1.Linux安全模型
2.用户和组的配置文件
pwconv ，grpconv用于手动编辑/etc/passwd和group文件后同步给/etc/shadow和gshadow文件
#pwunconv，grpunconv：pwconv ，grpconv的逆向操作，从/etc/shadow创建/etc/passwd然后删除shadow文件
- 3.用户和组管理命令
- 4.文件权限管理

sodu root (#切换权限)
vim /etc/shadow    （#将root密码改为空就可以实现本地直接用root登录了）
root::18769:0:99999:7:::
zhuyuany:$6$dco6saseTycN7Smqm5BAHrgFDIn3RcW0:18769:0:99999:7:::
vim /etc/ssh/sshd_config    （#修改SSH配置文件,实现root远程接续）
PermitRootLogin yes 
systemctl restart sshd        （#重启ssh服务）
xshell远程连接报错好时error: kex protocol error: type 30 seq 1 [preauth]
解决：在配置文件/etc/ssh/sshd_config，加入下面一行
KexAlgorithms curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group14-sha1

1.Linux安全模型

资源分派：Authentication：认证，验证用户身份
Authorization：授权，不同的用户设置不同权限
Accouting|Audition：审计
当用户登录成功时，系统会自动分配令牌token，包括：用户标识和组成员等信息

用户

Linux中每个用户是通过User Id （UID）来唯一标识的

管理员：root, 0
普通用户：1-60000 自动分配

系统用户：1-499 （CentOS 6以前）, 1-999 （CentOS 7以后）→对守护进程获取资源进行权限分配
登录用户：500+ （CentOS6以前）, 1000+（CentOS7以后） →给用户进行交互式登录使用

用户组

Linux中可以将一个或多个用户加入用户组中，用户组是通过Group ID（GID）来唯一标识的。

管理员：root, 0
普通用户：1-60000 自动分配

系统用户：1-499 （CentOS 6以前）, 1-999 （CentOS 7以后）→对守护进程获取资源进行权限分配
登录用户：500+ （CentOS6以前）, 1000+（CentOS7以后） →给用户使用

用户和组的关系

用户的主要组(primary group)

用户必须属于一个且只有一个主组，默认创建用户时会自动创建和用户名同名的组，做为用户的主要组，由于此组中只有一个用户，又称为私有组

用户的附加组(supplementary group)

一个用户可以属于零个或多个辅助组，附属组

id、su命令

id 命令可以查看用户的UID，GID等信息：id [OPTION]... [USER]

（ -u: 显示UID -g: 显示GID -G: 显示用户所属的组的ID -n: 显示名称，需配合ugG使用）

su 即 switch user，命令可以切换用户身份，并且以指定用户的身份执行命令：su [options...] [-] [user [args...]]

-l —login su -l UserName 相当于su - UserName
su UserName：非登录式切换
su - UserName：登录式切换
-c, —command 换个身份执行命令
su [-] UserName -c ‘COMMAND’

安全上下文

Linux安全上下文Context：
安全上下文是一个简单一致的访问控制属性；
特定的文件被特定的程序访问，是访问时的凭证；
会关闭系统认为不安全的所有功能
运行中的程序，即进程 (process)，以进程发起者的身份运行，进程所能够访问资源的权限取决于进程的运行者的身份。
比如：分别以root 和wang的身份运行 /bin/cat /etc/shadow ，得到的结果是不同的，资源能否能被访问，是由运行者的身份决定，非程序本身。

2.用户和组的配置文件

/etc/passwd：用户及其属性信息

root:x:0:0:root:/root:/bin/bash
zhuyuany:x:1000:1000:zhuyuany,,,:/home/zhuyuany:/bin/bash

login name：登录用名（wang）
passwd：密码 (x) x表示密码存放在shadow文件中
UID：用户身份编号 (1000)
GID：登录默认所在组编号 (1000)
GECOS：用户全名或注释
home directory：用户主目录 (/home/wang)
shell：用户默认使用shell (/bin/bash) 更改shell类型： chsh -s /bin/bash zhuyuany或usermod -s /bin/bash zhuyuany

/etc/shadow：用户密码及相关属性
root:$6$Fq/G7umZ$9emrAaYn1voNHzUyblj8MuqDzEGg1YiJFZ0IQplcixMckiw:18837:0:99999:7: : :
zhuyuany:$6$dcfYG72Y$54Y/k2Ht6PyApQfnQ.O1ITl2LK27EbAGDG.TUYt.x5fno6sas:18769:0:99999:7: : :
登录用名
用户密码（一般用sha512（$6）加密）更改加密算法：authconfig —passalgo=sha256 —update
从1970年1月1日起到密码最近一次被更改的时间
密码再过几天可以被变更（0表示随时可被变更）
密码再过几天必须被变更（99999表示永不过期）
密码过期前几天系统提醒用户（默认为一周）
密码过期几天后帐号会被锁定

从1970年1月1日算起，多少天后帐号失效

[root@centos8 ~]#tr -dc '[:alnum:]' < /dev/urandom | head -c 12                #生成随机密码
sFg6C8g5FAfe
[root@centos8 ~]#openssl rand -base64 9
hvMkPmAyIrXMQInt

/etc/group：组及其属性信息

root:x:0:zhuyuany，alice
zhuyuany:x:1000:

群组名称
群组密码：通常不需要设定，密码是被记录在 /etc/gshadow
GID：就是群组的 ID
以当前组为附加组的用户列表(分隔符为逗号)

/etc/gshadow：组密码及其相关属性
root:*: :zhuyuany
zhuyuany:!: :
群组名称
群组密码：！表示被锁定
组管理员列表：组管理员的列表，更改组密码和成员
以当前组为附加组的用户列表
相关文件vipw，vigr；pwck，grpck

vipw 会打开/etc/passwd文件，可以对其进行编辑；vipw -s :修改/etc/shadow文件
vigr 修改/etc/groups文件；vigr -s 修改/etc/gshadow文件
pwck 检查用户密码文件的完整性（/etc/passwd以及/etc/shadow文件）
grpck 检查用户组及密码文件的完整性（etc/group以及/etc/gshadow文件

pwconv ，grpconv用于手动编辑/etc/passwd和group文件后同步给/etc/shadow和gshadow文件
#pwunconv，grpunconv：pwconv ，grpconv的逆向操作，从/etc/shadow创建/etc/passwd然后删除shadow文件

3.用户和组管理命令

🔣用户

——useradd（newusers，chpasswd）

useradd 命令可以创建新的Linux用户:useradd [options] LOGIN
-o 配合-u(指定UID)选项，不检查UID的唯一性 -G GROUP1[,GROUP2,…] 为用户指明附加组，组须事先存在
-g GID 指明用户所属基本组，可为组名，也可以GID -N 不创建私用组做主组，使用users组做主组
-c “COMMENT“ 用户的注释信息 -r 创建系统用户 CentOS 6之前: ID<500，CentOS 7以后: ID<1000
-d HOME_DIR 以指定的路径(指定但不创建)为家目录 -m 创建家目录，用于系统用户
-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中 -M 不创建家目录，用于非系统用户

[root@localhost ~]$ groupadd apache (会创建默认的私有组)
[root@localhost ~]$ useradd -r -u 48 -g apache -s /sbin/nologin -d /var/www -c "Apache" apache
[root@localhost ~]$ cat /etc/passwd
apache:x:48:1002:Apache:/var/www:/sbin/nologin
[root@localhost ~]$ cat /etc/group
apache:x:1002:

①useradd 命令默认值设定由/etc/default/useradd定义

[root@CentOS ~]$ cat /etc/default/useradd
# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash        （默认shell）
SKEL=/etc/skel （#初始配置文件）
CREATE_MAIL_SPOOL=yes

（#显示或更改默认设置）
useradd -D    
useradd –D -s SHELL
useradd –D –b BASE_DIR
useradd –D –g GROUP

[zhuyuany@ununtu ~]$ cat /etc/login.defs    （#设置用户帐号限制的文件，对root用户无效；/etc/shadow的配置优先级高于/etc/login.defs）

②Ubuntu中adduser和useradd是不同用法，（centOS中是相同的）
useradd是一个ELF可执行程序，会添加用户名，并创建和用户名相同的组名，但它并不在/home目录下创建基于用户名的目录,也不提示创建新的密码
adduser是一个perl脚本, 可以交互式地设定一些用户参数
③批量创建用户：newusers file （passwd格式文件）
④批量修改用户口令：echo username:passwd | chpasswd

[root@ununtu ~]$ echo -e "zyy1:x:520:520::/home/zyy1:/sbin/nologin\nzyy2:x:521:521::/home/zyy2:/sbin/nologin" >zyy.txt
[root@ununtu ~]$ cat zyy.txt
zyy1:x:520:520::/home/zyy1:/sbin/nologin
zyy2:x:521:521::/home/zyy2:/sbin/nologin
[root@ununtu ~]$ newusers zyy.txt

[root@ununtu ~]$ cat <<end | chpasswd
> zhuyuany:zyy
> root:root1
> end

——usermod

usermod 命令可以修改用户属性:usermod [OPTION] login
-u UID: 新UID -g GID: 新主组
-G GROUP1[,GROUP2,…[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a选项
-s SHELL：新的默认SHELL -l login_name: 新的名字
-c ‘COMMENT’：新的注释信息 -L: lock指定用户,在/etc/shadow 密码栏的增加 !
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，同时使用-m选项
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉 -e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限，即宽限期

usermod -G " " zhuyuany    (#清理附加组)
usermod -a -G root zhuyuany    (#新建附加组)

[root@ununtu ~]$ getent passwd zyy1
zyy1:x:520:520::/home/zyy1:/sbin/nologin
[root@ununtu ~]$ usermod -s /bin/false zyy1    (#更改shell①)
[root@ununtu ~]$ getent passwd zyy1
zyy1:x:520:520::/home/zyy1:/bin/false    
[root@ununtu ~]$ chsh -s /bin/bash zyy1            (#更改shell②)
[root@ununtu ~]$ getent passwd zyy1
zyy1:x:520:520::/home/zyy1:/bin/bash

——userdel

userdel 可删除Linux 用户：userdel [OPTION]... Login （默认不会清除用户数据）
-f, —force 强制
-r, —remove 删除用户家目录和邮箱

—设置密码passwd、change

passwd 可以修改用户密码:passwd [OPTIONS] UserName

-d：删除指定用户密码 -n mindays：指定最短使用期限
-l：锁定指定用户 -x maxdays：最大使用期限
-u：解锁指定用户 -w warndays：提前多少天开始警告
-e：强制用户下次登录修改密码 -i inactivedays：非活动期限
-f：强制操作 —stdin：从标准输入接收用户密码,Ubuntu无此选项

[root@ununtu ~]$ echo -e '123456\n123456' |passwd zhuyuany (#此方式更通用，适用于各种Linux版本，如:ubuntu)
[root@localhost ~]$ echo '123456' |passwd --stdin zhuyuany    (#适用于红帽系列的Linux版本)
[root@localhost ~]$ passwd -e zhao    (#设置用户下次必须更改密码)

chage 可以修改用户密码策略:chage [OPTION]... LOGIN

-d 上一次更改的日期 -l 显示密码策略
-m —密码可更改的最小天数 -i —inactive INACTIVE #密码过期后的宽限期 (如果一个密码已过期这些天，那么此帐号将不可用)
-M —密码保持有效的最大天数 -E —expiredate EXPIRE_DATE #用户的有效期 (过了这天，此帐号将不可用)
-W —密码到期前，提前收到警告信息的天数

[root@localhost ~]$ chage -m 3 -M 42 -W 14 -I 7 -E 2021-08-03 zhao
[root@localhost ~]$ chage -l zhao
Last password change                    : Aug 03, 2021        (#最近一次密码修改时间)
Password expires                    : Sep 14, 2021                (#密码过期时间)
Password inactive                    : Sep 21, 2021                (#密码失效时间)    
Account expires                        : Aug 03, 2021                (#帐户过期时间)
Minimum number of days between password change        : 3                (#两次改变密码之间相距的最小天数)
Maximum number of days between password change        : 42            (#两次改变密码之间相距的最大天数)
Number of days of warning before password expires    : 14            (#在密码过期之前警告的天数)
[root@localhost ~]$ getent shadow zhao
zhao:$6$FgOoaT1C1Ns8q8b25AGGUxpQe/:18842:3:42:14:7:18842:

[root@localhost ~]$ chage -d 0 zhao        (#设置用户下次必须更改密码)
[root@localhost ~]$ getent shadow zhao
zhao:$6$FgOoaTs4G8b25AGGUxpQe/:0:3:42:14:7:18842:

—用户相关chfn、chsh、finger

chfn 用来改变finger命令显示的信息（这些信息都存放在/etc目录里的passwd文件里。若不指定任何选项，则chfn命令会进入问答式界面）
chsh 用来更换登录系统时使用的shell，相当于usermod -s （若不指定任何参数与用户名称，则chsh会以应答的方式进行设置。）
finger 可看用户个人信息
🔣组
——groupadd
创建组：groupadd [OPTION]... group_name
-g GID 指明GID号；[GID_MIN, GID_MAX]
-r 创建系统组，CentOS 6之前: ID<500，CentOS 7以后: ID<1000
```
[root@localhost ~]$ groupadd -g 48 -r apache
```
——groupmod
组属性修改：groupmod [OPTION]... group
-n group_name: 新名字
-g GID: 新的GID
```
[root@localhost ~]$ groupmod -n app -g 51 apache
[root@localhost ~]$ getent group app
app:x:51:
```
——groupdel
删除组：groupdel [options] GROUP
-f, —force 强制删除，即使是用户的主组也强制删除组
```
[root@localhost ~]$ groupdel -f app
```
—改组密码gpasswd
gpasswd [OPTION] GROUP 可以更改组密码，也可以修改附加组的成员关系
-a user 将user添加至指定组中
-d user 从指定附加组中移除用户user
-A user1,user2,… 设置有管理权限的用户列表 ```bash [root@ununtu ~]$ gpasswd -a zhuyuany zyy2 (#将zhuyuany用户添加至指定的zyy2组中) Adding user zhuyuany to group zyy2 [root@ununtu ~]$ id zhuyuany uid=1000(zhuyuany) gid=1000(zhuyuany) groups=1000(zhuyuany),0(root),521(zyy2) [root@ununtu ~]$ groups zhuyuany （#查看用户zhuyuany所在的组） zhuyuany : zhuyuany root zyy2

[root@ununtu ~]$ gpasswd -d zhuyuany zyy2 (#将zhuyuany用户从指定的zyy2组中删除) Removing user zhuyuany from group zyy2 [root@ununtu ~]$ id zhuyuany uid=1000(zhuyuany) gid=1000(zhuyuany) groups=1000(zhuyuany),0(root) [root@ununtu ~]$ groups zhuyuany zhuyuany : zhuyuany root [root@ununtu ~]$ getent group zyy2 zyy2:x:521:

<a name="BcNc7"></a>
#### —临时切换主组newgrp
`newgrp [-] [group]` 以临时切换主组， 如果用户本不属于此组，则需要组密码（如果使用 - 选项，可以初始化用户环境）
```bash
[zhuyuany@ununtu ~]$ newgrp root            （#临时切换主组）
[zhuyuany@ununtu ~]$ id
uid=1000(zhuyuany) gid=0(root) groups=0(root),1000(zhuyuany)
[zhuyuany@ununtu ~]$ getent passwd zhuyuany
zhuyuany:x:1000:1000:zhuyuany,,,:/home/zhuyuany:/bin/bash
[zhuyuany@ununtu ~]$ touch zhu1.tex                （#临时切换主组后创建一个文件所属组是切换后的）
[zhuyuany@ununtu ~]$ ll
-rw-rw-r-- 1 zhuyuany root        0 Aug 15 14:36 zhu1.tex    
[zhuyuany@ununtu ~]$ exit
exit
[zhuyuany@ununtu ~]$ id
uid=1000(zhuyuany) gid=1000(zhuyuany) groups=1000(zhuyuany),0(root)
[zhuyuany@ununtu ~]$ touch zhu.tex
[zhuyuany@ununtu ~]$ ll
-rw-rw-r-- 1 zhuyuany root        0 Aug 15 14:36 zhu1.tex
-rw-rw-r-- 1 zhuyuany zhuyuany    0 Aug 15 14:38 zhu.tex

—更改和查看组成员groupmems

groupmems [options] [action] 可以管理附加组的成员关系
-g, —group groupname #更改为指定组 (只有root)
-a, —add username #指定用户加入组
-d, —delete username #从组中删除用户
-p, —purge #从组中清除所有成员
-l, —list #显示组成员列表
groups [OPTION].[USERNAME]... 可查看用户组关系

[root@ununtu ~]$ groupmems -a zyy2 -g zhuyuany    （#指定用户加入组）
[root@ununtu ~]$ id zyy2
uid=521(zyy2) gid=521(zyy2) groups=521(zyy2),1000(zhuyuany)
[root@ununtu ~]$ groups zhuyuany    （#查看用户所属组列表）
zhuyuany : zhuyuany root
[root@ununtu ~]$ groupmems -l -g zhuyuany    （#显示组成员列表）
zyy1  zyy2 
[root@ununtu ~]$ groupmems -d zyy2 -g zhuyuany    （#从组中删除用户）
Password: 
[root@ununtu ~]$ groupmems -l -g zhuyuany
zyy1

4.文件权限管理

①设置文件的所有者

https://zhuanlan.zhihu.com/p/347381358

chown

chown 命令可以修改文件的属主，也可以修改文件属组
chown [OPTION]... [OWNER][:[GROUP]] FILE...
chown [OPTION]... --reference=RFILE FILE...
OWNER #只修改所有者
OWNER:GROUP #同时修改所有者和属组
:GROUP #只修改属组，冒号也可用 . 替换
—reference=RFILE #参考指定的的属性，来修改
-R #递归，此选项慎用，非常危险！(文件夹内的文件属性都会被修改)

[root@centos8 data]#chown wang f1.txt（修改所有者）
[root@centos8 data]#chown :admins f1.txt（修改所属组）
[root@centos8 data]#chown root.bin f1.txt（同时修改所有者和属组）
[root@centos8 data]#chown wang:admins f1.txt（同时修改所有者和属组）
[root@centos8 data]#chown --reference=f1.txt f2.txt（参照f1的属性修改f2）
-rw-r--r-- 1 wang admins 709 Dec 18 10:13 f1.txt
-rw-r--r-- 1 wang admins  23 Dec 18 10:15 f2.txt

[root@centos8 ~]#chown -R wang.admins /data/（修改了/data/文件夹下面的所有文件属性）

chgrp

chgrp 命令可以只修改文件的属组
chgrp [OPTION]... GROUP FILE...
chgrp [OPTION]... --reference=RFILE FILE...
-R 递归

[root@centos8 data]#chgrp admins f1.txt

②文件权限（读写执行）—-chmod

文件的权限主要针对三类对象：（用户的最终权限，是从左向右进行顺序匹配，即，所有者，所属组，其他人，一旦匹配权限立即生效，不再向右查看其权限）
owner 属主, u
group 属组, g
other 其他, o
文件三种权限★
r Readable—-可使用文件查看类工具，比如：cat，可以获取其内容
w Writable——可修改其内容
x eXcutable——可以把此文件提请内核启动为一个进程，即可以执行（运行）此文件（此文件的内容必须是可执行）
对目录的权限★
r 可以使用ls查看此目录中文件列表
w 可在此目录中创建文件，也可删除此目录中的文件，而和此被删除的文件的权限无关
x 可以cd进入此目录，可以使用ls -l查看此目录中文件元数据（须配合r权限），属于目录的可访问的最小权限
X 只给目录x权限，不给无执行权限的文件x权限
面试题：Linux中的目录和文件的权限区别？(分别说明读，写和执行权限的区别）

chmod [OPTION]... MODE[,MODE]... FILE...
chmod [OPTION]... OCTAL-MODE FILE... （数字模式）
chmod [OPTION]... --reference=RFILE FILE...
MODE（who opt permission）
who: u,g,o,a
opt: +,-,=
permission: r,w,x
修改指定一类用户的所有权限：u= g= o= ug= a= u=,g=
修改指定一类用户某个或某个权限：u+ u- g+ g- o+ o- a+ a- + -
-R: 递归修改权限，危险

chmod -R a+X dir（设置 X 权限，只对文件夹）
chmod u+wx,g-r,o=rx file
chmod  -R g+rwX /testdir
chmod  600 file

范例：面试题---执行 cp /etc/issue /data/dir 所需要的最小权限？
/bin/cp 需要x权限
/etc/ 需要x权限
/etc/issue 需要r权限
/data 需要x权限
/data/dir 需要w,x权限

③默认权限umask

umask的值是指在建立文件时预设的权限掩码
新建文件的默认权限: 666-umask，如果所得结果某位存在执行（奇数）权限，则将其权限+1,偶数不变
新建目录的默认权限: 777-umask
非特权用户umask默认是 002(去掉other的写权限)，root的umask 默认是 022(去掉group和other的写权限)

umask            #看umask
umask –S     #模式方式显示
umask –p     #输出可被调用
umask 666    #改umask
umask u=rw,g=r,o=

持久保存umask
全局设置： /etc/bashrc
用户设置： ~/.bashrc
练习
1. 当用户docker对/testdir 目录无执行权限时，意味着无法做哪些操作？
2. 当用户mongodb对/testdir 目录无读权限时，意味着无法做哪些操作？
3. 当用户redis 对/testdir 目录无写权限时，该目录下的只读文件file1是否可修改和删除？
4. 当用户zabbix对/testdir 目录有写和执行权限时，该目录下的只读文件file1是否可修改和删除？
5. 复制/etc/fstab文件到/var/tmp下，设置文件所有者为tomcat读写权限，所属组为apps组有读写权限，其他人无权限
6. 误删除了用户git的家目录，请重建并恢复该用户家目录及相应的权限属性

④特殊权限SUID, SGID, Sticky

前面介绍了三种常见的权限：r, w, x 还有三种特殊权限：SUID, SGID, Sticky

—-SUID

前提：进程有属主和属组；文件有属主和属组
1. 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
2. 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
3. 进程访问文件时的权限，取决于进程的发起者
(a) 进程的发起者，同文件的属主：则应用文件属主权限
(b) 进程的发起者，属于文件属组；则应用文件属组权限
(c) 应用文件“其它”权限
二进制的可执行文件上SUID权限功能：
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
启动为进程之后，其进程的属主为原程序文件的属主
SUID只对二进制可执行程序有效，SUID设置在目录上无意义

SUID权限设定：
chmod u+s FILE...
chmod 6xxx FILE
chmod u-s FILE...

[root@centos8 ~]#ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 34928 May 11 2019 /usr/bin/passwd

—-SGID

二进制的可执行文件上SGID权限功能：
任何一个可执行程序文件能不能启动为进程：取决发起者对程序文件是否拥有执行权限
启动为进程之后，其进程的属组为原程序文件的属组（继承原程序文件的属主权限）

SGID权限设定：
chmod g+s FILE... 
chmod 2xxx FILE
chmod g-s FILE...

目录上的SGID权限功能：
默认情况下，用户创建文件时，其属组为此用户所属的主组
一旦某目录被设定了SGID，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组，通常用于创建一个协作目录
（再设定了SGID权限的目录下创建一个文件和目录，都会自动继承属组，且新目录的权限也会继承SGID）

SGID权限设定：
chmod g+s DIR...
chmod 2xxx DIR
chmod g-s DIR...

—-Sticky 位

具有写权限的目录通常用户可以删除该目录中的任何文件，无论该文件的权限或拥有权
在目录设置Sticky 位，只有文件的所有者或root可以删除该文件，sticky 设置在文件上无意义

 Sticky权限设定：
chmod o+t DIR...
chmod 1xxx DIR
chmod o-t DIR...

[root@centos8 ~]#ll -d /tmp
drwxrwxrwt. 15 root root 4096 Dec 12 20:16 /tmp

特殊权限数字法
SUID SGID STICKY
000 0
001 1
010 2
011 3
100 4
101 5
110 6
111 7

chmod 4777 /tmp/a.txt

权限位映射
SUID: user,占据属主的执行权限位
    s：属主拥有x权限
    S：属主没有x权限
SGID: group,占据属组的执行权限位
    s： group拥有x权限
    S：group没有x权限
Sticky: other,占据other的执行权限位
    t：other拥有x权限
    T：other没有x权限

⑤设定文件特殊属性

设置文件的特殊属性，可以访问 root 用户误操作删除或修改文件

chattr +i     #不能删除，改名，更改（专门用来修改文件或目录的隐藏属性，只有root用户可以使用）
chattr +a        #只能追加内容，不能删除，改名
lsattr             #显示特定属性

[root@centos8 data]#chattr +i dir
[root@centos8 data]#lsattr dir
[root@centos8 data]#ll
drwxr-xr-x 2 root root  33 Dec 18 14:32 dir
-rw-r--r-- 1 root root 719 Dec 18 14:30 f11.txt
-rw-r--r-- 1 root root   6 Dec 18 14:30 f22.txt
[root@centos8 data]#rm -rf dir
rm: cannot remove 'dir/fstab': Operation not permitted
rm: cannot remove 'dir/f1.txt': Operation not permitted
[root@centos8 data]#lsattr 
------------------ ./f11.txt
------------------ ./f22.txt
----i------------- ./dir
[root@centos8 data]#chattr -i dir

⑥访问控制列表ACL

ACL：Access Control List，实现灵活的权限管理，除了文件的所有者，所属组和其它人，可以对更多的用户设置权限
CentOS7 默认创建的xfs和ext4文件系统具有ACL功能；CentOS7 之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加

tune2fs –o acl /dev/sdb1
mount –o acl /dev/sdb1 /mnt/test

ACL生效顺序：所有者→自定义用户→所属组|自定义组→其他人
setfacl 可以设置ACL权限 getfacl 可查看设置的ACL权限
setfacl 选项文件名
-m 设定 ACL 权限。如果是给予用户 ACL 权限，参数则使用 “u:用户名:权限” 的格式
（例如 setfacl -m u:st:rx /project 表示设定 st 用户对 project 目录具有 rx 权限；如果是给予组 ACL 权限，参数则使用 “g:组名:权限” 格式）
-d 设定默认 ACL 权限，如果给父目录设定了默认 ACL 权限，那么父目录中所有新建的子文件都会继承父目录的 ACL 权限。需要注意的是，默认 ACL 权限只对目录生效。
-R 设定递归 ACL 权限
-x 删除指定的 ACL 权限
-b 删除指定文件的所有 ACL 权限

[root@centos8 data]#ll f1.txt
-rw-r--r-- 1 root root 709 Dec 18 14:37 f1.txt
[root@centos8 data]#setfacl -m u:wang:- f1.txt
[root@centos8 data]#ll 
-rw-r--r--+ 1 root root 709 Dec 18 14:37 f1.txt
[root@centos8 data]#getfacl f1.txt
# file: f1.txt
# owner: root
# group: root
user::rw
user:wang:---
group::r--
mask::r--
other::r--
[root@centos8 data]#setfacl -m u:wang:0 f1.txt
[root@centos8 data]#setfacl -m g:admins:w f1.txt

mount -o acl /directory
getfacl file |directory
setfacl  -m u:wang:rwx file|directory
setfacl  -m g:admins:rw file| directory
setfacl  -x u:wang file |directory
#清除所有ACL权限
setfacl -b file1 
#复制file1的acl权限给file2
getfacl file1 | setfacl --set-file=-   file2

⑦mask权限

mask只影响除所有者和other的之外的人和组的最大权限，mask需要与用户的权限进行逻辑与运算后，才能变成有限的权限(Effective Permission)。用户或组的设置必须存在于mask权限设定范围内才会生效
mask 权限，指的是用户或群组能拥有的最大 ACL 权限，也就是说，给用户或群组设定的 ACL 权限不能超过 mask 规定的权限范围，超出部分做无效处理。
setfacl -m mask::rx file

[root@centos8 data]#setfacl -m u:wang:rwx f1.txt
[root@centos8 data]#getfacl f1.txt
# file: f1.txt
# owner: root
# group: root
user::rw
user:wang:rwx
group::r--
group:admins:-w
mask::rwx
other::r--
[root@centos8 data]#setfacl -m mask::rw f1.txt
[root@centos8 data]#getfacl f1.txt
# file: f1.txt
# owner: root
# group: root
user::rw
user:wang:rwx         #effective:rw
group::r--
group:admins:-w
mask::rw
other::r--

—set 选项会把原有的ACL项都删除，用新的替代，需要注意的是一定要包含UGO的设置，不能象-m一样只是添加ACL就可以
setfacl --set u::rw,u:wang:rw,g::r,o::- file1

练习
1. 在/testdir/dir里创建的新文件自动属于webs组，组apps的成员如：tomcat能对这些新文件有读写权限，组dbs的成员如：mysql只能对新文件有读权限，其它用户（不属于webs,apps,dbs）不能访问这个文件夹
2. 误将 /bin/chmod 文件的执行权限删除，如何恢复

4.用户、组和权限