第十四章、 Linux 帳號與身份管理 - for Fedora Core 4

1. 先找尋 /etc/passwd 裡面是否有這個帳號？如果沒有則跳出，如果有的話則將該帳號對應的 UID ( User ID )與 GID ( Group ID )讀出來，另外，該帳號的家目錄與 shell 設定也一併讀出；
2. 再來則是核對密碼表啦！這時 Linux 會進入 /etc/shadow 裡面找出對應的帳號與 UID，然後核對一下你剛剛輸入的密碼與裡頭的密碼是否相符？
3. 如果一切都 OK 的話，就進入 Shell 控管的階段囉！

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin

1. 帳號名稱：就是帳號名稱啦！對應 UID 用的！例如 root 就是預設的系統管理員的帳號名稱；


2. 密碼：早期的 Unix 系統的密碼是放在這個檔案中的， 但是因為這個檔案的特性是所有的程序都能夠讀取，所以，這樣一來很容易造成資料的被竊取， 因此後來就將這個欄位的密碼資料給他改放到 /etc/shadow 中了，關於 /etc/shadow 這一部份等一下再說。而這裡你會看到一個 x ，呵呵！別擔心，這表示密碼已經被移動到 shadow 這個加密過後的檔案囉；


3. UID：這個就是使用者識別碼 (ID) 囉！通常 Linux 對於 UID 有幾個限制需要說給您瞭解一下：

id 範圍	該 ID 使用者特性
0	當 UID 是 0 時，代表這個帳號是『系統管理員』！所以當你要作另一個系統管理員帳號時， 你可以將該帳號的 UID 改成 0 即可；這也就是說，一部系統上面的系統管理員不見得只有 root 喔！ 不過，不很建議有多個帳號的 UID 是 0 啦～
1~499	保留給系統使用的 ID，其實 1~65534 之間的帳號並沒有不同， 也就是除了 0 之外，其他的 UID 並沒有不一樣，預設 500 以下給系統作為保留帳號只是一個習慣。這樣的好處是，以有名的 DNS 伺服器的啟動服務『 named 』為例，這個程式的預設所有人 named 的帳號 UID 是 25 ，當有其他的帳號同樣是 25 時，很可能會造成系統的一些小問題！為了杜絕這樣的問題，建議保留 500 以前的 UID 給系統吧！ 不過，一般來說， 1~99 會保留給系統預設的帳號，另外 100~499 則保留給一些服務來使用。
500~65535	給一般使用者用的。事實上，目前的 linux 核心 (2.6.x 版)已經可以支援到 4294967295 (2^32-1) 這麼大的 UID 號碼喔！


上面這樣說明可以瞭解了嗎？是的， UID 為 0 的時候，就是 root 呦！所以請特別留意一下你的 /etc/passwd 檔案！


4. GID：這個與 /etc/group 有關！其實 /etc/group 的觀念與 /etc/passwd 差不多，只是他是用來規範 group 的而已！


5. 使用者資訊說明欄：這個欄位基本上並沒有什麼重要用途， 只是用來解釋這個帳號的意義而已！不過，如果您提供使用 finger 的功能時， 這個欄位可以提供很多的訊息呢！底下的 chfn 可以解釋一下囉！


6. 家目錄：這是使用者的家目錄，以上面為例， root 的家目錄在 /root ，所以當 root 登入之後，就會立刻跑到 /root 裡頭啦！呵呵！ 如果你有個帳號的使用空間特別的大，你想要將該帳號的家目錄移動到其他的硬碟去， 沒有錯！可以在這裡進行修改呦！預設的使用者家目錄在 /home/yourIDname


7. Shell：所謂的 shell 是用來溝通人類下達的指令與硬體之間真正動作的界面！我們通常使用 /bin/bash 這個 shell 來進行指令的下達！嘿嘿！發現了吧？我們在 bash 章節裡面提到很多次，登入 Linux 時為何預設是 bash 呢？就是這裡設定的啦～ 這裡比較需要注意的是，有一個 shell 可以用來替代成讓帳號無法登入的指令！那就是 /sbin/nologin 這個東西！這也可以用來製作純 pop 郵件帳號者的資料呢！

root:$1$i9Ejldjfjio389u9sjl$jljsoi45QE/:12959:0:99999:7:::
bin:*:12959:0:99999:7:::
daemon:*:12959:0:99999:7:::
adm:*:12959:0:99999:7:::

1. 帳號名稱：由於密碼也需要與帳號對應啊～因此， 這個檔案的第一欄就是帳號，必須要與 /etc/passwd 相同才行！


2. 密碼：這個才是真正的密碼，而且是 經過編碼過的密碼啦！ 你只會看到有一些特殊符號的字母就是了！需要特別留意的是， 雖然這些加密過的密碼很難被解出來，但是『很難』不等於『不會』，所以， 這個檔案的預設屬性是『-rw-------』或者是『-r--------』，亦即只有 root 才可以讀寫就是了！你得隨時注意，不要不小心更動了這個檔案的屬性呢！另外， 如果是在密碼欄的第一個字元為『 * 』或者是『 ! 』，表示這個帳號並不會被用來登入的意思。 所以萬一哪一天你的某個使用者不乖時，可以先在這個檔案中，將他的密碼欄位的最前面多加一個 * ！嘿嘿！他就無法使用該帳號囉！直到他變乖了，再給他啟用啊！


3. 最近更動密碼的日期：這個欄位記錄了『更動密碼的那一天』的日期， 不過，很奇怪呀！在我的例子中怎麼會是 12959 呢？呵呵，這個是因為計算 Linux 日期的時間是以 1970 年 1 月 1 日作為 1 ，而 1971 年 1 月 1 日則為 366 啦！ 所以這個日期是累加的呢！得注意一下這個資料呦！那麼最近的 2005 年 1 月 1 日就是 12784 啦，瞭解了嗎？


4. 密碼不可被更動的天數： 第四個欄位記錄了這個帳號的密碼需要經過幾天才可以被變更！如果是 0 的話， 表示密碼隨時可以更動的意思。這的限制是為了怕密碼被某些人一改再改而設計的！如果設定為 20 天的話，那麼當你設定了密碼之後， 20 天之內都無法改變這個密碼呦！


5. 密碼需要重新變更的天數： 由於害怕密碼被某些『有心人士』竊取而危害到整個系統的安全，所以有了這個欄位的設計。 你必須要在這個時間之內重新設定你的密碼，否則這個帳號將會暫時失效。 而如果像上面的 99999 的話，那就表示，呵呵，密碼不需要重新輸入啦！ 不過，如果是為了安全性，最好可以設定一段時間之後，嚴格要求使用者變更密碼呢！


6. 密碼需要變更期限前的警告期限：當帳號的密碼失效期限快要到的時候， 就是上面那個『必須變更密碼』的那個時間時， 系統會依據這個欄位的設定，發出『警告』言論給這個帳號，提醒他『再過 n 天你的密碼就要失效了，請盡快重新設定你的密碼呦！』，如上面的例子，則是密碼到期之前的 7 天之內，系統會警告該用戶。


7. 密碼過期的恕限時間：如果用戶過了警告期限沒有重新輸入密碼， 使得密碼失效了，也就是說，你在『必須變更密碼的期限前，並沒有變更你的密碼！』 那麼該組密碼就稱為『失效的密碼』囉～怎麼辦？沒關係，還有這個欄位的天數設計啊～ 意思就是說，當密碼失效後，你還可以用這個密碼在 n 天內進行登入的意思。 而如果在這個天數後還是沒有變更密碼，呵呵！那麼您的帳號就失效了！無法登入！


8. 帳號失效日期：這個日期跟第三個欄位一樣，都是使用 1970 年以來的總日數設定。這個欄位表示： 這個帳號在此欄位規定的日期之後，將無法再使用。 這個欄位會被使用通常應該是在『收費服務』的系統中， 你可以規定一個日期讓該帳號不能再使用啦！


9. 保留：最後一個欄位是保留的，看以後有沒有新功能加入。

dmtsai:$1$8zdAKdfC$XDa8eSus2I7nQL7UjRsIy/:13025:5:60:7:2:13125:

• 最近一次更動密碼的日期是 2005/08/30 (13025)；
• 能夠修改密碼的時間是 5 天以後，也就是 2005/09/04 以前 dmtsai 不能修改自己的密碼； 如果使用者還是嘗試要更動自己的密碼，系統就會出現這樣的訊息：
  

  You must wait longer to change your password
  passwd: Authentication token manipulation error
  

• 使用者必須要在 2005/09/04 到 2005/10/29 之間的 60 天限制內去修改自己的密碼，若 2005/10/29 之後還是沒有變更密碼時，該帳號就會宣告失效；
• 如果使用者一直沒有更改密碼，那麼在 2005/10/29 之前的 7 天內，系統會警告 dmtsai 應該修改密碼的相關資訊；例如當 dmtsai 登入時，系統會主動提示如下的資訊：
  

  Warning: your password will expire in 5 days
  

• 如果該帳號一直到 2005/10/29 都沒有更改密碼，由於還有兩天的恕限時間，因此， dmtsai 還是可以在 2005/10/31 以前繼續登入；
• 如果使用者在 2005/10/29 以前變更過密碼，那麼那個 13025 的日期就會跟著改變，因此， 所有的限制日期也會跟著相對變動喔！^_^
• 無論使用者如何動作，到了 13125 ，大約是 2005/12/8 左右，該帳號就失效了～

Tips

常常聽到：我的密碼忘記或者被更動了？怎麼辦？

有的時候會發生這樣的情況，就是說，你的 root 密碼忘記了！要怎麼辦？重新安裝嗎？另外， 有的時候是被入侵了， root 的密碼被更動過，該如何是好？

這個時候就必須要使用到 /etc/shadow 這個資料了！我們剛剛知道密碼是存在這個檔案中的， 所以只要你能夠以各種可行的方法開機進入 Linux ，例如單人維護模式，或者是以 live CD (KNOPPIX) 來進入 Linux 系統。之後，將硬碟順利掛載，然後進入 /etc/shadow 這個檔案中，將 root 的密碼這一欄全部清空！然後再登入 Linux 一次，這個時候 root 將不需要密碼 (有的時候需要輸入空白字元) 就可以登入了！這個時候請趕快以 passwd 設定 root 密碼即可。

root:x:0:root
bin:x:1:root,bin,daemon
daemon:x:2:root,bin,daemon
sys:x:3:root,bin,adm

1. 群組名稱：就是群組名稱啦！


2. 群組密碼：通常不需要設定，因為我們很少使用到群組登入！ 不過，同樣的，密碼也是被紀錄在 /etc/gshadow 當中囉！


3. GID：就是群組的 ID 啊～


4. 支援的帳號名稱：加入這個群組裡面的所有的帳號， 我們知道，一個使用者是可以加入多個群組的。舉例來說，如果我想要讓 dmtsai 也加入 root 這個群組，那麼在第一行的最後面加上『,dmtsai』，注意不要有空格， 使成為『 root:x:0:root,dmtsai』就可以囉～

[root@linux ~]# grep dmtsai /etc/passwd /etc/group /etc/gshadow
/etc/passwd:dmtsai:x:501:501::/home/dmtsai:/bin/bash
/etc/group:users:x:100:dmtsai
/etc/group:dmtsai:x:501:
/etc/gshadow:users:::dmtsai
/etc/gshadow:dmtsai:!::

[dmtsai@linux ~]$ groups
dmtsai users

[dmtsai@linux ~]$ newgrp users
[dmtsai@linux ~]$ groups
users dmtsai

• vbird 這個群組在 /etc/gshadow 的密碼欄為合法的(不具有 ! 開頭！)；
• dmtsai 必須讓 root 或群組管理員 (group administrator) 加入到 vbird 群組中。

root:::root
bin:::root,bin,daemon
daemon:::root,bin,daemon
sys:::root,bin,adm

1. 群組名稱
2. 密碼欄，同樣的，開頭為 ! 表示無法登入；
3. 群組管理員的帳號 (相關資訊在後續介紹)
4. 該群組的所屬帳號 (與 /etc/group 內容相同！)

[root@linux ~]# useradd [-u UID] [-g initial_group] [-G other_group] \
>  -[Mm] [-c 說明欄] [-d home] [-s shell] username
參數：
-u  ：後面接的是 UID ，是一組數字。直接指定一個特定的 UID 給這個帳號；
-g  ：後面接的那個群組名稱就是我們上面提到的 initial group 啦～
      該 group ID (GID) 會被放置到 /etc/passwd 的第四個欄位內。
-G  ：後面接的群組名稱則是這個帳號還可以支援的群組。
      這個參數會修改 /etc/group 內的相關資料喔！
-M  ：強制！不要建立使用者家目錄
-m  ：強制！要建立使用者家目錄！
-c  ：這個就是 /etc/passwd 的第五欄的說明內容啦～可以隨便我們設定的啦～
-d  ：指定某個目錄成為家目錄，而不要使用預設值；
-r  ：建立一個系統的帳號，這個帳號的 UID 會有限制 (/etc/login.defs)
-s  ：後面接一個 shell ，預設是 /bin/bash 的啦～
範例：

範例一：完全參考預設值建立一個使用者，名稱為 vbird1
[root@linux ~]# useradd vbird1
[root@linux ~]# ls -l /home
drwxr-xr-x   3 vbird1 vbird1 4096 Aug 30 17:33 vbird1
[root@linux ~]# grep vbird1 /etc/passwd /etc/shadow /etc/group
/etc/passwd:vbird1:x:502:502::/home/vbird1:/bin/bash
/etc/shadow:vbird1:!!:13025:0:99999:7:::
/etc/group:vbird1:x:502:
# 做這個範例只是想要讓您瞭解，其實系統已經規範好了一些新增使用者時的參數了！
# 因此，當我們使用 useradd 時，系統會主動的去修改 /etc/passwd 與 /etc/shadow，
# 而這兩個檔案內的相關欄位參考值，則會以一些設定檔的內容來規範喔！
# 同時也要注意到，使用 useradd 新增使用者時，這個使用者的 /etc/shadow
# 密碼欄會是不可登入的 (以 !! 為開頭)，因此還需要使用 passwd 
# 來給予 vbird1 密碼後，才算新增完畢！

範例二：我知道我的系統當中有個群組名稱為 users ，且 UID 700 並不存在，
        請用這兩個參數給予 vbird2 建立一個帳號！
[root@linux ~]# useradd -u 700 -g users vbird2
[root@linux ~]# ls -l /home
drwxr-xr-x   3 vbird2 users  4096 Aug 30 17:43 vbird2
[root@linux ~]# grep vbird2 /etc/passwd /etc/shadow /etc/group
/etc/passwd:vbird2:x:700:100::/home/vbird2:/bin/bash
/etc/shadow:vbird2:!!:13025:0:99999:7:::
# 看一下，UID 與 initial group 確實改變成我們需要的了！

範例三：建立一個系統帳號，名稱為 vbird3
[root@linux ~]# useradd -r vbird3
[root@linux ~]# grep vbird3 /etc/passwd /etc/shadow /etc/group
/etc/passwd:vbird3:x:101:102::/home/vbird3:/bin/bash
/etc/shadow:vbird3:!!:13025::::::
/etc/group:vbird3:x:102:
# 很重要喔！您會發現， UID 竟然是 101 ，而 GID 怎麼會是 102，
# 並且與 /etc/group 有對應的關係喔！有沒有加 -r 差很多ㄟ！

• /etc/passwd
• /etc/shadow
• /etc/group
• /etc/gshadow
• /home/username

GROUP=100		<==預設的群組
HOME=/home		<==預設的家目錄所在目錄
INACTIVE=-1		<==在 /etc/shadow 內的第 7 欄
EXPIRE=			<==在 /etc/shadow 內的第 8 欄
SHELL=/bin/bash		<==預設的 shell
SKEL=/etc/skel		<==使用者家目錄的內容資料參考目錄

• 以 FC4 為代表，新建使用者時，若無指定 initial group ， 則系統會主動建立一個與帳號相同的群組名稱，以該群組作為使用者的 initial group；


• 以 SuSE 9 為代表，新建使用者時，預設不會建立新群組，而以 /etc/default/useradd 內的 GROUP 設定值作為使用者的 initial group 。

MAIL_DIR        /var/spool/mail	<==使用者預設郵件信箱放置目錄

PASS_MAX_DAYS   99999		<==/etc/shadow 內的第 5 欄
PASS_MIN_DAYS   0		<==/etc/shadow 內的第 4 欄
PASS_MIN_LEN    5		<==密碼最短的字元長度，建議可以改到 6 以上
PASS_WARN_AGE   7		<==/etc/shadow 內的第 6 欄

UID_MIN         500	<==使用者最小的 UID，意即小於 500 的 UID 為系統保留
UID_MAX       60000	<==使用者能夠用的最大 UID
GID_MIN         500	<==使用者自訂群組的最小 GID，小於 500 為系統保留
GID_MAX       60000	<==使用者自訂群組的最大 GID

CREATE_HOME     yes	<==在不加 -M 及 -m 時，是否主動建立使用者家目錄？

• /etc/default/useradd
• /etc/login.defs
• /etc/skel/*

[root@linux ~]# passwd [useraccount]

範例一：如果 root 要幫 dmtsai 修改密碼時？
[root@linux ~]# passwd dmtsai
Changing password for user dmtsai.
New UNIX password:  <==這裡直接輸入新的密碼，螢幕不會有任何反應
BAD PASSWORD: it is based on a dictionary word  <==密碼太簡單時的錯誤！
Retype new UNIX password:  <==再輸入一次同樣的密碼
passwd: all authentication tokens updated successfully.  <==竟然還是成功修改了！

範例二： dmtsai 這個使用者想要修改自己的密碼時
[dmtsai@linux ~]$ passwd
Changing password for user dmtsai.
Changing password for dmtsai
(current) UNIX password: <==這裡輸入『原有的舊密碼』
New password: <==這裡輸入新密碼
BAD PASSWORD: it is based on your username <==密碼的規範是很嚴格的
New password:
BAD PASSWORD: it is based on your username
New password:
BAD PASSWORD: it is based on a dictionary word
passwd: Authentication token manipulation error

• 密碼不能與帳號相同；
• 密碼盡量不要選用字典裡面會出現的字串；
• 密碼需要超過 8 個字元；

[root@linux ~]# usermod [-cdegGlsuLU] username
參數：
-c  ：後面接帳號的說明，即 /etc/passwd 第五欄的說明欄，可以加入一些帳號的說明。
-d  ：後面接帳號的家目錄，即修改 /etc/passwd 的第六欄；
-e  ：後面接日期，格式是 YYYY-MM-DD 也就是在 /etc/shadow 內的第八個欄位資料啦！
-g  ：後面接 group name，修改 /etc/passwd 的第四個欄位，亦即是 GID 的欄位！
-G  ：後面接 group name，修改這個使用者能夠支援的群組，修改的是 /etc/group 囉～
-l  ：後面接帳號名稱。亦即是修改帳號名稱， /etc/passwd 的第一欄！
-s  ：後面接 Shell 的實際檔案，例如 /bin/bash 或 /bin/csh 等等。
-u  ：後面接 UID 數字啦！即 /etc/passwd 第三欄的資料；
-L  ：暫時將使用者的密碼凍結，讓他無法登入。其實僅改 /etc/shadow 的密碼欄。
-U  ：將 /etc/shadow 密碼欄的 ! 拿掉，解凍啦！
範例：

範例一：修改使用者 dmtsai 的說明欄，加上『VBird's test』的說明。
[root@linux ~]# usermod -c "VBird's test" dmtsai
[root@linux ~]# grep dmtsai /etc/passwd
dmtsai:x:501:501:VBird's test:/home/dmtsai:/bin/bash

範例二：使用者 dmtsai 密碼在 2006/01/01 失效。
[root@linux ~]# usermod -e "2006-01-01" dmtsai
[root@linux ~]# grep dmtsai /etc/shadow
dmtsai:$1$24ISJM4K$bbdijdreoieaVaBMAHsm6.:13026:0:99999:7::13149:

範例三：暫時凍結 dmtsai 的密碼！
[root@linux ~]# usermod -L dmtsai
[root@linux ~]# grep dmtsai /etc/shadow
dmtsai:!$1$24ISJM4K$bbdijdreoieaVaBMAHsm6.:13026:0:99999:7::13149:
# 注意到，密碼欄(第二欄)多了一個 ! 號！那個驚嘆號會讓密碼無效喔！
[root@linux ~]# usermod -U dmtsai  <==這樣就解開了！

範例四：萬一 dmtsai 這個傢伙被建立時忘記建立家目錄，該如何是好？
[root@linux ~]# usermod -d /home/dmtsai2 -m dmtsai
# 如果僅是 -d /home/dmtsai2 表示僅修改 /etc/passwd 第六欄的內容而已，
# 如果加上 -m 這個參數，則表示新建一個家目錄的意思！
# 另外，如果原本的家目錄是 /home/dmtsai ，那 -d /home/dmtsai2 -m
# 會將原本的 /home/dmtsai 更名為 /home/dmtsai2 喔！

• /etc/passwd
• /etc/shadow
• /home/username

[root@linux ~]# userdel [-r] username
參數：
-r  ：連同使用者的家目錄也一起刪除
範例：

範例一：刪除 vbird2 ，連同家目錄一起刪除
[root@linux ~]# userdel -r vbird2

[dmtsai@linux ~]$ chsh [-ls]
參數：
-l  ：列出目前系統上面可用的 shell ，其實就是 /etc/shells 的內容！
-s  ：設定修改自己的 Shell 囉
範例：

範例一：列出目前系統上面所以的 shell ，並且指定 csh 為自己的 shell
[dmtsai@linux ~]$ chsh -l
/bin/sh
/bin/bash
/sbin/nologin
/bin/ksh
/bin/tcsh
/bin/csh
/bin/zsh
[dmtsai@linux ~]$ chsh -s /bin/csh; grep dmtsai /etc/passwd
Password:  <==為了防止帳號被亂搞～所以需要輸入 dmtsai 的密碼確認！
Shell changed.
dmtsai:x:501:501::/home/dmtsai:/bin/csh

[root@linux ~]# chfn [-foph] 
參數：
-f  ：後面接完整的大名；
-o  ：您辦公室的房間號碼；
-p  ：辦公室的電話號碼；
-h  ：家裡的電話號碼！
範例：

範例一：我用 dmtsai 這個使用者來更改一下自己的相關資訊！
[dmtsai@linux ~]$ chfn
Changing finger information for dmtsai.
Password: <==為了防止帳號被亂搞～所以需要輸入 dmtsai 的密碼確認！
Name []: VBird' Test account
Office []: Tainan office 1
Office Phone []: 06-1234567
Home Phone []: 06-7654321

Finger information changed.
[dmtsai@linux ~]$ grep dmtsai /etc/passwd
dmtsai:x:501:501:VBird' Test account,Tainan office 1,06-1234567,06-7654321:
/home/dmtsai:/bin/bash

• 密碼
• 暱稱
• 辦公室號碼
• 辦公室電話
• 家裡電話

[root@linux ~]# finger [-s] username
參數：
-s  ：使用長串資料輸出格式。
範例：

範例一：將剛剛 dmtsai 建立的一些使用者資訊呼叫出來視察！
[root@linux ~]# finger dmtsai
Login: dmtsai                           Name: VBird's Test account
Directory: /home/dmtsai                 Shell: /bin/bash
Office: Tainan office 1, 06-1234567     Home Phone: 06-7654321
Last login Tue Aug 30 15:01 (CST) on tty1 from localhost
No mail.
No Plan.

[root@linux ~]# id [username]

範例一：查閱自己的相關資訊！
[root@linux ~]# id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),10(wheel)

範例二：查閱一下 dmtsai 吧～
[root@linux ~]# id dmtsai
uid=501(dmtsai) gid=501(dmtsai) groups=501(dmtsai),100(users)

[root@linux ~]# groupadd [-g gid] [-r]
參數：
-g  ：後面接某個特定的 GID ，用來直接給予某個 GID ～
-r  ：建立系統群組啦！與 /etc/login.defs 內的 GID_MIN 有關。
範例：

範例一：新建一個群組，名稱為 group1
[root@linux ~]# groupadd group1
[root@linux ~]# grep group1 /etc/group /etc/gshadow
/etc/group:group1:x:502:
/etc/gshadow:group1:!::
# 注意注意！在 /etc/gshadow 裡面可以發現，密碼是不許登入的喔！

範例二：新建一個系統群組，名稱為 group2
[root@linux ~]# groupadd -r group2
[root@linux ~]# grep group2 /etc/group /etc/gshadow
/etc/group:group2:x:101:
/etc/gshadow:group2:!::

[root@linux ~]# groupmod [-g gid] [-n group_name]
參數：
-g  ：修改既有的 GID 數字；
-n  ：修改既有的群組名稱
範例：

範例一：將剛剛上個指令建立的 group2 名稱改為 groupname ， GID 為 103
[root@linux ~]# groupmod -g 103 -n groupname group2
[root@linux ~]# grep groupname /etc/group /etc/gshadow
/etc/group:groupname:x:103:
/etc/gshadow:groupname:!::

[root@linux ~]# groupdel [groupname]

範例一：將剛剛的 groupname 刪除！
[root@linux ~]# groupdel groupname

範例二：若要刪除 dmtsai 這個群組的話？？
[root@linux ~]# groupdel dmtsai
groupdel: cannot remove user's primary group.

• 修改 dmtsai 的 GID ，或者是：
• 刪除 dmtsai 這個使用者。

關於系統管理員(root)做的動作：
[root@linux ~]# gpasswd groupname
[root@linux ~]# gpasswd [-A user1,...] [-M user3,user4...] groupname
[root@linux ~]# gpasswd [-rR] groupname
參數：
    ：若沒有任何參數時，表示給予 groupname 一個密碼(/etc/gshadow)
-A  ：將 groupname 的主控權交由後面的使用者管理(該群組的管理員)
-M  ：將某些帳號加入這個群組當中！
-r  ：將 groupname 的密碼移除
-R  ：讓 groupname 的密碼欄失效，所以 newgrp 就不能使用了！

關於群組管理員(Group administrator)做的動作：
[someone@linux ~]$ gpasswd [-ad] user groupname
參數：
-a  ：將某位使用者加入到 groupname 這個群組當中！
-d  ：將某位使用者移除出 groupname 這個群組當中。

範例一：建立一個新群組，名稱為 testgroup 且群組交由 dmtsai 管理：
[root@linux ~]# groupadd testgroup
[root@linux ~]# gpasswd testgroup
Changing the password for group testgroup
New Password:
Re-enter new password:
# 輸入兩次密碼就對了！
[root@linux ~]# gpasswd -A dmtsai -M dmtsai,vbird testgroup
[root@linux ~]# grep testgroup /etc/group /etc/gshadow
/etc/group:testgroup:x:502:dmtsai,vbird
/etc/gshadow:testgroup:1CEVbrcjxO6Ps:dmtsai:dmtsai,vbird
# 很有趣吧！此時 dmtsai 則擁有 testgroup 的主控權喔！若以我們討論區 (
# http://phorum.vbird.org 的概念來說，群組管理員有點像『版主』啦！

範例二：以 dmtsai 登入系統，並且讓他加入 vbird1 成為 testgroup 成員之一：
[dmtsai@linux ~]$ gpasswd -a vbird1 testgroup
Adding user vbird1 to group testgroup

[root@linux ~]# passwd [-lunxwS] username
參數：
-l  ：將 username 這個帳號的密碼鎖住 (lock)，在 /etc/shadow 內的密碼欄修訂～
-u  ：將 -l 的 lock 解開！
-n  ：後面接天數 (數字) ，最短天數；亦即是 /etc/shadow 內的第四欄；
-x  ：後面接天數 (數字) ，最長天數；亦即是 /etc/shadow 內的第五欄；
-w  ：後面接天數 (數字) ，警告天數；亦即是 /etc/shadow 內的第六欄；
-S  ：顯示目前這個 username 的相關資訊。
範例：

範例一：將 dmtsai 這個使用者的密碼凍結，並觀察他！
[root@linux ~]# passwd -l dmtsai
Locking password for user dmtsai.
passwd: Success
[root@linux ~]# passwd -S dmtsai
Password locked.
[root@linux ~]# grep dmtsai /etc/shadow
dmtsai:!!$1$TDy6D7eg$jVJV/FMaQn14v5Kl7sqw6/:13026:0:99999:7::13149:

範例二：將上述密碼凍結解開
[root@linux ~]# passwd -u dmtsai

[root@linux ~]# cat /etc/pam.d/passwd
#%PAM-1.0
auth       required     pam_stack.so service=system-auth
account    required     pam_stack.so service=system-auth
password   required     pam_stack.so service=system-auth

驗證的類別 　 驗證的控制標準 　 使用的PAM模組 　 該模組的能使用的參數

• auth
  這種類別主要用來檢驗使用者的身份驗證，所以這種類別通常是需要密碼來檢驗的。


• account
  這種類別則主要在檢驗使用者是否具有正確的使用權限，舉例來說，當你使用一個過期的密碼來登入時， 當然就無法正確的登入了。


• session
  這種類別主要在管理當使用者正確的使用該程式時的環境設定。舉例來說，我們登入 Linux 其實使用的是 /bin/login 這個程式的相關功能的，所以，當實際登入後，在操作 shell 的過程中，都是受 session 這種類別的設定所控制的喔！另外，如果使用 session 這種類別時， 則該程式在正式使用之前與使用結束之後，都會有相關紀錄被記到登錄檔當中喔！


• password
  至於這種類別，則主要在提供驗證的修訂工作，舉例來說，就是修改/變更密碼啦！

• required
  當模組設定為這種控制標準時，該模組的驗證必須要成功，否則就會回傳一個 failure 的訊息。 不過，不論此一動作的模組是否成功，接下去的模組都還會繼續動作！ 而若有 failure 的訊息時，也會在後續的動作都進行完畢之後，才會回傳給原程式。 比底下的 requisite 還要優秀的地方，在於該模組底下的動作可能具有登錄檔紀錄 (log) 的舉動，則錯誤的訊息才會被紀錄起來喔！
  
  
• requisite
  當模組設定為 requisite 時，該模組的認證要求同樣的需要成功才行。 不過，如果該模組沒有通過驗證，那麼 PAM 會『立刻』回報程式一個 failure 的值， 也就是說，若該次動作的模組後續還有其他模組時，其他模組的動作將不會被啟用。
  
  
• optional
  這個模組控制項目大多是在顯示訊息而已，並不是用在驗證方面的。
  
  
• sufficient
  這個模組控制標準也挺有趣的，相對於 requisite 是『發生錯誤時，立刻回報原執行程式 failure ， 並且中斷 PAM 的運作』， sufficient 則是『順利通過驗證時，立刻回報原程式通過的訊息， 並且中斷 PAM 的運作』。呵呵！完全相反喔！
  

[root@linux ~]# cat /etc/pam.d/login
#%PAM-1.0
auth       required	pam_securetty.so
auth       required	pam_stack.so service=system-auth
auth       required	pam_nologin.so
account    required	pam_stack.so service=system-auth
password   required	pam_stack.so service=system-auth
# pam_selinux.so close should be the first session rule
session    required	pam_selinux.so close
session    required	pam_stack.so service=system-auth
session    optional	pam_console.so
# pam_selinux.so open should be the last session rule
session    required	pam_selinux.so multiple open

tty1
tty2
tty3
tty4
...

• 將 /etc/pam.d/login 內，關於 pam_securetty.so 模組的那一行註解掉；
• 將 /etc/securetty 這個檔案移除。

[root@linux ~]# vi /etc/security/limits.conf
# 新增這兩行
dmtsai          hard    fsize   10240
@users          hard    fsize   10240
# 注意到，帳號前面加上 @ 表示為『群組！』

[root@linux ~]# pwck
user adm: directory /var/adm does not exist
user news: directory /etc/news does not exist
user uucp: directory /var/spool/uucp does not exist

• 比對 /etc/passwd 及 /etc/shadow ，若 /etc/passwd 內存在的帳號並沒有對應的 /etc/shadow 密碼時，則 pwconv 會去 /etc/login.defs 取用相關的密碼資料，並建立該帳號的 /etc/shadow 資料；
• 若 /etc/passwd 內存在加密後的密碼資料時，則 pwconv 會將該密碼欄移動到 /etc/shadow 內，並將原本的 /etc/passwd 內相對應的密碼欄變成 x ！

[root@linux ~]# echo "dmtsai:abcdefg" | chpasswd