centos镜像如何管理用户权限

在CentOS镜像（如Docker镜像或虚拟机镜像）中管理用户权限，需围绕用户账户、组、文件权限、sudo权限及高级安全机制展开，以下是具体步骤：

创建用户：使用useradd命令，常用参数包括-m（自动创建主目录）、-G（添加附加组）。例如创建用户appuser并加入developers组：
```
sudo useradd -m -G developers appuser
```
设置密码：通过passwd命令为用户设置密码：
```
sudo passwd appuser
```
删除用户：使用userdel命令，-r参数可同时删除主目录及邮件池：
```
sudo userdel -r appuser
```
修改用户信息：usermod命令可调整用户名、主目录、默认Shell等。例如将appuser的主目录改为/opt/appuser：
```
sudo usermod -d /opt/appuser appuser
```

创建用户组：使用groupadd命令创建组，例如创建devops组：
```
sudo groupadd devops
```
添加/移除用户到组：usermod -aG将用户添加到附加组（-a表示追加，避免覆盖原有组）；gpasswd -d从组中移除用户。例如将appuser加入devops组：
```
sudo usermod -aG devops appuser
```
删除用户组：groupdel命令删除组，若组为用户的主组则需先删除用户：
```
sudo groupdel devops
```

修改所有者/组：chown命令更改文件/目录的所有者及所属组，-R参数递归处理子目录。例如将/var/www/html的所有者设为appuser，组设为developers：
```
sudo chown -R appuser:developers /var/www/html
```
设置权限：chmod命令通过符号或数字设置权限。例如：
- 数字模式：755（所有者可读写执行，组及其他用户可读执行）；
- 符号模式：u+x（给所有者添加执行权限）。
  示例：将script.sh设为750权限：
```
sudo chmod 750 script.sh
```
权限掩码（umask）：umask设置新建文件的默认权限（如umask 022表示文件默认权限为644，目录为755）。

将用户加入sudo组：CentOS中wheel组默认拥有sudo权限，通过usermod将用户加入该组：
```
sudo usermod -aG wheel appuser
```
自定义sudo规则：使用visudo命令安全编辑/etc/sudoers文件，避免语法错误。例如允许appuser无需密码重启httpd服务：
```
sudo visudo
```
添加以下行：
```
appuser ALL=(ALL) NOPASSWD: /usr/sbin/systemctl restart httpd
```

SELinux配置：SELinux提供强制访问控制（MAC），可通过以下命令管理：
- 查看状态：sestatus（Enforcing为启用，Permissive为宽松模式）；
- 临时设置模式：sudo setenforce 0（Permissive）、sudo setenforce 1（Enforcing）；
- 永久设置：修改/etc/selinux/config文件中的SELINUX=参数（如SELINUX=permissive）。
ACL（访问控制列表）：为特定用户或组设置更细粒度的权限，需先启用ACL：
- 启用ACL：sudo tune2fs -o acl /dev/sdXn（替换为实际分区）；
- 设置ACL：setfacl -m u:appuser:rwx /path/to/file（给appuser添加读写执行权限）。

密码策略：使用chage命令设置密码有效期，例如要求用户appuser每90天更换密码，过期前7天提醒：
```
sudo chage -M 90 -W 7 appuser
```

审计日志：通过auditd服务监控用户操作，安装并配置：

sudo yum install audit -y
sudo systemctl enable auditd && sudo systemctl start auditd

添加审计规则（如监控/etc/passwd文件的修改）：

sudo auditctl -w /etc/passwd -p wa -k passwd_changes

以上步骤覆盖了CentOS镜像中用户权限管理的核心场景，操作时需遵循最小权限原则（仅授予用户必要的权限），避免过度授权导致安全风险。

最新问答