是传送到 stdout，经过管道后，将 tar -cvf - /home 传送给后面的 tar -xvf - , 后面的这个 - 则是取前一个命令的 stdout， 因此，就不需要使用临时file了
tar -cvf - /home | tar -xvf -
tee 命令
利用 tee 命令可以重定向到多个目标
格式
命令1 | tee [-a ] 文件名 | 命令2
以上可以把命令1的STDOUT保存在文件中，做为命令2的输入
选项：
-a 追加
功能：
- 阶段的输出
- 管道的故障排除
- 查看和记录输出
用户、组和权限
Linux安全模型
资源分派：
- Authentication：认证，验证用户身份
- Authorization：授权，不同的用户设置不同权限
- Accouting|Audition：审计
当用户登录成功时，系统会自动分配令牌token，包括：用户标识和组成员等信息
用户
Linux中每个用户是通过User Id （UID）来唯一标识的
- 管理员：root, 0
- 普通用户：1-60000 自动分配
- 系统用户：1-499 （CentOS 6以前）, 1-999 （CentOS 7以后）
对守护进程获取资源进行权限分配 - 登录用户：500+ （CentOS6以前）, 1000+（CentOS7以后）
给用户进行交互式登录使用
- 系统用户：1-499 （CentOS 6以前）, 1-999 （CentOS 7以后）
用户和组的关系
- 用户的主要组(primary group)：用户必须属于一个且只有一个主组，默认创建用户时会自动创建和用户名同名的组，做为用户的主要组，由于此组中只有一个用户，又称为私有组
- 用户的附加组(supplementary group)： 一个用户可以属于零个或多个辅助组，附属组
范例:
[root@centos8 ~]#id postfix
uid=89(postfix) gid=89(postfix) groups=89(postfix),12(mail)
安全上下文
Linux安全上下文Context：运行中的程序，即进程 (process)，以进程发起者的身份运行，进程所能够
访问资源的权限取决于进程的运行者的身份
比如：分别以root 和wang 的身份运行 /bin/cat /etc/shadow ，得到的结果是不同的，资源能否能
被访问，是由运行者的身份决定，非程序本身
范例:
[wang@centos8 ~]$cat /etc/shadow
cat: /etc/shadow: Permission denied
[root@centos8 ~]#cat /etc/shadow
root:$6$zsrWEC56PrKifAEz$hylCuGySe.H6l6O2MRvbtqy/VZgnZbau.y57dE85.YHq03MTJVV4UvQ
VIDcYA1IJzbgpWE0vTU.BtPHLbNBNn0:18246:0:99999:7:::
bin:*:18027:0:99999:7:::
daemon:*:18027:0:99999:7:::
adm:*:18027:0:99999:7:::
lp:*:18027:0:99999:7:::
用户和组的配置文件
用户和组的主要配置文件
- /etc/passwd：用户及其属性信息(名称、UID、主组ID等）
- /etc/shadow：用户密码及其相关属性
- /etc/group：组及其属性信息
- /etc/gshadow：组密码及其相关属性
passwd文件格式
login name：登录用名（wang）
passwd：密码 (x)
UID：用户身份编号 (1000)
GID：登录默认所在组编号 (1000)
GECOS：用户全名或注释
home directory：用户主目录 (/home/wang)
shell：用户默认使用shell (/bin/bash)
shadow文件格式
登录用名
用户密码:一般用sha512加密
从1970年1月1日起到密码最近一次被更改的时间
密码再过几天可以被变更（0表示随时可被变更）
密码再过几天必须被变更（99999表示永不过期）
密码过期前几天系统提醒用户（默认为一周）
密码过期几天后帐号会被锁定
从1970年1月1日算起，多少天后帐号失效
更改密码加密算法：
authconfig --passalgo=sha256 --update
密码的安全策略
- 足够长
- 使用数字、大写字母、小写字母及特殊字符中至少3种
- 使用随机密码
- 定期更换,不要使用最近曾经使用过的密码
group文件格式
群组名称：就是群组名称
群组密码：通常不需要设定，密码是被记录在 /etc/gshadow
GID：就是群组的 ID
以当前组为附加组的用户列表(分隔符为逗号)
gshdow文件格式
群组名称：就是群的名称
群组密码：
组管理员列表：组管理员的列表，更改组密码和成员
以当前组为附加组的用户列表：多个用户间用逗号分隔
文件操作
- vipw和vigr
- pwck和grpck
用户和组管理命令
用户管理命令
- useradd
- usermod
- userdel
组帐号维护命令 - groupadd
- groupmod
- groupdel
用户创建
useradd 命令可以创建新的Linux用户
格式：
useradd [options] LOGIN
常见选项：
-u UID
-o 配合-u 选项，不检查UID的唯一性
-g GID 指明用户所属基本组，可为组名，也可以GID
-c "COMMENT“ 用户的注释信息
-d HOME_DIR 以指定的路径(不存在)为家目录
-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中
-G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在
-N 不创建私用组做主组，使用users组做主组
-r 创建系统用户 CentOS 6之前: ID<500，CentOS 7以后: ID<1000
-m 创建家目录，用于系统用户
-M 不创建家目录，用于非系统用户
useradd 命令默认值设定由/etc/default/useradd定义
[root@centos8 ~]#cat /etc/default/useradd
# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=-1 #对应/etc/shadow文件第7列，即用户密码过期的宽限期
EXPIRE= #对应/etc/shadow文件第8列，即用户帐号的有效期
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes
显示或更改默认设置
useradd -D
useradd –D -s SHELL
useradd –D –b BASE_DIR
useradd –D –g GROUP
新建用户的相关文件
-
/etc/default/useradd
-
/etc/skel/*
-
/etc/login.defs
批量创建用户
newusers passwd 格式文件
批量修改用户口令
echo username:passwd | chpasswd
用户属性修改
usermod 命令可以修改用户属性
格式：
usermod [OPTION] login
常见选项：
-u UID: 新UID
-g GID: 新主组
-G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使
用-a选项
-s SHELL：新的默认SHELL
-c 'COMMENT'：新的注释信息
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，同时使用-m选项
-l login_name: 新的名字
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限，即宽限期
删除用户
userdel 可删除Linux
格式：
userdel [OPTION]... Login
常见选项：
-f, --force 强制
-r, --remove 删除用户家目录和邮箱
查看用户相关的ID信息
id 命令可以查看用户的UID，GID等信息
id [OPTION]... [USER]
常见选项：
-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID
-n: 显示名称，需配合ugG使用
切换用户或以其他用户身份执行命令
su: 即 switch user，命令可以切换用户身份，并且以指定用户的身份执行命令
格式：
su [options...] [-] [user [args...]]
常见选项：
-l --login su -l UserName 相当于 su - UserName
-c, --command <command> pass a single command to the shell with -c
切换用户的方式：
- su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录，即不完全切换
- su - UserName：登录式切换，会读取目标用户的配置文件，切换至自已的家目录，即完全切换
说明：root su至其他用户无须密码；非root用户切换时需要密码
注意：su 切换新用户后，使用 exit 退回至旧的用户，而不要再用 su 切换至旧用户，否则会生成很多的bash子进程，环境可能会混乱。
换个身份执行命令：
su [-] UserName -c 'COMMAND'
设置密码
passwd 可以修改用户密码
格式：
passwd [OPTIONS] UserName
常用选项：
-d：删除指定用户密码
-l：锁定指定用户
-u：解锁指定用户
-e：强制用户下次登录修改密码
-f：强制操作
-n mindays：指定最短使用期限
-x maxdays：最大使用期限
-w warndays：提前多少天开始警告
-i inactivedays：非活动期限
--stdin：从标准输入接收用户密码,Ubuntu无此选项
修改用户密码策略
chage 可以修改用户密码策略
格式：
chage [OPTION]... LOGIN
常见选项：
-d LAST_DAY #更改密码的时间
-m --mindays MIN_DAYS
-M --maxdays MAX_DAYS
-W --warndays WARN_DAYS
-I --inactive INACTIVE #密码过期后的宽限期
-E --expiredate EXPIRE_DATE #用户的有效期
-l 显示密码策略
用户相关的其它命令
- chfn 指定个人信息
- chsh 指定shell，相当于usermod -s
- finger 可看用户个人信息
创建组
groupadd实现创建组
格式
groupadd [OPTION]... group_name
常见选项：
-g GID 指明GID号；[GID_MIN, GID_MAX]
-r 创建系统组，CentOS 6之前: ID<500，CentOS 7以后: ID<1000
修改组
groupmod 组属性修改
格式：
groupmod [OPTION]... group
常见选项：
-n group_name: 新名字
-g GID: 新的GID
组删除
groupdel 可以删除组
格式
groupdel [options] GROUP
常见选项：
-f, --force 强制删除，即使是用户的主组也强制删除组
更改组密码
gpasswd命令，可以更改组密码，也可以修改附加组的成员关系
格式
gpasswd [OPTION] GROUP
常见选项：
-a user 将user添加至指定组中
-d user 从指定附加组中移除用户user
-A user1,user2,... 设置有管理权限的用户列表
临时切换主组
newgrp 命令可以临时切换主组， 如果用户本不属于此组，则需要组密码
格式：
newgrp [-] [group]
如果使用 - 选项，可以初始化用户环境
更改和查看组成员
groupmems 可以管理附加组的成员关系
格式
groupmems [options] [action]
常见选项：
-g, --group groupname #更改为指定组 (只有root)
-a, --add username #指定用户加入组
-d, --delete username #从组中删除用户
-p, --purge #从组中清除所有成员
-l, --list #显示组成员列表
groups 可查看用户组关系
格式
#查看用户所属组列表
groups [OPTION].[USERNAME]...
文件权限管理
文件所有者和属组属性操作
设置文件的所有者chown
chown 命令可以修改文件的属主，也可以修改文件属组
格式
chown [OPTION]... [OWNER][:[GROUP]] FILE...
chown [OPTION]... --reference=RFILE FILE...
用法说明：
OWNER #只修改所有者
OWNER:GROUP #同时修改所有者和属组
:GROUP #只修改属组，冒号也可用 . 替换
--reference=RFILE #参考指定的的属性，来修改
-R #递归，此选项慎用，非常危险！
设置文件的属组信息chgrp
chgrp 命令可以只修改文件的属组
格式
chgrp [OPTION]... GROUP FILE...
chgrp [OPTION]... --reference=RFILE FILE...
-R 递归
文件权限
文件权限说明
文件的权限主要针对三类对象进行定义
owner 属主, u
group 属组, g
other 其他, o
注意：用户的最终权限，是从左向右进行顺序匹配，即，所有者，所属组，其他人，一旦匹配权限立即生效，不再向右查看其权限
每个文件针对每类访问者都定义了三种常用权限
每个文件针对每类访问者都定义了三种权限
r Readable
w Writable
x eXcutable
对文件的权限：
r 可使用文件查看类工具，比如：cat，可以获取其内容
w 可修改其内容
x 可以把此文件提请内核启动为一个进程，即可以执行（运行）此文件（此文件的内容必须是可执行）
对目录的权限：
r 可以使用ls查看此目录中文件列表
w 可在此目录中创建文件，也可删除此目录中的文件，而和此被删除的文件的权限无关
x 可以cd进入此目录，可以使用ls -l查看此目录中文件元数据（须配合r权限），属于目录的可访问的最小权限
X 只给目录x权限，不给无执行权限的文件x权限
八进制数字
--- 000 0
--x 001 1
-w- 010 2
-wx 011 3
r-- 100 4
r-x 101 5
rw- 110 6
rwx 111 7
修改文件权限chmod
格式
chmod [OPTION]... MODE[,MODE]... FILE...
chmod [OPTION]... OCTAL-MODE FILE...
#参考RFILE文件的权限，将FILE的修改为同RFILE
chmod [OPTION]... --reference=RFILE FILE...
说明：
MODE：who opt permission
who:u,g,o,a
opt:+,-,=
permission:r,w,x
修改指定一类用户的所有权限
u= g= o= ug= a= u=,g=
修改指定一类用户某个或某个权限
u+ u- g+ g- o+ o- a+ a- + -
-R: 递归修改权限
新建文件和目录的默认权限
umask 的值可以用来保留在创建文件权限
实现方式：
- 新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1,偶数不变
- 新建目录的默认权限: 777-umask
非特权用户umask默认是 002
root的umask 默认是 022
查看umask
umask
#模式方式显示
umask –S
#输出可被调用
umask –p
修改umask
umask #
持久保存umask
- 全局设置： /etc/bashrc
- 用户设置：~/.bashrc
Linux文件系统上的特殊权限
前面介绍了三种常见的权限：r, w, x 还有三种特殊权限：SUID, SGID, Sticky
特殊权限SUID
前提：进程有属主和属组；文件有属主和属组
- 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
- 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
- 进程访问文件时的权限，取决于进程的发起者
(a) 进程的发起者，同文件的属主：则应用文件属主权限
(b) 进程的发起者，属于文件属组；则应用文件属组权限
(c) 应用文件“其它”权限
二进制的可执行文件上SUID权限功能：
- 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
- 启动为进程之后，其进程的属主为原程序文件的属主
- SUID只对二进制可执行程序有效
- SUID设置在目录上无意义
SUID权限设定：
chmod u+s FILE...
chmod 6xxx FILE
chmod u-s FILE...
特殊权限SGID
二进制的可执行文件上SGID权限功能：
- 任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
- 启动为进程之后，其进程的属组为原程序文件的属组
SGID权限设定：
chmod g+s FILE...
chmod 2xxx FILE
chmod g-s FILE...
目录上的SGID权限功能：
默认情况下，用户创建文件时，其属组为此用户所属的主组，一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组，通常用于创建一个协作目录
SGID权限设定：
chmod g+s DIR...
chmod 2xxx DIR
chmod g-s DIR...
特殊权限 Sticky 位
具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权
在目录设置Sticky 位，只有文件的所有者或root可以删除该文件
sticky 设置在文件上无意义
Sticky权限设定：
chmod o+t DIR...
chmod 1xxx DIR
chmod o-t DIR...
特殊权限数字法
SUID SGID STICKY
000 0
001 1
010 2
011 3
100 4
101 5
110 6
111 7
权限位映射
SUID: user,占据属主的执行权限位
s：属主拥有x权限
S：属主没有x权限
SGID: group,占据属组的执行权限位
s： group拥有x权限
S：group没有x权限
Sticky: other,占据other的执行权限位
t：other拥有x权限
T：other没有x权限
设定文件特殊属性
设置文件的特殊属性，可以访问 root 用户误操作删除或修改文件
不能删除，改名，更改
chattr +i
只能追加内容，不能删除，改名
chattr +a
显示特定属性
lsattr
访问控制列表
ACL权限功能
ACL：Access Control List，实现灵活的权限管理
除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7 默认创建的xfs和ext4文件系统具有ACL功能
CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加
tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test
ACL生效顺序：
所有者，自定义用户，所属组|自定义组，其他人
ACL相关命令
setfacl 可以设置ACL权限
getfacl 可查看设置的ACL权限
mask 权限
- mask只影响除所有者和other的之外的人和组的最大权限
- mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)
- 用户或组的设置必须存在于mask权限设定范围内才会生效
--set选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能象-m一样只是添加ACL就可以
setfacl --set u::rw,u:wang:rw,g::r,o::- file1
备份和还原ACL
主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息
#备份ACL
getfacl -R /tmp/dir > acl.txt
#消除ACL权限
setfacl -R -b /tmp/dir
#还原ACL权限
setfacl -R --set-file=acl.txt /tmp/dir
#还原ACL权限
setfacl --restore acl.txt
#查看ACL权限
getfacl -R /tmp/dir
浙公网安备 33010602011771号