权限和归属、使用LDAP认证、家目录漫游

深藏阁楼爱情的钟 2022-05-21 12:12 170阅读 0赞

【权限和归属 、 使用LDAP认证 、 家目录漫游】

**基本权限的类别**  
访问方式(权限)  
读取：允许查看内容-read r  
写入：允许修改内容-write w  
执行：允许运行和切换-execute x

对于文本文件  
r： cat head tail less  
w： vim 可以保存  
x： ./ 可以运行  
对于目录  
r 权限:能够 ls 浏览此目录内容  
w 权限:能够执行 rm mv cp mkdir touch 操作目录的子文档  
x 权限:能够 cd 切换到此目录  
权限适用对象(归属)  
所有者（属主）：拥有此文件/目录的用户-user u  
所属组（属组）：拥有此文件/目录的组-group g  
其他用户：除所有者、所属组以外的用户-other o

权限位 硬连接数 属主 属组 大小 最后修改时间 文档名称  
\-rw-r--r--. 1 root root 2005 7月 11 2014 /etc/passwd

类型 User（属主） Group（属组） Other（其他人）  
\- r w - r - - r - -  
类型：\[ - 文本文件 \] \[ d 目录 \] \[ l 快捷方式 \]  
\[root@server0 ~\]\# ls -l /etc/passwd 查询子文档属性  
\-rw-r--r--. 1 root root 2005 7月 11 2014 /etc/passwd  
\[root@server0 ~\]\# ls -ld /etc/ 查询目录自身属性  
drwxr-xr-x. 133 root root 8192 6月 20 09:03 /etc/  
\[root@server0 ~\]\# ls -l /etc/rc.local 查询文件属性  
lrwxrwxrwx. 1 root root 13 5月 7 2014 /etc/rc.local -> rc.d/rc.local

设置基本权限  
chmod \[-R\] 归属关系 + - = 权限类别 文档  
\[root@server0 ~\]\# mkdir /nsd01  
\[root@server0 ~\]\# chmod u-w /nsd01  
\[root@server0 ~\]\# chmod g+w /nsd01  
\[root@server0 ~\]\# chmod o=rwx /nsd01  
\[root@server0 ~\]\# chmod u=rwx,g=rx,o=rx /nsd01  
\[root@server0 ~\]\# ls -ld /nsd01

\[root@server0 ~\]\# chmod o= /nsd01 o=空格<===>o=---  
\[root@server0 ~\]\# ls -ld /nsd01

判断用户具备的权限  
1.判断用户角色  
所有者>所属组>其他人 匹配及停止  
2.在看相应的权限位置

以root用户新建/nsddir/，在此目录下新建 readme.txt，并进一步完成下列操作  
1）使其他用户能够在此目录下创建子目录  
chmod o+w /nsddir/  
2）使其他用户不能够在此目录下创建子目录  
chmod o-w /nsddir/  
3）使其他用户能够修改readme.txt文件  
chmod o+w /nsddir/readme.txt  
4）调整此目录的权限，使所有用户都不能进入此目录  
chmod u-x,g-x,o-x /nsddir/  
5）为此目录及其下所有文档设置权限 rwxr-x---  
chmod -R u=rwx,g=rx,o=--- /nsddir/

设置文档归属  
chown \[-R\] 属主 文档...  
chown kenji /nsd03 加到 kenji 主  
chown \[-R\] :属组 文档...  
chown :tarena /nsd03 加到 tarena 组  
chown \[-R\] 属主:属组 文档...  
chown root:student /nsd03 加到 root 主、student 组

附加权限(特殊权限)  
chmod u+s\[,g+s\] 文档...  
chmod o+t 目录...

Set UID  
属主：x ---u+s---> s,无 x 权限时为 S  
可执行文件,使用者具有文件属组身份及部分权限  
\[root@server0 ~\]\# mkdir /nsd1704  
\[root@server0 ~\]\# ls -ld /nsd1704

\[root@server0 ~\]\# chown :tarena /nsd1704  
\[root@server0 ~\]\# ls -ld /nsd1704

\[root@server0 ~\]\# chmod u+s /nsd1704/ \#赋予特殊权限  
\[root@server0 ~\]\# ls -ld /nsd1704/

Set GID  
属组：x ---g+s---> s,无 x 权限时为 S  
可执行文件、目录，该目录下新增文档自动设置与父目录相同的属组(继承)

\[root@server0 ~\]\# mkdir /nsd1705  
\[root@server0 ~\]\# ls -ld /nsd1705

\[root@server0 ~\]\# chown :tarena /nsd1705  
\[root@server0 ~\]\# ls -ld /nsd1705

\[root@server0 ~\]\# mkdir /nsd1705/nsd01  
\[root@server0 ~\]\# ls -ld /nsd1705/nsd01

\[root@server0 ~\]\# chmod g+s /nsd1705/ \#赋予特殊权限  
\[root@server0 ~\]\# ls -ld /nsd1705/

\[root@server0 ~\]\# mkdir /nsd1705/nsd02  
\[root@server0 ~\]\# ls -l /nsd1705/

\[root@server0 ~\]\# mkdir /nsd1705/nsd02/test  
\[root@server0 ~\]\# ls -ld /nsd1705/nsd02/test

Sticky Bit

其他人：x ---o+s---> t,无 x 权限时为 T  
开放 w 权限的目录,可以阻止用户滥用 w 写入权限(禁止操作别人的文档)

\[root@server0 ~\]\# mkdir /public  
\[root@server0 ~\]\# ls -ld /public

\[root@server0 ~\]\# chmod u=rwx,g=rwx,o=rwx /public  
\[root@server0 ~\]\# ls -ld /public

\[root@server0 ~\]\# chmod o+t /public  
\[root@server0 ~\]\# ls -ld /public

acl 访问控制列表

文档归属的局限性：  
任何人只属于三种角色:属主、属组、其他人  
无法实现更精细的控制  
acl 访问策略  
能够对个别用户、个别组设置独立的权限  
大多数挂载的EXT3/4、XFS文件系统默认已支持  
getfacl、cetfacl 命令  
getfacl 文档... 查看  
setfacl \[-R\] -m u:用户名:权限类别 文档  
setfacl \[-R\] -m g:组名:权限类别 文档...  
setfacl \[-R\] -m b:文档...

\[root@server0 ~\]\# mkdir /nsd11  
\[root@server0 ~\]\# setfacl -m u:lisi:rwx /nsd11 //添加策略  
\[root@server0 ~\]\# getfacl /nsd11

\[root@server0 ~\]\# setfacl -m u:natasha:rx /nsd11  
\[root@server0 ~\]\# setfacl -m u:zhangsan:rwx /nsd11  
\[root@server0 ~\]\# getfacl /nsd11

\[root@server0 ~\]\# setfacl -x u:natasha /nsd11  
\[root@server0 ~\]\# getfacl /nsd11

\[root@server0 ~\]\# setfacl -b /nsd11 清空策略  
\[root@server0 ~\]\# getfacl /nsd11  
\[root@server0 ~\]\# ls -ld /nsd11

\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#

**典型的LDAP工作模式**  
• 为一组客户机集中提供可登录的用户账号

– 网络用户:用户名、密码信息存储在 LDAP 服务端  
– 本地用户：用户名、密码信息存储/etc/passwd /etc/shadow

• 客户端准备  
– 修改用户登录的验证方式,启用 LDAP  
– 正确配置 LDAP 服务端参数  
– 软件包:sssd(与LDAP服务器联系的软件)  
authconfig-gtk（配置sssd的图形软件）

\[root@server0 ~\]\# yum -y install sssd authconfig-gtk

\[root@server0 ~\]\# rpm -q sssd  
\[root@server0 ~\]\# rpm -q authconfig-gtk

\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#  
补充内容 真机操作：  
\# systemctl is-enabled nfs-server \#查看服务是否开机自起  
\# systemctl enable nfs-server \#设置服务开机自起  
\# systemctl restart nfs-server  
\# rht-vmctl reset classroom  
\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#  
验证：  
\[root@server0 ~\]\# systemctl restart sssd  
\[root@server0 ~\]\# systemctl enable sssd  
\[root@server0 ~\]\# id ldapuser0  
uid=1700(ldapuser0) gid=1700(ldapuser0) 组=1700(ldapuser0)  
\[root@server0 ~\]\# grep 'ldapuser0' /etc/passwd

\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#  
如何访问NFS共享目录  
• 查看NFS资源  
\[root@server0 ~\]\# showmount -e 172.25.254.254  
Export list for classroom:  
/home/guests 172.25.0.0/255.255.0.0

• 挂载NFS共享目录  
– mount 服务器地址:目录路径 本地挂载点

\# mkdir /home/guests  
\# mount 172.25.254.254:/home/guests/ /home/guests/  
\# ls /home/guests/  
\# su - ldapuser0

\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#\#