Керування користувачами. Ubuntu Server - адміністративні права користувачів Додавання користувача ubuntu

Додавання і видалення користувачів - це одна з базових задач, з якою ви можете зіткнутися при роботі на новому сервері з ОС сімейства Linux. Як правило, після того, як ви встановили нову систему, у вас є тільки один користувач - привілейований користувач.

З одного боку, використовувати суперкористувача зручно, так як він володіє широкими можливостями; з іншого боку, через це ви можете випадково нанести шкоду щойно встановленої системі. Тому для виконання стандартних дій краще створити ще одного користувача, але на цей раз не володіє такими привілеями. Також рекомендується створити додаткових користувачів для всіх людей, які будуть користуватися системою. У кожного користувача повинен бути свій аккаунт.

При цьому ви зможете виконувати адміністративні завдання за допомогою користувача з sudo правами. З цього керівництва ви дізнаєтеся, як створювати користувачів, наділяти їх правами sudo і видаляти їх.

Як додати користувача

# Adduser newuser

Якщо для створення нового користувача ви хочете використовувати користувача з sudo-правами, тоді команда буде виглядати трохи інакше:

$ Sudo adduser newuser

(При цьому замість newuser ви можете вказати якесь інше слово, так як це буде ім'я нового користувача.)

Після введення команди вам потрібно буде послідовно відповісти на кілька запитань, а саме:

• ввести і підтвердити пароль для нового користувача;
• написати додаткову інформацію про новий користувача. Робити це необов'язково; якщо не хочете нічого додавати, просто натисніть Enter;
• нарешті, вам потрібно буде підтвердити коректність всієї введеної до цього інформації - для цього треба натиснути y (yes - так).

Тепер новий користувач створений і готовий до використання! Авторизуватися під ним можна використовуючи пароль, який ви встановили раніше.

Якщо ви хочете наділити користувача адміністративними правами, то читайте наступний розділ.

Як наділити користувача правами sudo

Якщо вам потрібно, щоб новий користувач міг виконувати адміністративні (root) команди, вам потрібно дати цьому користувачеві доступ до sudo. Зробити це можна двома шляхами: або додати цього користувача до створеної групи користувачів, які можуть виконувати команди sudo, або дати це право користувачу шляхом внесення змін в конфігурацію утиліти sudo. Розглянемо обидва варіанти.

Додавання нового користувача в групу sudo

За замовчуванням в Ubuntu 16.04 правами виконувати sudo команди мають всі користувачі, які входять до відповідної групи.

Для того, щоб подивитися, в якій групі зараз знаходиться створений користувач, використовуйте наступну команду:

$ Groups newuser

В результаті ви побачите на екрані:

Newuser: newuser

Тому що за замовчуванням кожен новий користувач знаходиться у своїй власній групі, яка створюється одночасно зі створенням самого користувача і має таку ж назву. Для того, щоб додати користувача в іншу групу, вам потрібно написати в командному рядку наступну команду:

$ Usermod -aG sudo newuser

(Нагадую, що замість newuser вам потрібно написати своє ім'я користувача, якого ви хочете перемістити в групу з адміністративними правами.)

Ключ -aG потрібен для того, щоб користувач був доданий в одну з уже існуючих в списку груп.

Перевірка наявності sudo-прав

Тепер необхідно перевірити, чи може ваш користувач виконувати адміністративні команди.

$ команда

Ви можете виконати цю ж команду, але з адміністративними правами, якщо напишете на початку sudo:

$ Sudo команда

При цьому вам потрібно буде ввести пароль від аккаунта даного користувача.

Уточнення прав користувача в in / etc / sudoers

Альтернативним способом дати користувачеві sudo-права є налагодження конфігураційного файлу. Вам потрібно використовувати команду visudo для того, щоб відкрити конфігураційний файл / etc / sudoers в обраному за замовчуванням редакторі і вказати права конкретно для цього користувача.

Рекомендується для редагування конфігураційного файлу використовувати саме команду visudo: по-перше, вона захищає файл від декількох одночасних змін, по-друге, перевіряє синтаксис файлу перед перезаписом. Завдяки цьому у вас не буде ситуації, коли ви неправильно налаштували sudo, а потім не можете внести потрібні зміни, так як втратили адміністративні права.

Якщо ви використовуєте користувача з sudo-правами, тоді потрібна вам команда буде виглядати так:

Як правило, команда visudo відкривалася / etc / sudoers в редакторі vi, що могло збентежити не надто досвідчених користувачів. Тому в Ubuntu 16.04 замість vi використовується nano, інструмент, який набагато більше знайомий більшості користувачів. Чи використовуєте стрілки на клавіатурі для того, щоб знайти потрібний рядок. Вона виглядає приблизно так:

Root ALL = (ALL: ALL) ALL

Розмістіть цей текст трохи нижче і замість "root" напишіть ім'я того користувача, якого ви хочете наділити правом виконувати sudo-команди. Це буде виглядати приблизно так:

Root ALL = (ALL: ALL) ALL newuser ALL = (ALL: ALL) ALL

Для кожного нового користувача необхідно додавати новий рядок. Після того, як ви внесете всі необхідні зміни, збережіть і закрийте файл, натиснувши Ctrl-X, потім Y і Enter для підтвердження.

Як видаляти користувачів

Якщо вам більше не потрібен один зі створених користувачів, найкращим рішенням буде видалити його.

Ви можете видалити тільки користувача, без видалення його файлів, використовуючи команду:

# Deluser newuser

Якщо ви використовуєте користувача з sudo-правами, тоді команда буде виглядати наступним чином:

$ Sudo deluser newuser

Для того, щоб видалити користувача разом з його домашньої директорією, від імені суперкористувача вам потрібно ввести:

# Deluser --remove-home newuser

Для користувачів з sudo-правами:

$ Sudo deluser --remove-home newuser

А якщо ви хочете позбавити віддаленого користувача sudo-прав, вам потрібно відкрити конфігураційний файл:

(Якщо від суперкористувача)
або

(Якщо від користувача з sudo-правами)

Root ALL = (ALL: ALL) ALL newuser ALL = (ALL: ALL) ALL # Видаліть цей рядок.

Це потрібно для того, щоб в подальшому створений користувач з таким же ім'ям не отримав випадково sudo-права.

висновок

Тепер ви знаєте про те, як правильно створити і видаляти користувачів, а також давати їм права виконувати команду sudo. Для ефективного керівництва розділяйте користувачів по різних групах і давайте адміністративні права тільки тим, кому це дійсно потрібно для роботи.

Оскільки Linux - система розрахована на багато користувачів, питання про організацію розмежування доступу до файлів і каталогів є одним з істотних питань, які повинна вирішувати операційна система. Механізми розмежування доступу, встановлені для системи UNIX в 70-х роках (можливо, втім, вони пропонувалися кимось і раніше), дуже прості, але вони виявилися настільки ефективними, що проіснували вже більше 30 років і донині успішно виконують поставлені перед ними завдання.

В основі механізмів розмежування доступу лежать імена користувачів і імена груп користувачів. Ви вже знаєте, що в Linux кожен користувач має унікальне ім'я, під яким він входить в систему (логіруется). Крім того, в системі створюється певна кількість груп користувачів, причому кожен користувач може бути включений в одну або кілька груп. Створює і видаляє групи привілейований користувач, він же може змінювати склад учасників тієї чи іншої групи. Члени різних груп можуть мати різні права щодо доступу до файлів, наприклад, група адміністраторів може мати більше прав, ніж група програмістів.

В індексному дескрипторі кожного файлу записано ім'я так званого власника файлу і групи, яка має права на цей файл. Спочатку, при створенні файлу його власником оголошується той користувач, який цей файл створив. Точніше - той користувач, від чийого імені запущений процес, який створює файл. Група теж призначається при створенні файлу - за ідентифікатором групи процесу, що створює файл. Власника та групу файлу можна поміняти в ході подальшої роботи за допомогою команд chownі chgrp(Докладніше про них буде сказано трохи пізніше).

Тепер давайте ще раз виконаємо команду ls -l. Але задамо їй в якості додаткового параметра ім'я конкретного файлу, наприклад, файлу, що задає саму команду ls. (Зверніть, до речі, увагу на цю можливість команди ls -l- отримати інформацію про конкретний файл, а не про всіх файлах каталогу відразу).

$ Ls -l / bin / ls

Ви бачите, що в даному випадку власником файлу є користувач root і група root. Але нас зараз у висновку цієї команди більше цікавить перше поле, що визначає тип файлу і права доступу до файлу. Це поле в наведеному прикладі представлено ланцюжком символів -rwxr-xr-x. Ці символи можна умовно розділити на 4 групи.

Перша група, що складається з єдиного символу, визначає тип файлу. Цей символ відповідно до можливих типами файлів, розглянутими в попередньому розділі, може приймати такі значення:

- = - звичайний файл;

d =- каталог;

b =- файл блочного пристрою;

c =- файл символьного пристрою;

s =- доменне гніздо (socket);

p =- іменований канал (pipe);

l =- символічна посилання (link).

Далі йдуть три групи по три символи, які і визначають права доступу до файлу відповідно для власника файлу, для групи користувачів, яка порівняна даного файлу, і для всіх інших користувачів системи. У нашому прикладі права доступу для власника визначені як rwx, що означає, що власник ( root) Має право читати файл (r), проводити запис в цей файл (w), і запускати файл на виконання (x). Заміна будь-якого з цих символів прочерком означатиме, що користувач позбавляється відповідного права. У тому ж прикладі ми бачимо, що всі інші користувачі (включаючи і тих, які увійшли до групи root) Позбавлені права записи в цей файл, т. Е. Не можуть файл редагувати і взагалі якось змінювати.

Взагалі кажучи, права доступу та інформація про тип файлу в UNIX-системах зберігаються в індексних дескрипторах в окремій структурі, що складається з двох байтів, т. Е. З 16 біт (це природно, адже комп'ютер оперує битами, а не символами r, w, x). Чотири біта з цих 16-ти відведені для кодованої записи про тип файлу. Наступні три біта задають особливі властивості виконуваних файлів, про які ми скажемо трохи пізніше. І, нарешті, що залишилися 9 біт визначають права доступу до файлу. Ці 9 біт поділяються на 3 групи по три біта. Перші три біта задають права користувача, наступні три біта - права групи, останні 3 біта визначають права всіх інших користувачів (т. Е. Всіх користувачів, за винятком власника файлу і групи файлу).

При цьому, якщо відповідний біт має значення 1, то право надається, а якщо він дорівнює 0, то право не надається. У символьній формі записи прав одиниця замінюється відповідним символом (r, w або x), а 0 представляється прочерком.

Право на читання (r) файлу означає, що користувач може переглядати вміст файлу за допомогою різних команд перегляду, наприклад, командою moreабо за допомогою будь-якого текстового редактора. Але, підредагувавши вміст файлу в текстовому редакторі, ви не зможете зберегти зміни у файлі на диску, якщо не маєте права на запис (w) в цей файл. Право на виконання (x) означає, що ви можете завантажити файл в пам'ять і спробувати запустити його на виконання як виконувану програму. Звичайно, якщо в дійсності файл не є програмою (або скриптом shell), то запустити цей файл на виконання не вдасться, але, з іншого боку, навіть якщо файл дійсно є програмою, але право на виконання для нього не встановлено, то він теж не запуститься.

Ось ми і дізналися, які файли в Linux є виконуваними! Як бачите, розширення імені файлу тут ні до чого, все визначається установкою атрибута "виконуваний", причому право на виконання може бути надано не всім!

Якщо виконати ту ж команду ls -l, Але в якості останнього аргументу їй вказати не ім'я файлу, а ім'я каталогу, ми побачимо, що для каталогів теж визначені права доступу, причому вони задаються тими ж самими символами rwx. Наприклад, виконавши команду ls -l /, ми побачимо, що каталогом bin відповідає рядок:

Природно, що по відношенню до каталогів трактування понять "право на читання", "право на запис" і "право на виконання" дещо змінюється. Право на читання по відношенню до каталогів легко зрозуміти, якщо згадати, що каталог - це просто файл, який містить список файлів в даному каталозі. Отже, якщо ви маєте право на читання каталогу, то ви можете переглядати його вміст (цей самий список файлів в каталозі). Право на запис теж зрозуміло - маючи таке право, ви зможете створювати і видаляти файли в цьому каталозі, т. Е. Просто додавати в каталог або видаляти з нього запис, що містить ім'я якогось файлу і відповідні посилання. Право на виконання інтуїтивно менш зрозуміло. Воно в даному випадку означає право переходити в цей каталог. Якщо ви, як власник, хочете дати доступ іншим користувачам на перегляд якогось файлу в своєму каталозі, ви повинні дати їм право доступу в каталог, т. Е. Дати їм "право на виконання каталогу". Більш того, треба дати користувачеві право на виконання для всіх каталогів, що стоять в дереві вище даного каталогу. Тому в принципі для всіх каталогів за умовчанням встановлюється право на виконання як для власника і групи, так і для всіх інших користувачів. І, вже якщо ви хочете закрити доступ в каталог, то позбавите всіх користувачів (включаючи групу) права входити в цей каталог. Тільки не позбавляйте і себе такого права, а то доведеться звертатися до суперкористувачеві! (Прімеч.11)

Після прочитання попереднього абзацу може здатися, що право на читання каталогу не дає нічого нового в порівнянні з правом на виконання. Однак різниця в цих правах все-таки є. Якщо задати тільки право на виконання, ви зможете увійти в каталог, але не побачите там жодного файлу (цей ефект особливо наочно проявляється в тому випадку, якщо ви користуєтеся якимось файловим менеджером, наприклад, програмою Midnight Commander). Якщо ви маєте право доступу в якомусь із підкаталогів цього каталогу, то ви можете перейти в нього (командою cd), Але, як то кажуть "наосліп", по пам'яті, тому що списку файлів і підкаталогів поточного каталогу ви не побачите.

Алгоритм перевірки прав користувача при зверненні до файлу можна описати таким чином. Система спочатку перевіряє, чи збігається ім'я користувача з ім'ям власника файлу. Якщо ці імена збігаються (т. Е. Власник звертається до свого файлу), то перевіряється, чи має власник відповідне право доступу: на читання, на запис або на виконання (не дивуйтеся, привілейований користувач може позбавити деяких прав і власника файлу). Якщо право таке є, то відповідна операція дозволяється. Якщо ж потрібного права власник не має, то перевірка прав, наданих через групу або через групу атрибутів доступу для інших користувачів, вже навіть не перевіряються, а користувачеві видається повідомлення про неможливість виконання затребуваного дії (зазвичай щось на кшталт "Permission denied").

Якщо ім'я користувача, що звертається до файлу, не збігається з ім'ям власника, то система перевіряє, чи належить власник до групи, яка порівняна даного файлу (далі будемо просто називати її групою файлу). Якщо належить, то для визначення можливості доступу до файлу використовуються атрибути, які відносяться до групи, а на атрибути для власника і всіх інших користувачів увагою не звертається. Якщо ж користувач не є власником файлу і не входить в групу файлу, то його права визначаються атрибутами для інших користувачів. Таким чином, третя група атрибутів, що визначають права доступу до файлу, відноситься до всіх користувачів, крім власника файлу і користувачів, що входять в групу файлу.

Для зміни прав доступу до файлу використовується команда chmod. Її можна використовувати в двох варіантах. У першому варіанті ви повинні явно вказати, кому яке право даєте або кого цього права позбавляєте:

$ Chmod wXp назва_пакунка

де замість символу wпідставляється

або символ u(Т. Е. Користувач, який є власником);

або g(Група);

або o(Всі користувачі, що не входять в групу, якій належить даний файл);

або a(Всі користувачі системи, т. Е. І власник, і група, і всі інші).

замість Xставиться:

або + (Надаємо право);

або - (Позбавляємо відповідного права);

або = (Встановити зазначені права замість наявних),

замість p- символ, що позначає відповідне право:

r(Читання);

w(Запис);

x(Виконання).

Ось кілька прикладів використання команди chmod:

$ Chmod a + x file_name

надає всім користувачам системи право на виконання даного файлу.

$ Chmod go-rw file_name

видаляє право на читання і запис для всіх, крім власника файлу.

$ Chmod ugo + rwx file_name

дає всім права на читання, запис і виконання.

Якщо опустити вказівку на те, кому надається дане право, то мається на увазі, що мова йде взагалі про всіх користувачів, т. Е. Замість $ Chmod a + x file_name

можна записати просто

$ Chmod + x file_name

Другий варіант завдання команди chmod(Він використовується частіше) заснований на цифровому поданні прав. Для цього ми кодируем символ r цифрою 4, символ w - цифрою 2, а символ x - цифрою 1. Для того, щоб надати користувачам якийсь набір прав, треба скласти відповідні цифри. Отримавши, таким чином, потрібні цифрові значення для власника файлу, для групи файлу і для всіх інших користувачів, задаємо ці три цифри в якості аргументу команди chmod(Ставимо ці цифри після імені команди перед другим аргументом, який задає ім'я файлу). Наприклад, якщо треба дати повне право власнику (4 + 2 + 1 = 7), право на читання і запис - групі (4 + 2 = 6), і не давати ніяких прав іншим, то слід дати таку команду:

$ Chmod 760 file_name

Якщо ви знайомі з двійковим кодуванням вісімкових цифр, то ви зрозумієте, що цифри після імені команди в цій формі її подання є не що інше, як восьмерична запис тих самих 9 біт, які задають права для власника файлу, групи файлу і для всіх користувачів.

Виконувати зміну прав доступу до файлу за допомогою команди chmodможе тільки сам власник файлу чи суперкористувач. Для того, щоб мати можливість змінити права групи, власник повинен додатково бути членом тієї групи, якій він хоче дати права на даний файл.

Щоб завершити розповідь про права доступу до файлів, треба розповісти ще про трьох можливих атрибутах файлу, що встановлюються за допомогою тієї ж команди chmod. Це ті самі атрибути для виконуваних файлів, які в індексному дескрипторі файлу в двобайтового структурі, яка визначає права на файл, займають позиції 5-7, відразу після коду типу файлу.

Перший з цих атрибутів - так званий "біт зміни ідентифікатора користувача". Сенс цього біта полягає в наступному.

Зазвичай, коли користувач запускає деяку програму на виконання, ця програма отримує ті ж права доступу до файлів і каталогів, які має користувач, що запустив програму. Якщо ж встановлено "біт зміни ідентифікатора користувача", то програма отримає права доступу до файлів і каталогів, які має власник файлу програми (таким чином, розглянутий атрибут краще називати "бітом зміни ідентифікатора власника"). Це дозволяє вирішувати деякі завдання, які інакше було б важко виконати. Найхарактерніший приклад - команда зміни пароля passwd. Всі паролі користувачів зберігаються в файлі / etc / passwd, власником якого є привілейований користувач root. Тому програми, запущені звичайними користувачами, в тому числі команда passwd, Не можуть виробляти запис в цей файл. А, значить, користувач як би не може змінювати свій власний пароль. Але для файлу / usr / bin / passwd встановлений "біт зміни ідентифікатора власника", яким є користувач root. Отже, програма зміни пароля passwdзапускається з правами rootі отримує право записи в файл / etc / passwd (вже засобами самої програми забезпечується те, що користувач може змінити тільки один рядок в цьому файлі).

Встановити "біт зміни ідентифікатора власника" може привілейований користувач за допомогою команди

# Chmod + s file_name

Аналогічним чином працює "біт зміни ідентифікатора групи".

Ще один можливий атрибут виконуваного файлу - це "біт збереження завдання" або "sticky bit" (дослівно - "біт прилипчивости"). Цей біт вказує системі, що після завершення програми треба зберегти її в оперативній пам'яті. Зручно включити цей біт для задач, які часто викликаються на виконання, так як в цьому випадку економиться час на завантаження програми при кожному новому запуску. Цей атрибут був необхідний на старих моделях комп'ютерів. На сучасних швидкодіючих системах він використовується рідко.

Якщо використовується цифровий варіант завдання атрибутів в команді chmod, То цифрове значення цих атрибутів має передувати цифрам, що задає права користувача:

# Chmod 4775 file_name

При цьому ваги цих бітів для отримання потрібного сумарного результату задаються наступним чином:

4 - "біт зміни ідентифікатора користувача",

2 - "біт зміни ідентифікатора групи",

1 - "біт збереження завдання (sticky bit)".

Якщо якісь з цих трьох бітів встановлені в 1, то кілька змінюється висновок команди ls -lв частині відображення встановлених атрибутів прав доступу. Якщо встановлений в 1 "біт зміни ідентифікатора користувача", то символ "x" в групі, яка визначає права власника файлу, замінюється символом "s". Причому, якщо власник має право на виконання файлу, то символ "x" замінюється на маленьке "s", а якщо власник не має права на виконання файлу (наприклад, файл взагалі не виконується), то замість "x" ставиться "S". Аналогічні заміни мають місце при завданні "бита зміни ідентифікатора групи", але замінюється символ "x" в групі атрибутів, які задають права групи. Якщо дорівнює 1 "біт збереження завдання (sticky bit)", то замінюється символ "x" в групі атрибутів, що визначає права для всіх інших користувачів, причому "x" замінюється символом "t", якщо всі користувачі можуть запускати файл на виконання, і символом "T", якщо вони такого права не мають.

Таким чином, хоча у висновку команди ls -lне передбачено окремих позицій для відображення значень бітів зміни ідентифікаторів і біта збереження завдання, відповідна інформація виводиться. Ось невеликий приклад того, як це буде виглядати:

# Ls -l prim1