Linux 系統管理入門：安全性、用戶管理與權限設定指南

A. 不容易找到目標應用的設定檔

B. 不易維護（因為應用的設定分離到不同目錄中）

● 有時設定子目錄會將檔名取為 /etc/<設定檔>.d，.d 代表的就是目錄

● 可設定、不可設定的檔案？

● /etc 目錄下放置的都是 可制定（客制）的設定檔

● /usr 目錄下放置的則是不可設定檔（應用程式的相關細節）

內容包含傳統規則（由選擇符 selector、操作 action 組成），也包含了 rsyslogd 的擴充規則（規則以 $ 開頭）

# rsyslog 格式

<selector>            <action>

● 選擇符 selector：選擇符由兩個成分組成，分別是「設備」、「優先級」（可設定多個），* 代表萬用符

如果設定為 none 則代表不輸出

● 操作action：不一定是寫日誌，也可以用來發訊息

cat /etc/rsyslog.conf

cat /etc/rsyslog.conf

可從上圖中我們還可以看到，它會設定生成的 Log 檔案的 FileOwner 檔案設定為 root，FileGroup 為 adm 群組...等等

這裡所說的是「Log 紀錄文件」的權限設置

● 更多的 rsyslogd 設定可以查看 rsyslogd(5)

以下範例對 daemon.debug 寫入資料

# 寫入日誌
logger -p daemon.debug check log... 123

logger -p daemon.debug check log... 456

# 查看日誌 (只看最後兩筆)
sudo cat /var/log/daemon.log | tail -n 2

dmesg 命令就是顯示從日誌中獲取的訊息

// 概念程式

Map<"UserName", "UUID">    // 紀錄 UserName 對應 UID

● 系統用戶：UID 在 500 以下

● 普通用戶：UID 在 500 以上

## 輸出格式
root:x:0:0:root:/root:/bin/bash

對應訊息（每個訊息之間使用 : 隔開數據）

● root 用戶 UID、GID 固定是 0

● /etc/passwd 文件是全域文件，盡量不要去手動修改它，否則可能導致某修用戶無法登入

可以使用其他 shell 工具去操作帳戶

## 查看文件
sudo cat /etc/shadow

其中內容會保存每個用戶的使用紀錄、限制，其格式如下

## 輸出格式

alien:$y$j9T$MIPKSjvDFVS24HA8OhEOs0$FHW29Tbal1faccdcCYERau3xGHHAP1Z199.zp8KEl98:19409:0:99999:7:::

對應訊息（每個訊息之間使用 : 隔開數據）

● /etc/shadow 文件為密碼儲存提供靈活的方法、函數庫、工具，而之後它還是很快 被 PAM 框架給取代

PAM 沒有引進新的檔案，而是繼續使用 /etc/shadow 檔案，只是 PAM 可以外掛許多身份驗證的插件，並幫我們訪問 /etc/shadow 文件

這裡用「取代」可能不夠正確… 因為 PAM 可以與 /etc/shadow 文件一起使用，但是 PAM 框架的自由度高，導致 PAM 框架的光彩更大，進而掩蓋了 /etc/shadow 文件

A. 查看創建用戶時的預設參數 -D

## 查看創建用戶時給予的預設值 (-D 是 Default 的意思)

useradd -D

B. useradd 預設是「不會創建一個帳戶目錄」，如果要創建帳戶目錄（/home 目錄下）就可以使用 -m 操作

sudo useradd -m account_m

## home 目錄下就會有一個 `account_m`
ls -la /home/

## account_m 目錄下的檔案就是從 `/etc/skel 複製出來的檔案`
ls -la /home/account_m

C. -D 之後接參數就可以修改創建用戶時的預設值

## 改變預設 bash shell

useradd -D -s /bin/tsch

如果 要刪除其他用戶資料則需添加 -r 操作

## 查看所有用戶
tail /etc/passwd

## 刪除 `account_no_options` 用戶
userdel -r account_no_options

## 再次查看是否被刪除
tail /etc/passwd

A. usermod：可以修改大部分 /etc/passwd 中的設定字段，其 options 與 useradd 差不多

B. passwd(修改自己的密碼) & chpasswd(修改其他用戶密碼)：

echo "Account_m:456" > test.txt

sudo chpasswd < test.txt

C. 修改特定用戶訊息 chsh (修改 shell)、chfn（修改 finger 讀取到的數據）、chage（修改帳戶有效日期）

// 概念程式

Map<"群組名" : "GID">    // 紀錄 用戶名對應的 GID

● 新創建的使用者，沒有指定 Group 會怎樣？

這部分到不用擔心，Ubuntu 預設會為每個用戶創建各自的群組

假設你創建了 Apple 帳號，它就會幫你創建一個 Apple 群組

graph LR Shell --> 系統 -.-> |創建帳戶| Apple帳戶 系統 -.-> |創建群組| Apple群組

● Primary group 是一個使用者帳號的主要群組：

● Secondary group 則是其他使用者群組：

## 輸出格式
root:x:0:

對應訊息（每個訊息之間使用 : 隔開數據）

root Group ID 固定是 0

● 請不要直接修改（編輯）這個 /etc/group 文件，可以用 Shell 命令來修改；像是可以用 usermod -aG 來添加用戶的群組

## 將 alien 用戶添加到 account_m 群組中    
usermod -aG account_m alien

## 將 alien 原有的群組移除，將 alien 群組設定為 account_m
usermod -G account_m alien

使用指令修改是一種安全操作

A. Group 密碼：使用 Group 密碼，可以讓非這個 Group 的成員 暫時 成為著個組的成員

B. 在 etc/group 文件中可能會發現，原本應該出現在群組的成員沒有在列表中，這是因為創建群組時，默認群組設置 不會出現在該列表中；

默認群組設置可以用以下指令查看

## 查看默認設置

useradd -D

## 創建 hello_group 群組
sudo groupadd hello_group

tail /etc/group

指定用戶並操作用戶的群組，範例如下

## 將 alien 用戶指定為 hello_group 群組的成員
sudo usermod -G hello_group alien
cat /etc/group | grep hello


## 將 account_m 用戶指定為 hello_group 群組的成員
sudo usermod -G hello_group account_m
cat /etc/group | grep hello

從下圖中，我們可以看到用戶 alien、account_m 都在 hello_group 群組中

● 如果該帳戶已經被登入，並在它登入後才修改群組，那修改後的群組關係必須要 重新登入後才會作用

tail -1 /etc/group

## 將新組名 my_group 設定給 hello_group（取代舊群組名）
sudo groupmod -n my_group hello_group

tail -1 /etc/group

usermod 命令是站在使用者的角度來操作群組，groupmod 命令是直接針對群組設定做操作

ls -l

權限符號就是 前面那一個字串（10 碼組成），下表會介紹常見的權限符號，由左到右來介紹這 10 碼

而其中「文件」、「資料夾」默認的權限並不一樣

umask

touch createFile

mkdir createDir

ls -laF

做 AND 掩碼運算

● umask 預設值

umask 的預設值是由 PAM (Pluggable Authentication Modules) 模組所設定，而不是直接由某個文件設定

PAM 是一種通用的身份驗證架構，它可以讓系統管理員在設定身份驗證機制時更有彈性。在 Ubuntu 22 中，umask 的預設值是由 pam_umask 模組 所控制

● 更改 umask 數值

umask 的預設值，可以編輯 /etc/login.defs 文件，並修改其中的 UMASK 設定

也可以編輯個別使用者的 ~/.profile 或 ~/.bashrc 文件，並在其中加入 umask 命令來設定使用者的 umask 值

A. 直接指定：一般使用方式就是直接指定 8 進位權限

## 修改 createFile 權限為 777

chmod 777 createFile

B. 透過符號：透過符號來操作檔案、文件權限，以下列出幾個常見的設定選項

格式：chgrp group file

ls -laF createFile

## 改變文件所群組
sudo chgrp MyNewAccount createFile

ls -laF 

格式：chown options owner[.group] file

可以使用 -R 遞歸設定資料夾內所有的文件

ls -laF createFile

## 改變文件所屬
sudo chown MyNewAccount createFile

ls -laF createFile

chown 命令也可以只修改文件 Group

sudo groupadd MyNewGroup

ls -laF createFile

## 修改檔案群組
sudo chown .MyNewGroup createFile

ls -laF createFile

● 一次性修改 Owner & Group，只需要在指定 Owner 時在後面加上 . 就會連同 Group 一起修改為當前登入用戶的 Group

sudo chown alien. createFile

那第一個碼（數字）就是文件的額外訊息；每個文件、目錄還儲存了 額外的 3 個額外訊息

使用命令 chmod 就可以啟用 SGID，它可以強制讓該目錄下創建的文件都設定為該目錄的所屬群；其第一碼對應的八進位跟意義如下

創建共享文件的範例如下…

## 創建共用資料夾
mkdir share_dir

## 查看該資料夾的詳細資訊
ls -ld share_dir

## 創建共享的群組 share_group
sudo groupadd share_group

## 改變資料夾的群組
sudo chgrp share_dir ./share_dir

## 確認該資料夾是否已改變群組
ls -ld share_dir

## 設置 share_dir 的 SGID
sudo chmod g+s ./share_dir/

## 確認該資料夾是否已改變 SGID 設置
ls -ld share_dir

設定成功後 ./share_dir/ 資料夾 x 會轉變成 s

在分享資料夾下創建文件，就會發現該文件的預設群組就變成 share_group

## 在共享資料夾創建文件
touch ./share_dir/testFile

## 查看該文件的群組
ls -l ./share_dir/testFile

在這個主題中，你可以探索各種 Linux 環境、服務和管理相關的重要概念…

● 了解 Linux 組成：內核責任、GNU 工具、桌面環境 | 基礎版到發行版

在這裡，你將了解 Linux 系統的基本組成部分，包括內核、GNU 工具和桌面環境，並了解不同 Linux 發行版之間的差異

● 探索 X Window 服務與桌面環境：Linux 視窗 XWindow 服務、D-Bus 機制

這裡探討了 Linux 系統中 X Window 服務和 D-Bus 機制的工作原理，讓你深入了解桌面環境的背後運作方式

● Linux 系統管理入門：安全性、用戶管理與權限設定指南

在這個指南中，你將學習如何管理 Linux 系統，包括安全性、用戶管理和權限設定，以確保系統的安全和有效運作

● 認識身份驗證與權限管理：UNIX UID、使用者驗證與 PAM | PAM 設定

這裡介紹了 UNIX 系統中的身份驗證機制和權限管理方式，包括 UNIX UID、使用者驗證和 PAM（Pluggable Authentication Modules）設定

這個主題涵蓋了各種與 Linux Shell 相關的知識，從基礎到進階都有…

● Shell 基礎知識：包括 Shell 的基礎使用以及差異，還有變數以及計算

● Shell 結構化

● Shell script 進階

最後，這個主題涵蓋了 Linux 系統中硬體結構相關的重要概念…

● Shell 文件和目錄操作的常用命令和技巧 | 尋找檔案

這裡介紹了 Shell 中常用的文件和目錄操作命令，包括如何尋找文件和管理文件系統

● 深入探索 Linux 文件系統與硬體管理 | 分區、檔案系統、邏輯卷 | inode

學習如何管理 Linux 文件系統，包括分區、文件系統和邏輯卷等相關概念，以及文件系統中的 inode 機制

● 理解 Unix/Linux 設備偵測、建立 | 認識與使用 udevd | SCSI 與 Linux 核心

這裡介紹了 Unix/Linux 系統中的設備偵測和管理，包括如何使用 udevd 和 SCSI 相關的 Linux 核心知識