1. 用户相关配置文件
A） /etc/passwd 文件是什么 /etc/passwd 是系统识别用户的一个文件，做个不恰当的比喻， /etc/passwd 是一个花名册，系统所有的用户都在这里有登录记载；当我们以 intern01 这个账号登录时，系统首先会查阅 /etc/passwd 文件，看是否有 intern01 这个账号，然后确定 intern01 的 UID，通过 UID 来确认用户和身 份，如果存在则读取/etc/shadow 影子文件中所对应的 intern01 的密码；如果 密码核实无误则登录系统，读取用户的配置文件； B） /etc/passwd 的 7 个字段 在/etc/passwd 中，每一行都表示的是一个用户的信息；一行有 7 个字 段；每个字段用:号分割，比如下面是我的系统中的/etc/passwd 的两行； intern01:x:500:500:张三:/home/intern01:/bin/bash intern02:x:501:502::/home/intern02:/bin/bash 第一字段： 用户名， 在上面的例子中，我们看到这两个用户的用户名分别 是 intern01 和 intern02； 第二字段： 密码；在例子中我们看到的是一个 x，其实密码已被映射到 /etc/shadow 文件中； 第三字段： UID ；请参看本文的 UID 的解说； 第四字段： GID；请参看本文的 GID 的解说； 第五字段： 用户名全称，这是可选的，可以不设置，在 intern01 这个用户 中，用户的全称是张三 ；而 intern02 这个用户没有全称； 第六字段： 用户的家目录所在位置； intern01 这个用户是/home/ intern01 ，而 intern02 这个用户是/home/ intern02 ; 第七字段： 用户所用 SHELL 的类型， intern01 和 intern02 都用的是 bash ；所以为/bin/bash 。 C） /etc/shadow 文件 /etc/shadow 文件是/etc/passwd 的影子文件，这个文件并不由 /etc/passwd 而产生的，这两个文件是应该是对应互补的； shadow 内容包括 用户及被加密的密码以及其它/etc/passwd 不能包括的信息，比如用户的有效 期限等；这个文件只有 root 权限可以读取和操作，权限如下： -r-------- 1 root root 1.5K 10 月 16 09:49 /etc/shadow /etc/shadow 的权限不能随便改为其它用户可读，这样做是危险的。如果 你发现这个文件的权限变成了其它用户组或用户可读了，要进行检查，以防系 统安全问题的发生；如果我们以普通用户查看这个文件时，应该什么也查看不 到，提示是权限不够： [intern01 ~]$ more /etc/shadow /etc/shadow: 权限不够 D） /etc/shadow 的 9 个字段 /etc/shadow 文件的内容包括 9 个段位，每个段位之间用:号分割；我们以 如下的例子说明。 intern01:$1$VE.Mq2Xf$2c9Qi7EQ9JP8GKF8gH7PB1:16662:0:99999:7::: intern02:$1$IPDvUhXP$8R6J/VtPXvLyXxhLWPrnt/:16662:0:99999:7::16668: 第一字段： 用户名（也被称之为登录名），在例子中有两条记录，也表示 有两个用户 intern01 和 intern02 第二字段： 被加密的密码，如果有的用户在此字段中是 x，表示这个用户不 能登录系统，也可以看作是虚拟用户，不过虚拟用户和真实用户都是相对 的，系统管理员随时可以对任何用户操作； 第三字段： 表示上次更改口令的天数（距 1970 年 01 月 01 日），上面的 例子能说明 intern01 和 intern02 这两个用户，是在同一天更改了用户密 码，当然是通过 passwd 命令来更改的，更改密码的时间距 1970 年 01 月 01 日的天数为 13072； 第四字段： 禁用两次口令修改之间最小天数的功能，设置为 0 第五字段： 两次修改口令间隔最多的天数，在例子中都是 99999 天；这个 值如果在添加用户时没有指定的话，是通过/etc/login.defs 来获取默认 值， PASS_MAX_DAYS 99999； 你可以查看/etc/login.defs 来查看，具体 的值； 第六字段： 提前多少天警告用户口令将过期；当用户登录系统后，系统登 录程序提醒用户口令将要作废；如果是系统默认值，是在添加用户时由 /etc/login.defs 文件定义中获取，在 PASS_WARN_AGE 中定义；在例子 中的值是 7 ，表示在用户口令将过期的前 7 天警告用户更改期口令； 第七字段： 在口令过期之后多少天禁用此用户；此字段表示用户口令作废 多少天后，系统会禁用此用户，也就是说系统会不能再让此用户登录，也 不会提示用户过期，是完全禁用；在例子中，此字段两个用户的都是空 的，表示禁用这个功能； 第八字段： 用户过期日期；此字段指定了用户作废的天数（从 1970 年的 1 月 1 日开始的天数），如果这个字段的值为空，帐号永久可用；在例子 中，我们看到 intern01 这个用户在此字段是空的，表示此用户永久可用； 而 intern02 这个用户表示在距 1970 年 01 月 01 日后 16668 天后过期，算 起来也就是 2010 年 11 月 21 号过期 第九字段： 保留字段，目前为空，以备将来 Linux 发展之用； 2. 用户组相关配置文件 A） /etc/group 文件 /etc/group 文件是用户组的配置文件，内容包括用户和用户组，并且能显 示出用户是归属哪个用户组或哪几个用户组，因为一个用户可以归属一个或多 个不同的用户组；同一用户组的用户之间具有相似的特征。比如我们把某一用 户加入到 root 用户组，那么这个用户就可以浏览 root 用户家目录的文件，如果 root 用户把某个文件的组读写执行权限开放， root 用户组的所有用户都可以修 改此文件，如果是可执行的文件（比如脚本）， root 用户组的用户也是可以执 行的； 用户组的特性在系统管理中为系统管理员提供了极大的方便，但安全性也 是值得关注的，如某个用户下有对系统管理有最重要的内容，最好让用户拥有 独立的用户组，或者是把用户下的文件的权限设置为完全私有；另外 root 用户 组一般不要轻易把普通用户加入进去。 B） /etc/group 的 4 个字段 /etc/group 的内容包括用户组（Group） 、用户组口令、 GID 及该用户组 所包含的用户（User）， 每个用户组一条记录； 格式如下： group_name:passwd:GID:user_list 在/etc/group 中的每条记录分四个字段： 第一字段： 用户组名称； 第二字段： 用户组密码； 第三字段： GID 第四字段： 用户列表，每个用户之间用,号分割；本字段可以为空；如果字 段为空表示用户组为 GID 的用户名； 我们举个例子： root:x:0:root,intern02 #用户组 root， x 是密码段，表示没有设置密码， GID 是 0,root 用户组下包括 root、 intern02 以及 GID 为 0 的其它用户（可以通过/etc/passwd 查看） intern01:x:500:intern02 #用户组 intern01， x 是密码段，表示没有设置密码， GID 是 500,intern01 用户组下包括 intern02 用户及 GID 为 500 的用户（可以通过/etc/passwd 查看） intern02:x:502:intern02 #用户组 intern02， x 是密码段，表示没有设置密码， GID 是 502,intern02 用户组下包用户 intern02 及 GID 为 502 的用户（可以通过/etc/passwd 查看） helloer:x:503: #用户组 helloer， x 是密码段，表示没有设置密码， GID 是 503,helloer 用户组下包括 GID 为 503 的用户，可以通过/etc/passwd 查看 而/etc/passwd 对应的相关的记录为： root:x:0:0:root:/root:/bin/bash intern01:x:500:500:intern01 sun:/home/intern01:/bin/bash intern02:x:505:502:intern02 open,intern02 office,13898667715:/home/intern02:/bin/bash helloer:x:502:503::/home/helloer:/bin/bash 由此可以看出 helloer 用户组包括 helloer 用户；所以我们查看一个用户组 所拥有的用户，可以通过对比/etc/passwd 和/etc/group 来得到。 C） /etc/gshadow 文件 /etc/gshadow 是/etc/group 的加密文件， 比如用户组（Group） 管理密码 就是存放在这个文件。 /etc/gshadow 和/etc/group 是互补的两个文件；对于 大型服务器，针对很多用户和组，定制一些关系结构比较复杂的权限模型，设 置用户组密码是极有必要的。比如我们不想让一些非用户组成员永久拥有用户 组的权限和特性，这时我们可以通过密码验证的方式来让某些用户临时拥有一 些用户组特性，这时就要用到用户组密码。 D） /etc/gshadow 的 4 个字段 /etc/gshadow 格式如下，每个用户组独占一行，我们举例来说明： intern01:!::intern02 intern02:oUS/q7NH75RhQ::intern02 第一字段： 用户组名 第二字段： 用户组的密码， intern01 用户组无密码； intern02 用户组有已 经，已经加密； 第三字段： 用户组管理者，两者都为空； 第四字段： intern01 用户组所拥有的成员是 intern02 ，然后还要对照一下 /etc/group 和/etc/passwd 查看是否还有其它用户，一般默认添加的用 户，有时同时也会创建用户组和用户名同名称； intern02 用户组有成员 intern02。
