用戶基本操作（三）

来源:https://www.cnblogs.com/1naonao/archive/2019/06/28/11104509.html
-Advertisement-
Play Games

[toc] 用戶身份切換 如何在普通用戶的情況下，完成日常工作？ 1） 切換用戶，使用普通用戶登錄，然後使用su命令切換到root。 優點：簡單，方便 缺點：需要知道root密碼,不安全，切換到root沒有日誌審計功能 2） 提權，當需要使用root許可權時，進行提權，而無需切換至root用戶。 優點 ...


目錄

用戶身份切換

如何在普通用戶的情況下，完成日常工作？
1）su 切換用戶，使用普通用戶登錄，然後使用su命令切換到root。
優點：簡單，方便
缺點：需要知道root密碼,不安全，切換到root沒有日誌審計功能

2）sudo 提權，當需要使用root許可權時，進行提權，而無需切換至root用戶。
優點：安全，方便
缺點：複雜

shell分類

互動式shell    //等待用戶輸入執行的命令(終端操作,需要不斷提示)
非互動式shell   //執行shell腳本, 腳本執行結束後shell自動退出

登陸shell     //需要輸入用戶名和密碼才能進入shell su - zls
非登陸shell    //不需要輸入用戶和密碼就能進入,比如執行sh, bash, su username

//查看登陸shell
[root@zls ~]# pstree

//臨時設置,永久設置需要寫配置文件
[root@zls ~]# export PS1='[\h@\u \t]#'
[zls@root 02:06:28]

bash shell配置文件

Bash的配置文件保存用戶的工作環境

個人配置文件： ~/.bash_profile ~/.bashrc
全局配置文件：/etc/profile /etc/profile.d/*.sh /etc/bashrc

profile類文件, 設定環境變數, 登陸前運行的腳本和命令
bashrc 類文件, 設定本地變數, 定義命令別名

全局配置和個人配置設置衝突, 優先使用個人配置準

shell配置文件應用順序

//登錄式shell配置文件執行順序
/etc/profile->/etc/profile.d/*.sh->~/.bash_profile->~/.bashrc->/etc/bashrc

//非登陸式shell配置文件執行順序
~/.bashrc->/etc/bashrc->/etc/profile.d/*.sh


#驗證登陸shell和非登陸shell配置文件執行順序, 在每個配置文件加入一段 “echo”即可。
#最後通過登陸shell和非登錄shell方式登陸linux, 即可驗證執行順序。

如果全局配置和個人配置出現衝突, 那麼如何驗證呢？

編輯全局配置 /etc/profile     新增一行： PS1='[\h@\u \t]#'
[zls@root 02:16:57]#     //當前終端shell環境

編輯個人配置 ~/.bash_profile     新增一行： PS1='[\u@\H]#'


[zls@root 02:18:27]#su  zls_zls
[zls_zls@zls root]$

[zls@root 02:18:34]# su - zls_zls
[[email protected]]#

創建用戶，並登錄系統

[root@zls ~]# useradd zls
[root@zls ~]# echo "123"|passwd --stdin zls

//使用zls用戶登錄當前Linux系統
➜  ~ ssh [email protected]
[email protected]'s password:
[zls@zls ~]$

//可以使用whoami查看當前登錄用戶
[zls@zls ~]$ whoami
zls

切換用戶，使用命令su [-] username

su命令後面跟-代表進入登陸式shell 如果su命令後不加-代表進入非登陸式shell，他們之間的區別在於載入的環境變數不一樣。

註意：普通用戶su -代表直接切換至root用戶身份, 但需要輸入root用戶密碼。

​ 超級管理員root用戶使用su - username切換普通用戶不需要輸入任何密碼。

[zls@zls ~]$ pwd
/home/zls

//不加 '-' 切換到root賬戶下時，當前目錄沒有變化
[zls@zls ~]$ su
密碼：
[root@zls zls]# pwd
/home/zls
[root@zls zls]# exit
exit

//加 '-'切換到root賬戶，當前目錄為root賬戶的家目錄。
[zls@zls ~]$ su -
密碼：
[root@zls ~]# pwd
/root

.以某個用戶的身份執行某個服務，使用命令su -c username

[root@zls ~]# su - zls -c 'ifconfig'
[root@zls ~]# su - zls -c 'ls ~'

用戶身份提權

su命令在切換用戶身份時，如果每個普通用戶都能拿到root用戶的密碼，當其中某個用戶不小心泄漏了root的密碼，那系統會變得非常不安全。
為了改進這個問題，從而產生了sudo這個命令。
sudo執行一個僅有root身份才能執行的命令是可以辦到的，但是需要輸入密碼，這個密碼並不是root的密碼而是用戶自己的密碼。
預設只有root用戶能使用sudo命令，普通用戶想要使用sudo需要root預先設定，即使用 visudo命令去編輯相關的配置文件/etc/sudoers

centos7提權

[root@zls ~]# usermod zls -G wheel
//日誌審計
[root@zls ~]$ sudo tail -f /var/log/secure

centos6提權

#1.系統安裝後就有sudo命令，如果沒有sudo命令，可通過如下方式安裝
[root@zls ~]# yum install -y sudo

#2.使用`visudo`命令編輯sudo配置文件, 相當於 vim /etc/sudoers`配置文件
[root@zls ~]# visudo  #會對配置進行驗證
zls ALL=(ALL) /bin/rm, /bin/cp  #新增

#3.配置選項詳解
1.用戶名      2.主機名   3.角色名       4.命令名
root            ALL=    (ALL)           ALL
zls      ALL     使用最高角色執行    /bin/rm, /bin/cp #允許使用sudo執行命令
zls   ALL=(ALL)  NOPASSWD:/bin/cp, /bin/rm   //不需要密碼使用rm、cp命令

#4.使用visudo -c檢查配置文件
[root@zls ~]# visudo  -c
/etc/sudoers: parsed OK

普通用戶驗證sudo許可權

#1.切換普通用戶
[root@zls ~]# su - zls

#2.檢查普通用戶sudo許可權明細
[zls@zls ~]$ sudo -l
...
User zls may run the following commands on this host:
    (ALL) /bin/rm, (ALL) /bin/cp

#3.普通用戶刪除opt目錄,刪除失敗
[zls@zls ~]$ rm -rf /opt/
rm: cannot remove `/opt': Permission denied

#4.使用sudo提權，驗證用戶許可權是否可用，需要輸入普通用戶的密碼
[zls@zls ~]$ sudo rm -rf /opt

sudo免密碼配置選項

#1.普通用戶執行sudo不需要輸入密碼配置
[root@zls ~]# visudo
zls ALL=(ALL) /bin/rm, /bin/cp  #預設
zls   ALL=(ALL)  NOPASSWD:/bin/rm, /bin/cp  #修改後

#2.預設普通用戶無權刪除
[zls@zls ~]$ rm -f /root/002
rm: cannot remove `/root/002': Permission denied

#3.驗證sudo免密碼執行許可權
[zls@zls ~]$ sudo rm -f /root/002

sudo配置組

//如果每增加一個用戶需配置一行sudo，這樣設置非常麻煩。所以可以進行如下設置

%zls  ALL=(ALL)     NOPASSWD:/bin/rm, /bin/cp  #新增組
//group1這個組的所有用戶都擁有sudo的權力。接下來只需要將用戶加入該組即可。

//創建用戶加入該組
[root@zls ~]# groupadd zls
[root@zls ~]# useradd zls1 -g zls
[root@zls ~]# useradd zls2 -g zls

//root用戶建立目錄
[root@zls ~]# mkdir /root/zls_sudo

//切換用戶並刪除測試
[root@zls ~]# su - zls1
[zls1@zls ~]$ rm -rf /root/zls_sudo
rm: cannot remove `/root/zls_sudo': Permission denied

//使用sudo
[zls1@zls ~]$ sudo rm -rf /root/zls_sudo

當然配置文件/etc/sudoers包含了諸多配置項，可以使用命令man sudoers來獲得幫助信息。

下麵介紹一個很實用的案例，我們的需求是將Linux伺服器設置成如下:
1.僅允許使用普通賬戶登陸Linux伺服器，禁止root直接登錄
2.可以讓普通用戶不輸入密碼就能sudo su -切換到root賬戶

//禁止root用戶登陸
[root@zls ~]# sed -i  's@#PermitRootLogin yes@PermitRootLogin no@g' /etc/ssh/sshd_config
[root@zls ~]# systemctl restart sshd

//配置sudo許可權
[root@zls ~]# visudo
User_Alias USER_SU = zls1,zls2,zls
Cmnd_Alias SU = /bin/su
USER_SU ALL=(ALL) NOPASSWD:SU

//使用root登陸伺服器失敗
➜  ~ ssh [email protected]
[email protected]'s password:
Permission denied, please try again.

//使用普通用戶登陸伺服器
➜  ~ ssh [email protected]
[email protected]'s password:
Last login: Mon Oct 30 09:28:21 2017 from 192.168.56.2

//使用sudo提權至root用戶
[zls@zls ~]$ sudo su -
[root@zls ~]#

sudo執行流程

1.普通用戶執行sudo命令, 會檢查/var/db/sudo是否存在時間戳緩存
2.如果存在則不需要輸入密碼, 否則需要輸入用戶與密碼
3.輸入密碼會檢測是否該用戶是否擁有該許可權
4.如果有則執行，否則報錯退出

img


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • comboBox控制項動態綁定數據
    /// <summary> /// load載入數據 /// </summary> /// <param name="sender"></param> /// <param name="e"></param> private void FormAdd_Load(object sender, Even ...
  • WPF的DataGrid的某個列綁定數據的三種方法（Binding、Converter、DataTrigger）
    最近在使用WPF的時候，遇到某個列的值需要根據內容不同進行轉換顯示的需求。嘗試了一下，大概有三種方式可以實現： 1、傳統的Binding方法，後臺構造好數據，綁定就行。 2、轉換器方法（Converter），綁定後，觸發轉換器，轉換器負責把值轉換成需要的內容。 3、DataTrigger方法，直接在 ...
  • abp(net core)+easyui+efcore倉儲系統——展現層實現增刪改查之控制器（六）
    通過前面三篇文章的介紹，我們學習瞭如何創建實體，如何創建資料庫操作，如何創建應用服務。在上一文章中我們在應用層實現了對資料庫的CURD操作。在本篇文章中，主要是使用常規的MVC方式來實現增刪改查的功能，通過完善Controller、View、ViewModel，以及調試修改控制器來實現展示層的增刪改... ...
  • IdentityServer4筆記整理(更新中)
    "1 OAuth 2.0" "1.1 OAuth 2.0協議流程圖" "1.2 授權碼模式" "1.3 簡化模式" "2 OpenID Connect(OIDC)" "2.1 OIDC協議流程圖" "2.2 OIDC在OAuth 2.0之上的擴展內容" "3 JSON Web Token" "3.1 ...
  • Sqlserver 使用.net查詢被事務鎖住處理
    在有些應用場景中.事務開了後或能需要再去調用某個DAL讀取表中的數據.但DAL里又是新開的鏈接,由於外面有事務所以這裡讀的時候就讀不到.這種情況下可以在這個DAL的查詢里開一個新的事務級別設為允許臟讀即可(數據完整性要求不高時使用.如果要求高慎用!!!) ...
  • TreeViewItem節點添加圖標後再加header
    1.需要實現的效果如圖 2.解決方案 1）.給TreeViewItem中添加children,children為包含一個stackpanel,在stackpanel中包含Image和TextBlock兩個控制項。 ...
  • 深入C#並行編程（2） -- 使用線程
    一、可以使用位於命名空間System.Threading中的Thrad類開啟線程： 1.通過Thread類的靜態屬性CurrentThread可以獲取執行當前函數所在的線程，通過實例屬性ManagedThreadId可以查看當前線程的唯一標識符ID，通過實例屬性Name可以獲取或設置當前線程的名稱； ...
  • 【UWP】實現 FindAncestor 綁定
    在 WPF 里，我們是可以在 RelativeSource 上面實現的，舉個例子： 將 RelativeSource 的 Mode 設置為 FindAncestor 就可以了。AncestorType 代表綁定的類型，AncestorLevel 代表查詢第幾個，預設是 1。所以在上面的例子里，由於 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類