L4-用户管理与安全策略

《L4-用户管理与安全策略》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第四讲用户管理与安全策略用户管理与安全策略本章要点定义用户和组的概念掌握添加更改删除用户的方法掌握添加更改删除组的方法掌握用户口令的管理掌握与用户通信的方法掌握控制root特权的原则掌握许可权位的含义及使用2021/7/23用户登陆和初始化gettylogin用户输入用户名系统验证用户名和密码设置用户环境显示/etc/motdshell读取/etc/environment/etc/profile$HOME/.profile2021/7/23用户登陆对直接连接的可用端口，由init启动的getty进程将在终端上显示登录提示信息，该提示可在

2、文件/etc/security/login.cfg中设置用户键入登录名后,系统将根据文件/etc/passwd和/etc/security/passwd检查用户名及用户口令提示信息用户名口令2021/7/23用户环境用户环境由以下文件建立：/etc/passwd合法用户（无口令内容）/etc/group合法用户组/etc/security/passwd含有加密形式的用户口令/etc/security/user用户属性，口令限制/etc/security/limits对用户的限制/etc/security/environ用户环境设定/et

3、c/security/login.cfg登录设置/etc/security/group用户组属性/usr/lib/security/mkuser.default建立新用户的一些默认设置存放文件中2021/7/23/etc/motdlogin过程将当前目录设置为用户的主目录，并且在$HOME/.hushlogin文件不存在的情况下，将显示/etc/motd文件的内容和关于上次登录的信息最后控制权被传递给登录shell(在/etc/passwd中定义)，对于Bourne和KornShell，将运行/etc/profile和$HOME/.pr

4、ofile文件，对Csh,则执行$HOME/.login和$HOME/.cshrc文件/etc/motdshell2021/7/23环境变量用户登录时系统设置用户环境主要依据下述文件/etc/profile设置系统范围内公共变量的shell文件，设置如TERM、MAILMSG、MAIL等环境变量/etc/environment指定对所有进程适用的基本环境变量。如HOME、LANG、TZ、NLSPATH等$HOME/.profile用户在主目录下的设置文件2021/7/23组的分类组的特点组是用户的集合，组成员需要存取组内的共享文件每个用

5、户至少属于一个组，同时也可以充当多个组的成员用户可以存取自己组集合(groupset)中的共享文件，列出组集合可用groups或者setgroups命令文件主修改主组可用newgrp或setgroups命令2021/7/23分组策略组的划分尽量与系统的安全性策略相一致，不要定义太多的组，如果按照数据类型和用户类型的每种可能组合来划分组，又将走向另一个极端，会使得日常管理过于复杂每个组可以任命一到多个组管理员，组管理员有权增减组成员和任命本组的管理员2021/7/23用户组系统管理员按照用户共享文件的需要创建的，例如同一部门，同一工程组的

6、成员所创建的组系统管理员组系统管理员自动成为system组的成员，该组的成员可以执行某些系统管理任务而无需是root用户三种类型组系统定义的组系统预先定义了几个组，如staff是系统中新创建的非管理用户的缺省组，security组则可以完成有限的安全性管理工作。其他系统定义的组用来控制一些子系统的管理任务2021/7/23组的划分在AIX系统中，一些组的成员如system、security、printq、adm等能够执行特定的系统管理任务2021/7/23system管理大多数系统配置和维护标准软硬件printq管理打印队列。该组成员有

7、权执行的典型命令有enable、disable、qadm、qpri等security管理用户和组、口令和控制资源限制。该组成员有权执行的典型命令有mkuser、rmuser、pwdadm、chuser、chgroup等系统定义的组2021/7/23adm执行性能、cron、记帐等监控功能staff为所有新用户提供的缺省的组，管理员可以在文件/usr/lib/security/mkuser.defaults中修改该设置audit管理事件监视系统系统定义的组(2)2021/7/23用户划分root用户管理用户普通用户2021/7/23roo

8、t用户超级用户（特权用户）可执行所有的系统管理工作，不受任何权限限制大多数系统管理工作可以由非root的其他用户来完成，如指定的system、security、printq、cron、adm、audit组的