wheel 用户组介绍 用户和组基本命令

 系统账号信息和系统密码信息分别在 /etc/passwd 和 /etc/shadow 中，新增用户信息就是在这两个文件中末尾加一行。  比如我用 useradd zhangsan、passwd zhangsan 123456 创建 zhangsan 用户 并且 设置密码，此时 zhangsan 默认是可登录系统的。

 执行命令查看用户登录Shell信息：cat /etc/passwd | grep zhangsan ，查看最后一个字段，如果是 /bin/bash 为可登录系统，/sbin/nologin 和 /bin/false 为禁止用户登录系统。  如果想让 zhangsan 禁止用户登陆系统，需要 用管理员 root 账号，执行 usermod -s /sbin/nologin zhangsan 即可。  如果想让 用户登陆系统，需要 用管理员 root 账号，执行 usermod -s /bin/bash 用户名 改回即可。

方法一 ：  锁定：usermod -L 用户名  解锁：usermod -U 用户名  查询账号状态：passwd -S 用户名 方法二 ：  锁定：passwd -l 用户名  解锁：passwd -u 用户名

 userdel -r 用户名

 命令格式 ：chattr [选项] 文件夹  作用：修改文件在 Linux 第二扩展文件系统(E2fs)上的特有属性  操作符：

 /etc/passwd、/etc/shadow 这两个文件保存重要的用户信息，就算使用 root 用户也不能随意地修改，为了保护这两个文件不被修改，可以使用 chattr 命令锁定这两个文件，多个文件空号隔开。  锁定文件：  查看文件状态：  解锁文件：chattr -i /etc/passwd /etc/shadow  示例：锁定修改密码文件后，用户 新增用户、修改密码、进入 vim 编辑界面进行编辑 操作不了，会显示鉴定令牌操作错误等信息。

 用户账号密码信息保存在 /etc/shadow 文件中。  每条记录字段信息：  字段3：上次修改密码的时间；  字段4：密码的最短有效天数，默认值为 0，表示不进行限制；  字段5：密码的最长有效天数（过期天数），默认值为 99999，表示永不过期；  字段6：提前多少天警告用户密码将过期，默认值为 7；  字段7：在密码过期之后多少天禁用此用户；  字段8：帐号失效时间，默认值为空，表示账号永久可用。

方法一：chage 命令，适用于已存在用户  命令格式：chage -M 天数 用户  作用：管理密码失效配置，实际上修改的是 /etc/shasow 中的第五个字段。

方法二：修改密码配置文件，适用于新建用户。  修改配置文件：vim /etc/login.defs  执行命令：vim /etc/login.defs，查看信息，创建用户组的默认配置都在这里。  将 PASS_MAX_DAYS 修改为 30， wq 保存，新建个用户 lisi ，查看 shadow 文件发现密码有效期已生效。

 与密码有效期不同，用户账号到达失效期后，此用户账户将被系统作废。  账号失效期位于用户账号文件的 第8字段，默认值为空，表示账号永久可用。 方法一：usermod -e 天数 用户名 方法二：chage -E 天数 用户名

  history 命令查看历史命令，一般系统默认记录命令的数量为1000条。存在的风险：别的人也能看得一清二楚。   临时清除 history 信息： history -c，重启失效；

  /etc/profile 是全局的系统配置文件，在这里修改 减少记录命令的数量，当在用户登录时就会执行一次。   输入 ：export HISTSIZE=数量

  方法：vim /etc/rc.d/rc.local

 在/etc 下有这个文件的软链接，所以可以也直接执行 vim /etc/rc.local。

  方法：在 vim /etc/profile 文件中设置 TMOUT 系统环境变量

 到了注销时间后，自动登出：

 用途：Substitute User （切换用户）  格式：su - 目标用户

 前提：因为普通用户可以切换到root，所以root密码又被破解风险，破解后普通用户能执行所有的操作，所以需要对 su 的用户做限制。  wheel 概念：wheel组 是Unix系统一个遗留物，理解成是管理员用户的组，组中的用户都或多或少地拥有root的部分功能和权限，比如su命令。  当服务器需要做比日常例行维护更高级的工作的时候，就经常需要用到root权限了。而这个wheel组就是建立用来归纳一些特殊的系统用户用的。也就是说 如果你不是 wheel 组成员，那就没有 root身上任何的特权。也因为这样，使用 wheel 组成员用户的话，会尽量减少对系统“摧毁性”破坏的概率和风险。  1 . 如果想要给 允许使用 su 的用户 root 的权限，需要将其加到 wheel 组（系统中已存在）中。执行命令：gpasswd -a 用户 wheel，查看组 groups 用户 。  2 . 然后 启用 pam_wheel 认证模块，首先进入配置文件：vim /etc/pam.d/su。

 开启限制使用 su：将第六行 #注释 去掉，wq 保存并退出：

 效果：没有加到 wheel 组内的其他用户将无法使用 su 命令进行切换，只有加入到 wheel 组中的 zhangsan 可以进行 su 切换 到 root，lisi 不在 wheel 组中，就不可以。 使用 exit 可等出到最原始的用户。  对于 /etc/pam.d/su 文件中的配置：

 默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险。为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换。  比如，我们可以通过PAM 安全认证的用法之一，如上面2.2章节中的，通过修改 /etc/pam.d/su 文件来禁止普通用户使用su命令。 PAM认证原理：

PAM认证流程： 控制类型也称做 Control Flags， 用于PAM验证类型的返回结果：

 命令格式：sudo 授权命令  用途：sudo授权命令，以其他用户身份（如root）执行授权的命令，一般给普通用户提权  应用场景：如果我是普通用户，我想执行一个命令操作但是我没有这个命令的权限（通常是存在操作风险的命令）；这时候 root 用户就可以通过修改配置，再执行 sudo 命令 将这个命令授权给我，我就能使用这个命令了。

 配置方式： 修改 visudo 或者 /etc/sudoers 配置文件  记录格式：用户 主机名=(用户) 命令程序列表：

 此时用 root 用户登录，执行 visudo，在末尾添加 zhangsan ALL=/sbin/ifconfig，wq保存，再看 /etc/sudoers 文件，发现也增加了：  执行 su zhangsan 切换到张三用户，执行 sudo 命令，输入一次登录密码，就能执行 ifconfig 命令成功新增网卡 ens33:1，因为已经授权了 /sbin/ifconfig 命令了。  默认需要输入密码，如果不需要，则执行 zhangsan ALL=NOPASSWD:/sbin/ifconfig 即可。 其他例子：

 通过上面sudo的例子我们知道，除了对组进行设置，对用户来说，只能一个个根据用户名进行设置，比较繁琐，我们可以通过设置 用户别名、命令别名、主机别名来进行设置。  如果不知道命令的绝对路径，使用 which 命令 查看 。 别名关键字与格式：

 启动sudo操作日志后，才会保存 sudo 使用记录。  在 /etc/sudoers 中新增一行代码：Defaults logfile = /var/log/sudo：  设置完之后重新执行 sudo 命令，记录会添加到这个日志文件中。

 使用命令 sudo -l 查看自己能使用哪些授权命令: