Linux用户组和权限管理

[wang@centos8 ~]$cat /etc/shadow
cat: /etc/shadow: Permission denied
[root@centos8 ~]#cat /etc/shadow
root:$6$zsrWEC56PrKifAEz$hylCuGySe.H6l6O2MRvbtqy/VZgnZbau.y57dE85.YHq03MTJVV4UvQ
VIDcYA1IJzbgpWE0vTU.BtPHLbNBNn0:18246:0:99999:7:::
bin:*:18027:0:99999:7:::
daemon:*:18027:0:99999:7:::
adm:*:18027:0:99999:7:::
lp:*:18027:0:99999:7:::

name:password:UID:GID:GECOS:directory:shell

username:password:last_change:min_change:max_change:warm:failed_expire:expiration:reserved
格式(九段):用户名:加密的密码:最近一次修改密码的时间:最短使用期限:最长使用期限:警告期段:密码禁用期:过期期限:保留字段 

root:$1$HDHf2v4i$LMo.xGHfxQDOf8e043C.g/:16779:0:99999:7:::

password: 一般用sha512加密。

系统用户是不能登录的，密码字段为星号（*）；

两个感叹号（!!）表示这个用户被锁定了，无法登录；

美元符号（$）出现在加密格式的密码里，起到分隔作用；

由三部分组成的，以$分隔，即：$id$salt$encrypted  $数字$随机数$加密后的密码串；第3个 $ 分隔的才是真正的密码串；id表示加密算法，当id为1时，使用md5加密，以此类推，id为6采用SHA512进行加密。

authconfig  --passalgo=sha256 --update

# md5加密
openssl  passwd  -1  -salt `openssl rand -hex 4`  #使用16进制随机当作“佐料
Password: 
$1$fc43df06$iZPo9xnH5IrvkDvICWe0X1

# 使用grub-crypt命令，会提示输出密码：
grub-crypt --md5

# python，同样也会提示输出密码
echo 'import crypt,getpass; print crypt.crypt(getpass.getpass(), "$1$8_CHARACTER_SALT_HERE")' | python -

# perl
perl -e 'print crypt("1234abcdefg",q($1$password)),"\n"'
当使用特殊字符时，例如@$符时需要在前面加上\，例：\@\$，否则加密字符串会错误
其中1234abcdefg为要给用户设置的密码，$1$password字符串是自定义字符串，shadow里一般用$1$后面跟8个字符这种格式。

[root@node01 ~]# cat /etc/shadow
centos:$6$lLZBCZMe$.AjEoX0iR.kPWZRIms30tjq3KbAr5vn3Is/d6uBe78Lx9lz4vjKTUJxluFow79dBoqmowXYADjR.X8iomGu6B1:17546:0:99999:7:::

[root@node01 ~]# echo "17546" | awk '{print strftime("%F")}'   #转换最近一次修改密码时间为易读时间
2018-01-16

[root@middle-ware ~]# getent passwd root
root:x:0:0:root:/root:/bin/bash

[root@middle-ware ~]# getent shadow root
root:$6$G7pLVnKe4xdwkUQ6$oL0Z2gOtb7ssPatwwUKBhhAuft.cJHkt7MO.FXw0ZxzIS0BX0R4A1o85bVrPEeiDZOdAhP9ffI725jtrfx/kP.::0:99999:7:::

distro:x:5000:gentoo
~]# id gentoo
uid=4001(gentoo) gid=4001(gentoo) 组=4001(gentoo),5000(distro),5001(peguin)

[root@node01 ~]# pwck
user 'ftp': directory '/var/ftp' does not exist
user 'gentoo': directory '/var/tmp/gentoo' does not exist
user 'fedora': program '/bin/tcsh' does not exist
pwck: no changes

[root@node01 ~]# grpck

useradd [options] LOGIN

-u UID
-o 配合-u 选项，不检查UID的唯一性
-g GID 指明用户所属基本组，可为组名，也可以GID.此组要事先存在
-c "COMMENT“ 用户的注释信息
-d HOME_DIR 以指定的路径(不存在)为家目录。通过复制/etc/skel此目录并重命名实现；指定的家目录路径如果实现存在，则不会为用户复制环境配置文件；
-s SHELL 指明用户的默认shell程序，可用列表在/etc/shells文件中。也可以不指明里面的shell，但是在安全检查时可能会报错。
-G GROUP1[,GROUP2,...] 为用户指明附加组，组须事先存在
-N 不创建私用组做主组，使用users组做主组
-r 创建系统用户 CentOS 6之前: ID<500，CentOS 7以后: ID<1000
-m 创建家目录，用于系统用户
-M 不创建家目录，用于非系统用户
-f,--inactive : 更改非活动期限天数。0 表示立即禁止，-1 表示永不过期。
-p 输入加密口令

useradd -r -u 48 -g apache -s /sbin/nologin -d /var/www -c "Apache" apache

[root@centos8 ~]#cat /etc/default/useradd
# useradd defaults file
GROUP=100
HOME=/home
INACTIVE=-1   #对应/etc/shadow文件第7列，即用户密码过期的宽限期
EXPIRE=     #对应/etc/shadow文件第8列，即用户帐号的有效期
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes

useradd -D # 显示创建用户的默认配置 或 cat /etc/default/useradd 结果一样

useradd –D -s SHELL # 修改完系统默认添加用户的 shell
useradd –D –b BASE_DIR
useradd –D –g GROUP

newusers passwd 格式文件 

方法 1：
[root@centos6 ~]#grub-crypt --help
Usage: grub-crypt [OPTION]...
Encrypt a password.
 -h, --help       Print this message and exit
 -v, --version      Print the version information and exit
 --md5          Use MD5 to encrypt the password
 --sha-256        Use SHA-256 to encrypt the password
 --sha-512        Use SHA-512 to encrypt the password (default)
Report bugs to <[email protected]>.
EOF

[root@centos6 ~]#grub-crypt --sha-512
Password:
Retype password:
$6$v9A2/xUNwAWwEmHN$q7Wz.uscsV/8J5Gss3KslX8hKXOoaP3hDpOBWeBfMQHVIRZiwHUUkii84cvQWIMnvtnXYsdVHuLO4KhOiSOMh/

[root@centos6 ~]#useradd -p '$6$v9A2/xUNwAWwEmHN$q7Wz.uscsV/8J5Gss3KslX8hKXOoaP3hDpOBWeBfMQHVIRZiwHUUkii84cvQWIMnvtnXYsdVHuLO4KhOiSOMh/' test

[root@centos6 ~]#getent shadow test
test:$6$v9A2/xUNwAWwEmHN$q7Wz.uscsV/8J5Gss3KslX8hKXOoaP3hDpOBWeBfMQHVIRZiwHUUkii84cvQWIMnvtnXYsdVHuLO4KhOiSOMh/:18459:0:99999:7:::

方法2：
useradd -p `echo meu | openssl passwd -6 -salt ARZrof3ZBlFLYESn -stdin` zhang 

[root@centos7 ~]#python -c 'import crypt,getpass;pw="me";print(crypt.crypt(pw))'
$6$pt2FMf6YqKea3mh$.7Hkslg17uI.Wu7tVVtkzrwktXrOC8DxcMFC4JO1igrqR7VAi87H5PHOuLTUEjl7eJqKUhMT1e9ixojn1

[root@centos8 ~]#openssl passwd -6 me
$6$UOyYOao.iM2.rPnM$jCpTehqh5e234fXcDzkDMddthpKNL3scOZjTHh9fXds8Eu6gNdEQqLMQgOboipZ08mnz2V.

[root@node01 ~]# useradd -D
GROUP=100   
HOME=/home
INACTIVE=-1  非活动期限为禁用，宽限期
EXPIRE=         过去期限9999
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes 要不要创建邮件缓存序列，/var/spool/mail/目录创建

[root@node01 ~]# egrep -v '^$|^#' /etc/login.defs
MAIL_DIR        /var/spool/mail  邮件队列目录
PASS_MAX_DAYS   99999     密码最大使用天数，99999基本表示永远
PASS_MIN_DAYS   0         密码最小使用天数
PASS_MIN_LEN    5           密码最小长度
PASS_WARN_AGE   7       密码过期警告日期
UID_MIN                   1000        普通用户最小 ID 号
UID_MAX                 60000     普通用最大 ID 号
SYS_UID_MIN               201    系统用户最小ID号
SYS_UID_MAX               999   系统用户最大 ID 号
GID_MIN         1000         最小用户组ID号
GID_MAX         60000       最大用户组ID号
CREATE_HOME     yes       创建家目录
UMASK           077      默认遮罩码
USERGROUPS_ENAB yes     删除用户是如果其组没有用户一并删除
ENCRYPT_METHOD SHA512   使用额加密算法为SHA512  

# 复制目录下的隐藏文件
cp  /etc/skel/.[^.]* /home/test
# 复制目录下的所有文件
cp -r /etc/skel/. /home/test
cp -r /etc/skel /home/test

echo username:passwd | chpasswd

usermod [OPTION] login

-u UID: 新UID
-g GID: 新主组,注意该事先存在
-G GROUP1[,GROUP2,...[,GROUPN]]]：新附加组，原来的附加组将会被覆盖；若保留原有，则要同时使用-a选项
-s SHELL：新的默认SHELL
-c 'COMMENT'：新的注释信息
-d HOME: 新家目录不会自动创建；若要创建新家目录并移动原家数据，同时使用-m选项
-l login_name: 新的名字
-L: lock指定用户,在/etc/shadow 密码栏的增加 !
-U: unlock指定用户,将 /etc/shadow 密码栏的 ! 拿掉
-e YYYY-MM-DD: 指明用户账号过期日期
-f INACTIVE: 设定非活动期限，即宽限期
-m, --move-home : 只能与-d选项一同使用，用于将原来的家目录移动为新的家目录；
-p : 指明密码

# 清空用户的附加组
usermod -G '' wang

# bobo 添加到 wheel 组中
sudo usermod -aG wheel bobo

# 更改bobo的组为wheel
usermod -G wheel bobo

# 锁定用户
usermod -L 用户名

userdel [OPTION]... Login

-f, --force 强制
-r, --remove 删除用户家目录和邮箱

id [OPTION]... [USER]

-u: 显示UID
-g: 显示GID
-G: 显示用户所属的组的ID
-n: 显示名称，需配合ugG使用

su [options...] [-] [user [args...]]

-l --login su -l UserName 相当于 su - UserName
-c, --command <command> pass a single command to the shell with -c

su [-] UserName -c 'COMMAND'

su - docker -s '/bin/bash'

[root@centos8 ~]#su -s /sbin/nologin wang
This account is currently not available.
[root@centos8 ~]#whoami
root

[root@centos8 ~]#su -s /bin/false wang # 不报错
[root@centos8 ~]#whoami
root

[wang@centos8 ~]$su - root -c "getent shadow"

[root@middle-ware ~]# su - admin -c 'touch a.txt'
[root@middle-ware ~]# ll ~admin
total 0
-rw-rw-r-- 1 admin admin 0 Dec 26 01:00 a.txt

[root@centos8 ~]#su bin
This account is currently not available.
[root@centos8 ~]#su -s /bin/bash bin
bash-4.4$ whoami
bin
bash-4.4$
[root@centos8 ~]#getent passwd tss
tss:x:59:59:Account used by the trousers package to sandbox the tcsd
daemon:/dev/null:/sbin/nologin

[root@centos8 ~]#su - -s /bin/bash tss
Last login: Fri Mar 27 09:46:43 CST 2020 on pts/0
su: warning: cannot change directory to /dev/null: Not a directory
-bash: /dev/null/.bash_profile: Not a directory
[tss@centos8 root]$pwd
/root
[tss@centos8 root]$whoami
tss

passwd [OPTIONS] UserName

1) passwd：修改用户自己的密码；
2) passwd USERNAME：修改指定用户的密码，但仅root有此权限；

-d：删除指定用户密码
-l：锁定指定用户。不能登录  /etc/shadow 第二段出现2个感叹号
-u：解锁指定用户
-e：强制用户下次登录修改密码
-f：强制操作
-n mindays：指定最短使用期限
-x maxdays：最大使用期限
-w warndays：提前多少天开始警告
-i inactivedays：非活动期限
-S : 查看用户状态
--stdin：从标准输入接收用户密码,Ubuntu无此选项

echo "PASSWORD" | passwd --stdin USERNAME

#此方式更通用，适用于各种Linux版本，如:ubuntu
[root@centos8 ~]#echo -e '123456\n123456' | passwd me

#适用于红帽系列的Linux版本
[root@centos8 ~]#echo '123456' | passwd --stdin me

[root@centos8 ~]#useradd wang
[root@centos8 ~]#echo 123456 | passwd --stdin wang
Changing password for user wang.
passwd: all authentication tokens updated successfully.
[root@centos8 ~]#getent shadow wang
wang:$6$4f78ko7hJ4fcMvIH$lpbOkFfziDBLT.8XBCi8c/N7wysDAejN5H9Fgxkt99HRDLTEosO43CK
Yi2XSSVHxAK568Olj3C5bwfNExlves/:18348:0:99999:7:::
[root@centos8 ~]#passwd -e wang
Expiring password for user wang.
passwd: Success
[root@centos8 ~]#getent shadow wang
wang:$6$4f78ko7hJ4fcMvIH$lpbOkFfziDBLT.8XBCi8c/N7wysDAejN5H9Fgxkt99HRDLTEosO43CK
Yi2XSSVHxAK568Olj3C5bwfNExlves/:0:0:99999:7:::

[root@centos8 ~]#su - admin
Last login: Fri Mar 27 09:55:27 CST 2020 on pts/0
[cici@centos8 ~]$su - wang
Password:
You are required to change your password immediately (administrator enforced)
Current password:
New password:
BAD PASSWORD: The password is shorter than 8 characters
New password:
BAD PASSWORD: The password fails the dictionary check - it is too
simplistic/systematic
su: Have exhausted maximum number of retries for service

[cici@centos8 ~]$su - wang
Password:
You are required to change your password immediately (administrator enforced)
Current password:
New password:
Retype new password:
Last login: Fri Mar 27 10:01:20 CST 2020 on pts/0
Last failed login: Fri Mar 27 10:02:37 CST 2020 on pts/0
There was 1 failed login attempt since the last successful login.
[wang@centos8 ~]$exit
logout
[cici@centos8 ~]$exit
logout
[cici@centos8 ~]#getent shadow wang
wang:$6$TX0iLjF52ByHh1zH$g.WI4LNfauuwgnxpRhd7ePqFKHZ85YU3r6Lh2S0PWRXWGjGlDVtomLW
qpdiWrT.vwqD/Wzok.kzQhUHc8UCs91:18348:0:99999:7:::

[root@node01 ~]# useradd docker
[root@node01 ~]# echo '123456' | passwd --stdin docker
[root@node01 ~]# tail /etc/shadow
docker:$6$G6nWXI99$0x0tH.fh2RO1Vl0nbRZBWI6yK.M6csr5EnovKWOqRm.NLd10pw/0PCFqiCvBWA/yWW2La00oZS.lWWjQqjDA30:17550:0:99999:7:::

[root@node01 ~]# passwd -d docker
[root@node01 ~]# tail /etc/shadow
docker::17550:0:99999:7:::

[root@node01 ~]# useradd -c "Fedora Core" -s /bin/tcsh fedora #创建用户fedora,其注释信息为"Fedora Core",默认shell为/bin/tcsh

[root@node01 ~]# passwd -l fedora
[root@node01 ~]# tail -1 /etc/shadow
fedora:!!:17549:0:99999:7:::

[root@node01 ~]# passwd  -S fedora #查看用户状态
fedora LK 2018-01-18 0 99999 7 -1 (Password locked.)

[root@node01 ~]# passwd -uf fedora # 解锁用户
[root@node01 ~]# passwd  -S fedora
fedora NP 2018-01-18 0 99999 7 -1 (Empty password.)
[root@node01 ~]# tail -1 /etc/shadow
fedora::17549:0:99999:7:::

chage [OPTION]... LOGIN

-d LAST_DAY        #更改密码的时间
-m --mindays MIN_DAYS 最短使用时间
-M --maxdays MAX_DAYS 最长使用时间
-W --warndays WARN_DAYS 警告时间
-I --inactive INACTIVE #密码过期后的宽限期
-E --expiredate EXPIRE_DATE #用户的有效期
-l 显示密码策略

[root@centos8 ~]#chage -m 3 -M 42 -W 14 -I 7 -E 2020-10-10 wang
[root@centos8 ~]#chage -l wang
Last password change : Dec 18, 2019

Password expires : Jan 29, 2020
Password inactive : Feb 05, 2020
Account expires : Oct 10, 2020
Minimum number of days between password change : 3
Maximum number of days between password change : 42
Number of days of warning before password expires : 14
[root@centos8 ~]#getent shadow wang
wang:$6$82L7A37XJgzKTegH$lFzqrMHmFwW740U32bvWHUuakPDKOiULE/CxcyDzSe1qi1X2ALulDw1
WYrhd2wE00.lWO0im5//7biyV.juk5.:18248:3:42:14:7:18545:

#下一次登录强制重设密码
[root@centos8 ~]#chage -d 0 wang
[root@centos8 ~]#getent shadow wang
wang:$6$82L7A37XJgzKTegH$lFzqrMHmFwW740U32bvWHUuakPDKOiULE/CxcyDzSe1qi1X2ALulDw1
WYrhd2wE00.lWO0im5//7biyV.juk5.:0:3:42:14:7:18545:
[root@centos8 ~]#chage -l wang
Last password change : password must be changed
Password expires : password must be changed
Password inactive : password must be changed
Account expires : Oct 10, 2020
Minimum number of days between password change : 3
Maximum number of days between password change : 42
Number of days of warning before password expires : 14
[root@centos8 ~]#getent shadow wang
wang:$6$82L7A37XJgzKTegH$lFzqrMHmFwW740U32bvWHUuakPDKOiULE/CxcyDzSe1qi1X2ALulDw1
WYrhd2wE00.lWO0im5//7biyV.juk5.:0:3:42:14:7:18545:

[root@centos7 ~]#chfn cici
Changing finger information for cici.
Name [cici]: zcici
Office []:it
Office Phone []: 10000
Home Phone []: 11111
Finger information changed.
[root@centos7 ~]#finger cici
Login: cici      Name: zcici
Directory: /home/cici        Shell: /bin/bash
Office: it, x1-0000 Home Phone: x1-1111
Never logged in.
No mail.
No Plan.
[root@centos7 ~]#getent passwd cici
cici:x:1000:1000:zcici,it,10000,11111:/home/cici:/bin/bash
[root@centos7 ~]#chsh -s /bin/csh cici
Changing shell for cici.
Shell changed.
[root@centos7 ~]#getent passwd cici
cici:x:1000:1000:wangsicong,wanda,10000,11111:/home/cici:/bin/csh
[root@centos7 ~]#usermod -s /bin/bash cici
[root@centos7 ~]#getent passwd cici
cici:x:1000:1000:wangsicong,wanda,10000,11111:/home/cici:/bin/bash

[root@centos8 ~]#getent passwd cici
cici:x:1000:1000:zcici,IT,110,119,:/home/cici:/bin/bash
[root@centos8 ~]#chsh -s /sbin/nologin cici
Changing shell for cici.
chsh: Warning: "/sbin/nologin" is not listed in /etc/shells.
Shell changed.
[root@centos8 ~]#su - cici
This account is currently not available.
[root@centos8 ~]#chsh -s /bin/false cici
Changing shell for cici.
chsh: Warning: "/bin/false" is not listed in /etc/shells.
Shell changed.
[root@centos8 ~]#su - cici
[root@centos8 ~]#id
uid=0(root) gid=0(root) groups=0(root)
[root@centos8 ~]#chsh -s /bin/bash cici
Changing shell for cici.
Shell changed.
[root@centos8 ~]#su - cici
[cici@centos8 ~]$

groupadd [OPTION]... group_name

[root@node01 ~]# groupadd -g 2000 grp1 #指定组ID
[root@node01 ~]# groupadd testgrp2  #不加 -g 选项，默认是上一个组 GID+1
[root@node01 ~]# tail -2 /etc/group
grp1:x:2000:
testgrp2:x:2001:
[root@node01 ~]# groupadd -r -g 306 mariadb  #组合使用 -r -g ，创建系统组并指定GID 

groupmod [OPTION]... group

[root@node01 ~]# groupadd -r -g 306 mariadb
[root@node01 ~]# groupmod -g 702 mariadb
[root@node01 ~]# tail -2 /etc/group
testgrp2:x:2001:
mariadb:x:702:

[root@node01 ~]# groupmod -n perconaserver mariadb
[root@node01 ~]# tail -2 /etc/group
testgrp2:x:2001:
perconaserver:x:702:

groupdel [options] GROUP

gpasswd [OPTION] GROUP

-a user 将user添加至指定组中
-d user 从指定附加组中移除用户user
-A user1,user2,... 设置有管理权限的用户列表

#增加组成员
[root@centos8 ~]#groupadd admins
[root@centos8 ~]#id wang
uid=1000(wang) gid=1000(wang) groups=1000(wang)
[root@centos8 ~]#gpasswd -a wang admins
Adding user wang to group admins
[root@centos8 ~]#id wang
uid=1000(wang) gid=1000(wang) groups=1000(wang),1002(admins)
[root@centos8 ~]#groups wang
wang : wang admins
[root@centos8 ~]#getent group admins
admins:x:1002:wang

#删除组成员
[root@centos8 ~]#gpasswd -d wang admins
Removing user wang from group admins
[root@centos8 ~]#groups wang
wang : wang
[root@centos8 ~]#id wang
uid=1000(wang) gid=1000(wang) groups=1000(wang)
[root@centos8 ~]#getent group admins
admins:x:1002:

[root@node01 ~]# groupadd mygrp  #创建组
[root@node01 ~]# cat /etc/gshadow | grep mygrp # 一般创建的组都是没有密码的
mygrp:!::archlinux
[root@node01 ~]# gpasswd mygrp   #给组 mygrp 设定密码

[root@node01 ~]# useradd docker #创建 docker 用户
[root@node01 ~]# su - docker #su  -  USER命令切换到用户环境
[docker@node01 ~]$ id
uid=1001(docker) gid=2002(docker) groups=2002(docker)

[docker@node01 ~]$ newgrp mygrp #临时切换用户的基本组，如果组设定了密码需要输入密码
Password:
[docker@node01 ~]$ id
uid=1001(docker) gid=1001(mygrp) groups=1001(mygrp),2002(docker)
[docker@node01 ~]$ exit #退出临时基本组

newgrp [-] [group]

[root@centos8 ~]#gpasswd root
Changing the password for group root
New Password:
Re-enter new password:
[root@centos8 ~]#getent gshadow root
root:$6$UKK78gqOvw/Ug$exBe4gHUYzSj/Gip0YkXII8RkPca7QGVto6Ws5SFd6lhxxklCsfKqiv1qy
EQZOfGK2WbR7/I.A2.7j1SUGuB91::

[cici@centos8 ~]$newgrp root
Password:
[cici@centos8 ~]$id
uid=1000(cici) gid=0(root) groups=0(root),1000(cici)
[cici@centos8 ~]$getent passwd cici
cici:x:1000:1000:zcici,IT,110,119,:/home/cici:/bin/bash
[cici@centos8 ~]$touch wang1.txt
[cici@centos8 ~]$ll
total 0
-rw-r--r-- 1 cici root 0 Dec 18 09:38 wang1.txt
[cici@centos8 ~]$exit
exit
[cici@centos8 ~]$id
uid=1000(cici) gid=1000(cici) groups=1000(cici)
[cici@centos8 ~]$touch wang2.txt
[cici@centos8 ~]$ll
total 0
-rw-r--r-- 1 cici root 0 Dec 18 09:38 wang1.txt
-rw-rw-r-- 1 cici cici 0 Dec 18 09:38 wang2.txt

groupmems [options] [action]

-g, --group groupname #更改为指定组 (只有root)
-a, --add username #指定用户加入组
-d, --delete username #从组中删除用户
-p, --purge #从组中清除所有成员
-l, --list #显示组成员列表

groups [OPTION].[USERNAME]...

[root@centos8 ~]#groupmems -l -g admins
[root@centos8 ~]#groupmems -a cici -g admins
[root@centos8 ~]#id cici
uid=1001(cici) gid=1001(cici) groups=1001(cici),1002(admins)
[root@centos8 ~]#groupmems -l -g admins
cici
[root@centos8 ~]#groupmems -a wang -g admins
[root@centos8 ~]#groupmems -l -g admins
cici wang
[root@centos8 ~]#groupmems -d wang -g admins
[root@centos8 ~]#groups wang
wang : wang admins
[root@centos8 ~]#groupmems -l -g admins
cici
[root@centos8 ~]#groupmems -p -g admins
[root@centos8 ~]#groupmems -l -g admins

[root@node01 ~]# ls -l
-rw-r--r--. 1 root root 30499 Dec 8 12:04 Xorg.0.log

[root@node1 ~]# cat /etc/login.defs
UMASK           077

umask
#模式方式显示
umask –S
#输出可被调用
umask –p

umask #

umask 002
umask u=rw,g=r,o=

[root@centos8 ~]#umask
0022
[root@centos8 ~]#umask -S
u=rwx,g=rx,o=rx
[root@centos8 ~]#umask -p
umask 0022

[root@centos8 ~]#umask
0022
[root@centos8 ~]#( umask 666; touch /data/f1.txt )
[root@centos8 ~]#umask
0022
[root@centos8 ~]#ll /data/f1.txt
---------- 1 root root 0 Mar 27 14:55 /data/f1.txt

chattr +i

chattr +a

lsattr

[root@centos8 data]#chattr +i dir
[root@centos8 data]#lsattr dir
------------------ dir/fstab
------------------ dir/f1.txt
[root@centos8 data]#lsattr *
------------------ dir/fstab
------------------ dir/f1.txt
------------------ f11.txt
------------------ f22.txt
[root@centos8 data]#ll
total 8
drwxr-xr-x 2 root root  33 Dec 18 14:32 dir
-rw-r--r-- 1 root root 719 Dec 18 14:30 f11.txt
-rw-r--r-- 1 root root  6 Dec 18 14:30 f22.txt
[root@centos8 data]#rm -rf dir
rm: cannot remove 'dir/fstab': Operation not permitted
rm: cannot remove 'dir/f1.txt': Operation not permitted
[root@centos8 data]#lsattr
------------------ ./f11.txt
------------------ ./f22.txt
----i------------- ./dir
[root@centos8 data]#chattr -i dir
[root@centos8 data]#lsattr 
------------------ ./f11.txt
------------------ ./f22.txt
------------------ ./dir

+ ：在原有参数设定基础上，追加参数。
- ：在原有参数设定基础上，移除参数。
= ：更新为指定参数设定。
A：文件或目录的 atime (access time)不可被修改(modified), 可以有效预防例如手提电脑磁盘I/O错误的发生。
S：硬盘I/O同步选项，功能类似sync。
a：即append，设定该参数后，只能向文件中添加数据，而不能删除，多用于服务器日志文件安全，只有root才能设定这个属性。
c：即compresse，设定文件是否经压缩后再存储。读取时需要经过自动解压操作。
d：即no dump，设定文件不能成为dump程序的备份目标。
i：设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助。
j：即journal，设定此参数使得当通过mount参数：data=ordered 或者 data=writeback
挂 载的文件系统，文件在写入时会先被记录(在journal中)。
如果filesystem被设定参数为 data=journal，则该参数自动失效。
s：保密性地删除文件或目录，即硬盘空间被全部收回。
u：与s相反，当设定为u时，数据内容其实还存在磁盘中，可以用于undeletion。

#备份ACL
getfacl -R /tmp/dir > acl.txt
#消除ACL权限
setfacl -R -b /tmp/dir
#还原ACL权限
setfacl -R  --set-file=acl.txt /tmp/dir
#还原ACL权限
setfacl --restore acl.txt
#查看ACL权限
getfacl -R /tmp/dir

[root@centos8 data]#getfacl *
# file: f1.txt
# owner: root
# group: root
user::rw-
user:wang:rwx #effective:rw-
group::r--
group:admins:-w-
mask::rw-
other::r--

# file: f2.txt
# owner: root
# group: root
user::rw-
group::r--
other::r--

# file: f3.txt
# owner: root
# group: root
user::rw-
user:wang:rwx #effective:rw-
group::r--
group:admins:-w-
mask::rw-
other::r--

[root@centos8 data]#cd
[root@centos8 ~]#tar cvf data.tar /data/
tar: Removing leading `/' from member names
/data/
/data/f1.txt
/data/f2.txt
/data/f3.txt
[root@centos8 ~]#tar xvf data.tar -C /opt
data/
data/f1.txt
data/f2.txt
data/f3.txt
[root@centos8 ~]#ls /opt
data
[root@centos8 ~]#cd /opt/data
[root@centos8 data]#ll
total 12
-rw-rw-r-- 1 root root 728 Dec 18 14:51 f1.txt
-rw-r--r-- 1 root root 728 Dec 18 15:01 f2.txt
-rw-rw-r-- 1 root root 728 Dec 18 14:51 f3.txt
[root@centos8 data]#getfacl -R /data > /root/acl.txt
getfacl: Removing leading '/' from absolute path names
[root@centos8 data]#cat /root/acl.txt
# file: data
# owner: root
# group: admins
user::rwx
group::rwx
other::rwx
# file: data/f1.txt
# owner: root
# group: root
user::rw-
user:wang:rwx #effective:rw-
group::r--
group:admins:-w-
mask::rw-
other::r--
# file: data/f2.txt
# owner: root
# group: root
user::rw-
group::r--
other::r--
# file: data/f3.txt
# owner: root
# group: root
user::rw-
user:wang:rwx #effective:rw-
group::r--
group:admins:-w-
mask::rw-
other::r--

[root@centos8 data]#ll /opt/data
total 12
-rw-rw-r-- 1 root root 728 Dec 18 14:51 f1.txt
-rw-r--r-- 1 root root 728 Dec 18 15:01 f2.txt
-rw-rw-r-- 1 root root 728 Dec 18 14:51 f3.txt
[root@centos8 data]#cd
[root@centos8 ~]#setfacl -R --set-file=/root/acl.txt /opt
[root@centos8 ~]#ll /opt/data/
total 12
-rw-rw-r--+ 1 root root 728 Dec 18 14:51 f1.txt
-rw-rw-r--+ 1 root root 728 Dec 18 15:01 f2.txt
-rw-rw-r--+ 1 root root 728 Dec 18 14:51 f3.txt
[root@centos8 ~]#setfacl -b -R /opt/data
[root@centos8 ~]#ll /opt/data
total 12
-rw-r--r-- 1 root root 728 Dec 18 14:51 f1.txt
-rw-r--r-- 1 root root 728 Dec 18 15:01 f2.txt
-rw-r--r-- 1 root root 728 Dec 18 14:51 f3.txt
[root@centos8 ~]#