Hallo,
heute erkläre ich euch anhand von Beispielen, wie das Rechtesystem für Linux/Unix Benutzer aufgebaut ist und funktioniert.
Inhaltsverzeichnis
- Benutzer und Gruppen
- Datei-/Ordnerberechtigungen
- su / sudo / whoami
-
Benutzer und Gruppen
WIe bei Windows gibt es auch bei Linux Benutzer und Gruppen. Je nach Linux Distributation gibt es den ein oder anderen Befehl zum anlegen von neuen Benutzern und Gruppen mehr oder weniger.Die Befehle, die auf jeder Distributation verfügbar sein sollten, wären die nachfolgenen:
Codeuseradd - Benutzer anlegen/hinzufügenusermod - Benutzer modifizieren/ändernuserdel - Benutzer löschen/entfernengroupadd - Gruppe anlegen/hinzufügengroupmod - Gruppe modifizieren/änderngroupdel - Gruppe löschen/entfernenWenn man sich das jeweilige Handbuch dazu durchliest, sieht man, dass man sehr viele Parameter setzen kann. Prinzipiell reicht es aber, wenn man wie folgt einen neuen Benutzer anlegt:
Codeuseradd max
bzw. eine Gruppe:Codegroupadd verwaltung
Je nach Befehl, den ihr hier verwendet, fragt euch der Befehl noch ein paar Informationen ab.Wie bei Windows gibt es natürlich auch die Möglichkeit nach zu schauen, welches Verzeichnis welchem Benutzer gehört und vorallem welche Benutzer und Gruppen es gibt.
Die Datei "/etc/passwd" beinhaltet sämtliche Benutzer mit ein paar Informationen, die während des Anlegens des Benutzers festgelegt wurden. Diese Datei sieht zum Beispiel so aus:
Code$ cat /etc/passwdroot:x:0:0:root:/home:/bin/bashdaemon:x:1:1:daemon:/usr/sbin:/bin/shbin:x:2:2:bin:/bin:/bin/shsys:x:3:3:sys:/dev:/bin/shsync:x:4:65534:sync:/bin:/bin/syncman:x:6:12:man:/var/cache/man:/bin/shlp:x:7:7:lp:/var/spool/lpd:/bin/shmail:x:8:8:mail:/var/mail:/bin/shnews:x:9:9:news:/var/spool/news:/bin/shwww-data:x:33:33:www-data:/var/www:/bin/bash
Aufgebaut ist diese Datei wie folgt:Coderoot:x:0:0:root:/home:/bin/bashBenutzername:Passwort:Benutzer-ID:Gruppen-ID:Beschreibung:Home-Verzeichnis:Default-Shell
Da das Passwort gehasht in der /etc/shadow-Datei gespeichert wird, steht an der Stelle "Passwort" nur ein "x". Das soll ja nicht jeder einfach im Klartext rauslesen können.
Das selbe bzw. so ähnlich ist das mit den Gruppen - hier gibt es die Datei "/etc/group":
Code$ cat /etc/grouproot:x:0:daemon:x:1:bin:x:2:sys:x:3:adm:x:4:tty:x:5:disk:x:6:lp:x:7:mail:x:8:news:x:9:uucp:x:10:man:x:12:proxy:x:13:kmem:x:15:Mit Hilfe von "usermod" und "groupmod" kann man zum Beispiel die einzelnen Benutzer bzw. Gruppen modifizieren, also ändern. Darunter fallen zum Beispiel folgende Punkte:
- Ändern der GID eines Benutzers (GID = Hauptgruppe)
- Benutzer weiteren zusätzlichen Gruppen hinzufügen
- Benutzer aus einer oder mehreren Gruppen entfernen
Gut... Soviel zu den Grundlagen der Benutzer und Gruppen. Jetzt schauen wir uns mal die Datei- und Ordnerberechtigungen an.
-
Datei-/Ordnerberechtigungen
Egal ob es sich um einen Ordner oder eine Datei handelt: Mit dem Befehl "stat" kann man sich immer die detaillierten Eigenschaften des jeweiligen Objektes anschauen. Unter die Eigenschaften fallen zum Beispiel die Berechtigungen, Eigentümer, Gruppe, Ordner-/Dateiname, Typ (Ordner, Datei, Hard-Link, Sym-Link,...), diverse Zeitstempel. Da diese Ausgabe für Laien jedoch nicht verständlich ist, erkläre ich jetzt erstmal die Eigenschaften für ein Objekt, die ihr seht, wenn ihr euch den Inhalt eines Verzeichnisses einfach auflisten lasst. Das sieht zum Beispiel so aus:Code$ stat Templates File: `Templates' Size: 4096 Blocks: 8 IO Block: 4096 directoryDevice: fd00h/64768d Inode: 2224078 Links: 4Access: (0755/drwxr-xr-x) Uid: ( 2057/sebastian) Gid: ( 147/ users)Access: 2014-02-27 20:12:23.740932001 +0100Modify: 2013-08-25 16:11:36.987454822 +0200Change: 2013-10-07 22:34:08.627962552 +0200 Birth: -Eine normale Verzeichnisauflistung sieht zum Beispiel so aus:
Code$ ls -ltotal 112drwxr-xr-x 4 sebastian users 4096 Aug 25 2013 Templates-rw-r--r-- 1 sebastian users 555 Feb 23 22:58 ToDo-ListeSchauen wir uns doch mal eine solche Zeile genauer an:
Codedrwxr-xr-x 4 sebastian users 4096 Aug 25 2013 Templates
Wenn wir es ganz normal von links nach rechts lese, sehen wir folgendes:- 10 Berechtigungsbits mit Typ
- Anzahl der Hard-Links auf das Objekt
- Eigentümer des Objekts
- Gruppe des Objekts
- Dateigröße
- Zeitstempel der letzten Änderung
- Objekt-Name
Schön und gut... Mit dem ein oder anderen kann man direkt was anfangen, ohne etwas googlen zu müssen, aber was genau sagt jetzt was aus?!Die 10 Berechtigungsbits mit Typ zeigen die Rechte wie bei Windows mit Lesen, Schreiben, Ausführen an, wobei sich die 10 Bits wie folgt aufteilen:
Zitatdrwxr-xr-x
Der erste Bit gibt den Typ des Objektes an. Hier gibt es zum Beispiel folgende:- - bedeutet "Datei"
- d bedeutet "Verzeichnis" (= Directory[/b])
- l (= kleines L, wie Löwe) bedeutet "Sym-Link" (= bei Windows nennt sich sowas "Verknüpfung")
Die nächsten drei Bits sind die Berechtigungen für den Eigentümer der Datei, wobei die Bits wie folgt interpretiert werden:
- r bedeutet "read", also "Lesen" und kann mit dem Dezimalwert "4" gleich gestellt werden
- w bedeutet "write", also "Schreiben" und kann mit dem Dezimalwert "2" gleich gestellt werden
- x bedeutet "execute", also "ausführen" und kann mit dem Dezimalwert "1" gleich gestellt werden (bei Verzeichnissen steht dieses Bit für "wechseln", sprich ob man in das Verzeichnis rein darf oder nicht)
So kann man zum Beispiel 3 Bits auch anders schreiben: rwx = 7 / rw- = 6 / r-x = 5 / --x = 1Wenn wir nun alle 10 Bits anschauen und unser Beispiel von oben hernehmen, kann man also "drwxr-xr-x" auch wie folgt darstellen: 755
Okay... Die ersten 4 Bits haben wir jetzt. Folgen wieder 3 zusammenhängende: Diese gelten für die Gruppe des Objekts und haben die selbe Bedeutung wie eben erklärt. Die letzten drei Bits sind dann die Bits die entscheidend sagen, welche Berechtigungen es für die Benutzer hat, die weder Eigentümer noch Mitglied der Gruppe sind.
Genau. Soviel zu den einzelnen Bits. Eigentümer und Gruppe sollten eigentlich selbsterklärend sein, daher erläre ich das jetzt nicht explizit. Der Rest der Ausgabe hat nichts mit den Rechten zu tun, daher lasse ich das jetzt auch mal weg. Wer jedoch Fragen dazu hat, kann diese gerne HIER als Kommentar/Beitrag stellen.
Gut! Dann kennen wir uns jetzt also auch mit den Berechtigungen der Objekte aus. Jetzt schauen wir uns noch die Login-Befehle an.
-
su / sudo / whoami
Mit Hilfe des Befehls "su" kann man sich als anderer Benutzer "einloggen". Einloggen steht deshalb in Anführungszeichen, weil in Wirklichkeit etwas anderes passiert. In Wirklichkeit öffnet dieser Befehl eine neue Shell als anderer Benutzer, welche mit Hilfe des Befehls "exit" oder der Tastenkombination "Strg" und "D" verlassen/geschlossen werden soll/kann. Man sollte mit dem Befehl aufpassen, weil man sich sonst sehr viele Shells stapeln kann und irgendwann auch nicht mehr weis, wie oft man noch "exit" eingeben muss.Normalerweise wird im Prompt der Shell angezeigt als welcher Benutzer man eingeloggt ist. Sollte dies aber nicht der Fall sein, kann man sich mit Hilfe von "whoami" diese Info auch ausgeben lassen:
Code$ whoamirootGute Linux/Unix Administratoren haben bestimmt schonmal vom nachfolgenden Satz gehört: "Ich versuch es zu vermeiden, dauerhaft als root zu arbeiten!"
Daher gibt es das nette Paket "sudo", welches den Befehl "sudo" mit sich bringt und folgende Funktion aufweist: Mit einem vorangestelltem "sudo" vor dem auszuführenden Befehl führt man den gewünschten Befehl einmalig als bzw. mit root-Rechten aus. So muss man sich nicht extra als root einloggen und wieder ausloggen, nachdem der Befehl fertig ist.
So ein Befehl kann zum Beispiel so genutzt werden:
Code$ sudo dpkg -i beispielPaket.debUm zu überprüfen, dass man wirklich mit root Rechten arbeitet, kann man das ganze auch mit "whoami" überprüfen:
Code$ whoami sebastian $ sudo whoami root
So... Das war es dann auch schon wieder. Ich hoffe, ich konnte euch das Rechtesystem von Linux etwas näher bringen.
