Учётные записи

1.1 Кто работает в системе

Linux с самого начала создавался как система для многих пользователей. На одном сервере одновременно работают разработчики, база данных, веб-сервер и служба резервного копирования, и у каждого из них свои файлы и свои права. Чтобы отличать их друг от друга, система ведёт учётные записи.

Внутри системы пользователь — это прежде всего номер UID (user identifier). Имя нужно людям, а ядро сравнивает номера: в свойствах файла записан UID владельца, у процесса — UID того, кто его запустил. Номер группы называется GID (group identifier).

Сравнить можно с пропуском в офисное здание. На пропуске есть фамилия, но турникет проверяет номер карты. Два пропуска с одной фамилией турникет различит, а один номер на двух картах он будет считать одним человеком.

Команда whoami выводит имя текущего пользователя. Команда id выводит все номера сразу: UID, GID основной группы и список всех групп, в которых пользователь состоит. В Live-сеансе Ubuntu пользователь называется ubuntu и имеет UID 1000. У суперпользователя root UID всегда равен 0.

12345

1. 1имя текущего пользователя
2. 2UID — номер пользователя
3. 3GID — номер основной группы
4. 4groups — все группы пользователя
5. 5у root UID 0

Весь снимок ↗

whoami и id: имя, номер пользователя, основная группа и все группы.

Что показывает снимок. Текущий пользователь — ubuntu с UID 1000; основная группа ubuntu, всего девять групп; у root UID и GID равны 0.

Где это пригодится. Команду id выполняют первой, когда не хватает прав: по списку групп видно, есть ли у пользователя нужная группа.

1.2 Файл /etc/passwd

Учётные записи хранятся в текстовом файле /etc/passwd, по одной строке на запись. На прошлом занятии мы открывали его описание командой man 5 passwd. Строка состоит из семи полей, разделённых двоеточием.

Команда getent passwd имя выводит строку из базы учётных записей. Она читает и /etc/passwd, и другие источники, например сетевой каталог пользователей в организации, поэтому в скриптах предпочитают её. Команда cut -d: -f1,3,7 вырезает из строк поля 1, 3 и 7: -d: задаёт разделитель, -f — номера полей.

123456789

1. 1имя входа
2. 2x — пароль хранится в /etc/shadow
3. 3UID
4. 4GID основной группы
5. 5комментарий
6. 6домашний каталог
7. 7оболочка
8. 8в файле 50 учётных записей
9. 9системные записи с оболочкой nologin

Весь снимок ↗

Строка учётной записи ubuntu по полям; число записей в /etc/passwd.

Что показывает снимок. Строка ubuntu в базе учётных записей состоит из семи полей; в /etc/passwd 50 записей, у большинства оболочка nologin.

Где это пригодится. По строке учётной записи администратор узнаёт домашний каталог и оболочку пользователя и проверяет, может ли он входить в систему.

1.3 Служебные учётные записи

Оболочка /bin/bash в Live-сеансе есть только у двух записей — root и ubuntu, а всего записей в файле пятьдесят. Остальные записи служебные: от их имени работают программы. Веб-сервер работает от имени www-data, журнал ведёт syslog, время синхронизирует systemd-timesync.

Служебные записи нужны для разграничения доступа между программами. Если веб-сервер работает от имени www-data, то ошибка в нём даёт доступ только к файлам, которые принадлежат www-data; остальные файлы системы для него закрыты. У служебных записей UID меньше 1000, а вместо оболочки указана программа /usr/sbin/nologin: она печатает отказ и завершает сеанс, поэтому войти в систему под такой записью нельзя.

Команда ps -eo user= выводит владельца каждого процесса системы; sort сортирует список, а uniq -c считает одинаковые строки подряд. В результате видно, от имени каких учётных записей работают процессы.

1234567

1. 1у root и ubuntu оболочка /bin/bash
2. 239 записей с nologin
3. 3UID 33 — служебная запись www-data
4. 4домашний каталог веб-сервера
5. 5nologin: войти под этой записью нельзя
6. 6процессы root
7. 7процессы пользователя ubuntu

Весь снимок ↗

Оболочка bash у двух записей, nologin у служебных; процессы по учётным записям.

Что показывает снимок. Оболочка bash есть только у root и ubuntu; 39 записей не могут входить в систему; процессы работают от имени root, ubuntu и служебных записей.

Где это пригодится. Если служба ведёт себя странно, по ps проверяют, от имени какой учётной записи она работает и к каким файлам поэтому имеет доступ.