１．Linux安全模型
资源分派： Authentication：认证，验证用户身份 Authorization：授权，不同的用户设置不同权限 Accouting|Audition：审计 当用户登录成功时，系统会自动分配令牌 token，包括：用户标识和组成员等信息．
1.1 用户
Linux中每个用户是通过 User Id （UID）来唯一标识的 管理员：root, 0 普通用户：1-60000 自动分配
系统用户：1-499 （CentOS 6以前）, 1-999 （CentOS 7以后） 对守护进程获取资源进行权限分配
登录用户：500+ （CentOS6以前）, 1000+（CentOS7以后） 给用户进行交互式登录使用
1.2 用户组
Linux中可以将一个或多个用户加入用户组中，用户组是通过Group ID（GID） 来唯一标识的。
管理员组：root, 0
普通组： 系统组：1-499（CentOS 6以前）, 1-999（CentOS7以后）, 对守护进程获取资源进行权限分配
普通组：500+（CentOS 6以前）, 1000+（CentOS7以后）, 给用户使用
1.3 用户和组的关系
用户的主要组(primary group)：用户必须属于一个且只有一个主组，默认创建用户时会自动创建 和用户名同名的组，做为用户的主要组，由于此组中只有一个用户，又称为私有组
用户的附加组(supplementary group)： 一个用户可以属于零个或多个辅助组，附属组
1.3 安全上下文
Linux安全上下文Context：运行中的程序，即进程 (process)，以进程发起者的身份运行，进程所能够 访问资源的权限取决于进程的运行者的身份
比如：分别以root 和wang 的身份运行 /bin/cat /etc/shadow ，得到的结果是不同的，资源能否能 被访问，是由运行者的身份决定，非程序本身
2 用户和组的配置文件
2.1 用户和组的主要配置文件
/etc/passwd：用户及其属性信息(名称、UID、主组ID等） /etc/shadow：用户密码及其相关属性 /etc/group：组及其属性信息 /etc/gshadow：组密码及其相关属性
2.2 passwd文件格式
login name：登录用名（ｘｉａｏｗｏ） passwd：密码 (x) UID：用户身份编号 (1000) GID：登录默认所在组编号 (1000) GECOS：用户全名或注释 home directory：用户主目录 (/home/ｘｉａｏ) shell：用户默认使用shell (/bin/bash)
2.3 shadow文件格式
登录用名 用户密码:一般用sha512加密 从1970年1月1日起到密码最近一次被更改的时间 密码再过几天可以被变更（0表示随时可被变更） 密码再过几天必须被变更（99999表示永不过期） 密码过期前几天系统提醒用户（默认为一周） 密码过期几天后帐号会被锁定 从1970年1月1日算起，多少天后帐号失效
更改密码加密算法：authconfig --passalgo=sha256 --update
密码的安全策略 足够长 使用数字、大写字母、小写字母及特殊字符中至少3种 使用随机密码 定期更换,不要使用最近曾经使用过的密码
生成随机密码：tr -dc '[:alnum:]' < /dev/urandom | head -c 12 ； openssl rand -base64 9
2.4 group文件格式
群组名称：就是群组名称 群组密码：通常不需要设定，密码是被记录在 /etc/gshadow GID：就是群组的 ID 以当前组为附加组的用户列表(分隔符为逗号)
2.5 gshdow文件格式
群组名称：就是群的名称 群组密码： 组管理员列表：组管理员的列表，更改组密码和成员 以当前组为附加组的用户列表：多个用户间用逗号分隔
2.6 文件操作
vipw和vigr pwck和grpck
3 用户和组管理命令
用户管理命令 useradd usermod userdel
组帐号维护命令 groupadd groupmod groupdel
3.1 用户创建
useradd 命令可以创建新的Linux用户 useradd [options] LOGIN
常见选项：-u UID -o 配合-u 选项，不检查UID的唯一性 -g GID 指明用户所属基本组，可为组名，也可以GID -c "COMMENT“ 用户的注释信息 -d HOME_DIR 以指定的路径(不存在)为家目录 -s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中 -G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在 -N 不创建私用组做主组，使用users组做主组 -r 创建系统用户 CentOS 6之前: ID<500，CentOS 7以后: ID<1000 -m 创建家目录，用于系统用户 -M 不创建家目录，用于非系统用户 -p 指定加密的密码
ｅｇ：useradd -r -u 48 -g apache -s /sbin/nologin -d /var/www -c "Apache" apache
useradd 命令默认值设定由/etc/default/useradd定义
显示或更改默认设置：
useradd -D
useradd –D -s SHELL
useradd –D –b BASE_DIR
useradd –D –g GROUP
新建用户的相关文件 /etc/default/useradd /etc/skel/* /etc/login.defs
批量创建用户：newusers passwd 格式文件
批量修改用户口令：echo username:passwd | chpasswd
3.2 用户属性修改
usermod 命令可以修改用户属性 usermod [OPTION] login
常见选项：-u UID: 新UID -g GID: 新主组 -G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使 用-a选项 -s SHELL：新的默认SHELL -c 'COMMENT'：新的注释信息 -d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，同时使用-m选项 -l login_name: 新的名字 -L: lock指定用户,在/etc/shadow 密码栏的增加 ! -U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉 -e YYYY-MM-DD: 指明用户账号过期日期 -f INACTIVE: 设定非活动期限，即宽限期
3.3 删除用户
userdel 可删除Linux 用户 userdel [OPTION]... Login -f, --force 强制 -r, --remove 删除用户家目录和邮箱
3.4 查看用户相关的ID信息
id 命令可以查看用户的UID，GID等信息 id [OPTION]... [USER] 常见选项：-u: 显示UID -g: 显示GID -G: 显示用户所属的组的ID -n: 显示名称，需配合ugG使用
3.5 切换用户或以其他用户身份执行命令
su: 即 switch user，命令可以切换用户身份，并且以指定用户的身份执行命令 su [options...] [-] [user [args...]]
常见选项：-l --login su -l UserName 相当于 su - UserName ； -c, --command pass a single command to the shell with -c
切换用户的方式：
su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录，即不完 全切换
su - UserName：登录式切换，会读取目标用户的配置文件，切换至自已的家目录，即完全切换
说明：root su至其他用户无须密码；非root用户切换时需要密码
注意：su 切换新用户后，使用 exit 退回至旧的用户，而不要再用 su 切换至旧用户，否则会生成很多的 bash子进程，环境可能会混乱。
换个身份执行命令：su [-] UserName -c 'COMMAND
3.6 设置密码
passwd 可以修改用户密码 passwd [OPTIONS] UserName 常用选项：-d：删除指定用户密码 -l：锁定指定用户 -u：解锁指定用户 -e：强制用户下次登录修改密码 -f：强制操作 -n mindays：指定最短使用期限 -x maxdays：最大使用期限 -w warndays：提前多少天开始警告 -i inactivedays：非活动期限 --stdin：从标准输入接收用户密码,Ubuntu无此选项
非交互式修改用户密码：echo -e '123456\n123456' | passwd ｘｉａｏｗｏ ； echo '123456' | passwd --stdin ｘｉａｏｗｏ
3.7 修改用户密码策略
chage 可以修改用户密码策略 chage [OPTION]... LOGIN 常见选项：-d LAST_DAY #更改密码的时间 -m --mindays MIN_DAYS -M --maxdays MAX_DAYS -W --warndays WARN_DAYS -I --inactive INACTIVE #密码过期后的宽限期 -E --expiredate EXPIRE_DATE #用户的有效期 -l 显示密码策略
3.8 用户相关的其它命令
chfn 指定个人信息 chsh 指定shell，相当于usermod -s finger 可看用户个人信息