实验一：Linux用户管理与安全策略

操作系统安全Operating System Security

Linux系统安全实验讲义

2013年12版本

实验一：Linux用户管理与安全策略1实验目的

●通过实验熟悉Linux 环境下的用户操作管理；

●了解PAM工作原理和配置方法；

●掌握Linux 操作系统中常用用户安全策略配置；

2实验原理

2.1用户与用户组的基本体系

●Linux提供了安全的用户名和口令文件保护以及强大的口令设置规

则，并对用户和用户组的权限进行细粒度的划分。

●Linux 系统的用户和用户组的信息分别保存在

⏹/etc/shadow

⏹/etc/passwd

⏹/etc/group

⏹/etc/gshadow 等几个文件中，

●/etc/passwd文件是系统用户认证访问权限的第一个文件。

文件的行格式如下：

login_name:password:uid:gid:user info: home_directory:default_shell

⏹其中：

⏹login_name：用户帐户，可以用1~8个字符表示，区分大小写，

避免使用数字开头；

⏹password：加密后的用户登录系统的密码；

⏹uid：系统指定给每个用户的唯一数值，即用户标识符，32位系统

中标识符在0~60 000之间。；

⏹gid：用户组标识；

⏹user info：用户注释信息（如用户身份、电话号码、特性等）；

⏹home_directory：用户的主目录（家目录）；

⏹default_shell：用户登录系统时默认执行的Shell程序，通常为

/bin/sh，表示执行Bourne Shell。如果是Korn Shell则用

/usr/bin/ksh。如果是C Shell则用/usr/bin/csh。如果是TC Shell

则用/usr/bin/tcsh（较少使用）。如果是Bash Shell则用

/usr/bin/bash（Linux系统）

特别说明：

Linux 系统支持以命令行或窗口方式管理用户和用户组，本实验要求使用命令行方式实现，窗口方式为学生自行了解和掌握内容。

2.2PAM安全验证机制

详见课程讲义和教学课件

3课堂实验内容

3.1用户账户的基本管理

3.1.1查看和添加账户

1.用useradd 命令新建名为test1的新账户，并查看shadow和passwd文件

变化

# cat /etc/passwd

# useradd test1

# cat /etc/passwd

[ root@localhost root ] # cat /etc/shadow

2.切换到新建的test1账户，检查相关文件的权限设置,尝试创建新用户$ cat /etc/passwd

$ su test1

$ cat /etc/shadow

$ useradd test_a

3.1.2设置和更改密码

1.尝试test1为自己修改密码

$ passwd

2.使用root为账户test1 添加或修改密码：

#passwd test1

3.1.3建立用户组

1.建立名为testgroup1 的用户组

#cat /etc/group

# groupadd testgroup1

#cat /etc/group

2.将新建的用户组更名为testgroup

# groupmod -n testgroup testgroup1

3.将用户加入到新建的组testgroup中,观察文件变化

#cat /etc/passwd

# gpasswd -a test1 testgroup

# adduser test2 -g testgroup

#cat /etc/passwd

3.1.4*账户管理(不必须要求)

1.了解chage命令

# chage –m 0 -M 90 –E 0 -W 10 test1

上述命令强制用户test1首次登录时更改口令，同时还强制该用户以后每90 天更改一次口令，并提前10 天提示。

3.1.5账户的禁用与恢复

1.注销root登陆，回到x-window 登陆界面

2.使用test1登陆系统

3.切换到root登录系统

4.锁定用户test1

# passwd -l test1

5.再次注销root登陆，回到x-window 登陆界面使用test1登陆系统

6.切换到root登录系统，解锁账户test1

# passwd –u test2

7.注销root登陆，回到x-window 登陆界面，使用test1登陆系统

3.2系统的账号安全策略

3.2.1设置密码长度要求

1.创建用户，用户名学生拼音全拼如gouxu，每名位同学用户不一样；

1.通过root编辑/etc/pam.d/system-auth文件，设置最小密码长度策略

password requisite pam_cracklib.so try_first_pass retry=3

为

password requisite pam_cracklib.so try_first_pass retry=3 minlen=8

2.使用先前成功登陆的用户gouxu，修改低于最低要求长度（8位）的密码1