【Linux 从基础到进阶】Linux中的用户认证与授权
Linux中的用户认证与授权
1. 引言
在Linux系统中，**用户认证（authentication）和授权（authorization）**是两个核心的安全机制，用来控制系统资源的访问和管理用户操作权限。用户认证确保登录的用户是合法的，授权则决定用户能够执行哪些操作。本文将详细介绍Linux中的用户认证与授权机制，包括常见的认证方式、授权模型以及如何配置和管理这些功能。
2. 用户认证
用户认证是验证用户身份的过程。在Linux中，常见的用户认证方式包括密码认证、密钥认证以及多因素认证。
2.1 用户认证文件
Linux系统使用以下文件来管理用户信息：
/etc/passwd：存储用户账户信息，如用户名、UID、GID、主目录和默认Shell。/etc/shadow：存储用户的加密密码以及密码策略信息，如密码到期时间。
/etc/passwd 文件示例
user:x:1001:1001:,,,:/home/user:/bin/bash
user：用户名。x：表示密码存储在/etc/shadow文件中。1001：用户ID（UID）。1001：组ID（GID）。/home/user：用户的主目录。/bin/bash：默认登录shell。
/etc/shadow 文件示例
user:$6$abcdxyz$encryptedpassword:18375:0:99999:7:::
user：用户名。$6$abcdxyz$encryptedpassword：加密密码。18375：密码最后一次修改的日期。
2.2 认证方式
2.2.1 密码认证
密码认证是Linux最常见的用户认证方式。用户在登录系统时，需要输入用户名和密码，系统会将输入的密码与/etc/shadow文件中的加密密码进行比对。可以使用passwd命令修改用户密码：
sudo passwd username
2.2.2 密钥认证
密钥认证通过使用公钥-私钥对来验证用户身份，常用于远程登录（如SSH）。用户将公钥放在服务器的~/.ssh/authorized_keys文件中，登录时使用对应的私钥进行认证。配置密钥认证的步骤如下：
- 生成密钥对：
ssh-keygen -t rsa - 将公钥复制到服务器：
ssh-copy-id user@server
2.2.3 多因素认证（MFA）
多因素认证增加了额外的验证步骤，例如使用Google Authenticator生成一次性密码。安装多因素认证工具：
sudo apt install libpam-google-authenticator
然后通过以下命令生成多因素认证配置：
google-authenticator
将其集成到PAM（可插拔认证模块）中，以增加系统的安全性。
2.3 Pluggable Authentication Modules (PAM)
PAM 是Linux中处理用户认证的模块化框架，允许管理员配置多种认证方式（如密码、密钥、指纹等）。PAM的配置文件通常位于 /etc/pam.d/ 目录中，每个应用程序（如SSH、sudo等）有自己对应的配置文件。
示例：修改 /etc/pam.d/sshd 文件，添加多因素认证支持：
auth required pam_google_authenticator.so
3. 用户授权
用户授权是在系统中控制用户对资源的访问权限。在Linux中，授权依赖于文件权限和用户组机制。
3.1 Linux 文件权限模型
Linux使用一种三组三类的文件权限模型，分别为用户（owner）、组（group）和其他（others），权限类型为读（r）、写（w）和执行（x）。
3.1.1 权限表示法
权限通过三组字符表示，例如：
-rwxr-xr--
rwx：文件所有者的权限（读、写、执行）。r-x：文件所在组的权限（读、执行）。r--：其他用户的权限（读）。
3.1.2 修改权限
使用chmod命令修改文件或目录的权限。例如，将文件file.txt的权限设置为用户可读写，组和其他用户只读：
chmod 644 file.txt
也可以使用符号方式修改权限：
chmod u+x file.sh # 为用户添加执行权限
chmod g-w file.txt # 移除组的写权限
3.2 用户组管理
Linux中的每个用户都属于至少一个用户组。用户组用于管理多个用户对相同资源的访问权限。
3.2.1 查看和管理组
- 查看用户所属的组：
groups username - 添加用户到组：
sudo usermod -aG groupname username
3.2.2 创建和删除组
- 创建新组：
sudo groupadd newgroup - 删除组：
sudo groupdel groupname
3.2.3 文件的组所有权
可以使用chgrp命令修改文件的组所有权：
chgrp groupname file.txt
3.3 高级权限机制
除了传统的文件权限模型，Linux还提供了高级的授权机制，如ACL和sudoers。
3.3.1 Access Control Lists (ACL)
ACL为文件和目录提供更细粒度的权限控制，允许为特定用户或组设置权限。使用setfacl命令设置ACL：
setfacl -m u:username:rwx file.txt
查看文件的ACL：
getfacl file.txt
3.3.2 Sudo 权限管理
sudo 是Linux中用于临时提升普通用户权限执行特权操作的工具。sudo 的配置文件为 /etc/sudoers，可以使用visudo进行编辑。
在 /etc/sudoers 文件中，可以为用户或用户组配置sudo权限。例如，允许用户 john 不输入密码执行所有命令：
john ALL=(ALL) NOPASSWD: ALL
4. 身份验证与授权管理工具
除了PAM、sudo和ACL，Linux还提供了一些高级身份验证和授权管理工具：
4.1 LDAP认证
LDAP（轻量级目录访问协议）是一种集中式认证系统，可以统一管理多个Linux服务器上的用户账户信息。通过将Linux系统与LDAP服务器集成，用户只需一个账户即可登录不同的服务器。
LDAP认证通常结合PAM使用。配置LDAP认证可以通过安装libpam-ldap或sssd包，并修改PAM配置文件。
4.2 Kerberos认证
Kerberos是一种网络认证协议，使用票证（ticket）来验证用户身份。Kerberos认证在多服务器环境中非常有效，特别是对于要求高安全性和单点登录（SSO）的系统。配置Kerberos需要在服务器和客户端上安装相关软件包，并配置 /etc/krb5.conf 文件。
4.3 NIS（网络信息服务）
NIS是一种早期的集中式用户管理工具，能够将用户和组信息集中存储在一个服务器上，供多个客户端使用。虽然NIS较为简单，但相比LDAP和Kerberos，安全性较弱，逐渐被更先进的认证系统取代。
5. 总结
Linux系统中的用户认证与授权机制提供了灵活且强大的控制手段，确保只有经过认证的用户才能访问系统，并通过精细的权限控制管理不同用户的操作权限。通过结合使用PAM、ACL、sudo、LDAP等工具，系统管理员可以实现对用户操作的有效管控，从而提高系统的安全性和可管理性。
原文地址：https://blog.csdn.net/weixin_39372311/article/details/142933532
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！