24.11.07 用户管理补充

sudo

提权，用于普通用户
普通用户可以临时成为root，去运行对应的命令
类似于皇帝给大臣尚方宝剑
需要root用户去配置，普通用户进行使用

eg：授权oldboy用户，以root权限运行tail，cat，less，head，more，grep
1、先给oldboy用户设置一个密码
[root@oldboyedu ~]# echo 'Lidao996' | passwd --stdin oldboy 
更改用户 oldboy 的密码 。
passwd：所有的身份验证令牌已经成功更新。
#注意，要区分大小写，密码不能含有需要更改的用户名，需要包含三种符号，六位及以上
2、root授权，visudo，相当于运行vi /etc/sudoers
[root@oldboyedu ~]# visudo
100gg回车，写入
oldboy ALL=(ALL) /bin/tail, /bin/grep, /bin/less, /bin/more
, /bin/cat
3、oldboy测试
#进入oldboy
[root@oldboyedu ~]# su - oldboy 
-bash: /etc/profile: Permission denied
#查看授权
[oldboy@oldboyedu ~]$ sudo -l

我们信任您已经从系统管理员那里了解了日常注意事项。
总结起来无外乎这三点：

    #1) 尊重别人的隐私。
    #2) 输入前要先考虑(后果和风险)。
    #3) 权力越大，责任越大。

[sudo] oldboy 的密码：
匹配 %2$s 上 %1$s 的默认条目：
    !visiblepw, always_set_home, match_group_by_gid,
    always_query_group_plugin, env_reset, env_keep="COLORS
    DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
    env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS
    LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION
    LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY
    LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE",
    env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS
    _XKB_CHARSET XAUTHORITY",
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

用户 oldboy 可以在 oldboyedu 上运行以下命令：
    (ALL) /bin/tail, /bin/grep, /bin/less, /bin/more,
        /bin/cat  #，后须有一个空格
#以sudo 命令 以root权限运行命令
[oldboy@oldboyedu ~]$ sudo cat /var/log/secure | tail -5
Nov  5 23:54:25 oldboyedu su[9812]: pam_unix(su-l:session): session closed for user oldboy
Nov  5 23:55:52 oldboyedu su[9947]: pam_unix(su-l:session): session opened for user oldboy(uid=1003) by root(uid=0)
Nov  5 23:56:23 oldboyedu sudo[10011]:  oldboy : TTY=pts/0 ; PWD=/home/oldboy ; USER=root ; COMMAND=/usr/bin/cat /var/log/secure
Nov  5 23:56:23 oldboyedu sudo[10011]: pam_unix(sudo:session): session opened for user root(uid=0) by root(uid=0)
Nov  5 23:56:23 oldboyedu sudo[10011]: pam_unix(sudo:session): session closed for user root

ubt配置visudo默认使用的是nano编辑器

nano编辑器是最简单的一种编辑器，进去就可以直接编辑
因此需要先将编辑器换成vim
1、先编辑vim /etc/sudoers
2、在Defaults开头添加一行即可
Defaults  evn_editor,editor=/bin/vim  #=号前后无空格
保存退出
:wq! 强制保存退出
 
root@oldboy:~# vim /etc/sudoers
Defaults    env_editor,editor=/bin/vim
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin
:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin"
Defaults        use_pty

授权oldboy所有命令不需要输入密码

用root，visudo授权
oldboy  ALL=(ALL)  NOPASSWD: ALL
ALL=(ALL)  即所有主机=（任何用户）

[root@oldboyedu ~]# visudo
#oldboy ALL=(ALL) /bin/tail, /bin/grep, /bin/less, /bin/mor
e, /bin/cat
oldboy ALL=(ALL)  NOPASSWD: ALL

别名

给危险命令配置别名，配置别名提升便捷性
给命令设置。alias命令配置别名或查看
给rm命令配置别名，运行rm执行echo输出pls do not use rm

1、命令配置（临时）
用法： alias 别名=‘命令或脚本’
[root@oldboyedu ~]# alias rm='echo pls do not use rm'
[root@oldboyedu ~]# alias rm
alias rm='echo pls do not use rm'
[root@oldboyedu ~]# rm
pls do not use rm
[root@oldboyedu ~]# rm wang.txt 
pls do not use rm wang.txt
[root@oldboyedu ~]# \rm wang.txt   #\表示取消赋予的作用，执行原作用

2、修改/etc/profile
写入文件末尾
[root@oldboyedu ~]# vim /etc/profile
alias rm='echo pls do not use rm'
[root@oldboyedu ~]# source /etc/profile
[root@oldboyedu ~]# alias rm
alias rm='echo pls do not use rm'
 
出现这个[root@oldboyedu ~]# source /etc/profile
-bash: /etc/profile: 权限不够
表示不小心把[root@oldboyedu ~]# vim /etc/profile
 #/etc/profile
即/etc/profile前的井号删了

3、排坑（仅限于rm，cp，mv的别名）
[root@oldboyedu ~]# vim ~/.bashrc
找到alias 命令相对应的行，开头加#注释掉

4、重新登录Linux测试
alias rm

给grep，egrep配置颜色

[root@oldboyedu ~]# alias grep='grep --color'
[root@oldboyedu ~]# alias egrep='egrep --color'

md5，aide

MD5,用来效验文件是否发生了变化

[root@oldboyedu ~]# md5sum wang.txt 
d41d8cd98f00b204e9800998ecf8427e  wang.txt
[root@oldboyedu ~]# md5sum wang.txt  > zhiwen.md5
[root@oldboyedu ~]# md5sum  --check zhiwen.md5 
wang.txt: 成功
[root@oldboyedu ~]# echo lidao > wang.txt 
[root@oldboyedu ~]# md5sum  --check zhiwen.md5  #-c相当于--check
wang.txt: 失败
md5sum: 警告：1 个校验和不匹配

aide有配置文件指定监控那些文件和目录

#1、安装aide
[root@oldboyedu ~]# yum install -y aide

#2、修改配置文件
修改/etc/aide.conf
原始内容：database_out=file:@@{DBDIR}/aide.db.new.gz
修改后：database_out=file:@@{DBDIR}/aide.db.gz
从有的目录行一直删除到末尾
添加上
/bin/ FIPSR  #记得F前有空格，不然报错
/sbin/ FIPSR  #记得F前有空格，不然报错 
/etc/ FIPSR  #记得F前有空格，不然报错

#3、aide --init 根据目录创建指纹信息
aide --init
#4.进行检查

FIPSR = p+i+n+u+g+s+m+c+acl+selinux+xattrs+sha256
做校验的时候，收集的信息
核心： sha256 内容
p  权限
i  inode
n  硬链接数 
u  uid 
g  gid 
s  大小
m  修改时间
c  属性改变时间
acl+selinux+xattrs   特殊权限属性
aide --init  --config /etc/aide/aide.conf  #仅限ubt

堡垒机

安全防护：审计功能，操作记录检查
堡垒机（理解）
demo.jumpserver.org  网站
避免用户直接远程登录linux，用户需要通过堡垒机页面远程连接Linux，并记录
功能：远程连接，操作记录，命令记录，回放，用户权限设置