Debian Minimal如何管理权限

Debian Minimal权限管理指南
Debian Minimal作为极简系统，权限管理需通过命令行工具实现，核心围绕用户-组-文件权限模型，结合sudo机制实现安全管控。以下是具体操作框架：

一、基础权限模型理解

Debian Minimal的权限体系基于“用户（Owner）、组（Group）、其他（Others）”三级结构，每个文件/目录拥有**读（r）、写（w）、执行（x）**三种权限。通过ls -l命令可查看权限详情（如-rwxr-xr--表示：所有者有读写执行权限，组有读执行权限，其他用户仅有读权限）。

二、用户与组管理

1. 用户操作

• 创建用户：使用adduser命令（交互式输入密码及信息），比useradd更适合新手。例如创建用户devuser：
  sudo adduser devuser
• 删除用户：使用deluser命令（--remove-home可同时删除主目录）：
  sudo deluser --remove-home devuser
• 修改用户信息：如修改密码用passwd devuser，修改主目录用usermod -d /new/home devuser。

2. 组操作

• 创建组：sudo groupadd devgroup（创建名为devgroup的组）。
• 添加用户到组：sudo usermod -aG devgroup devuser（-aG表示追加到附加组，避免覆盖原有组）。
• 删除组：sudo groupdel devgroup。

三、文件/目录权限管理

1. 查看权限

使用ls -l命令查看详细权限，例如：
ls -l /var/www/html/index.html
输出示例：-rw-r--r-- 1 root www-data 1024 Jan 1 10:00 index.html
（所有者root有读写权限，组www-data有读权限，其他用户有读权限）。

2. 修改权限

• 符号表示法（灵活，推荐）：
  chmod u+x script.sh（给所有者添加执行权限）；
  chmod g-w data.txt（移除组写权限）；
  chmod o=r config.ini（设置其他用户仅有读权限）。
• 数字表示法（精确，常用）：
  权限对应数字：r=4、w=2、x=1（无权限=0）。例如：
  chmod 755 script.sh（所有者7=4+2+1，读写执行；组和其他5=4+1，读执行）；
  chmod 644 data.txt（所有者6=4+2，读写；其他4，仅读）。

3. 修改所有者/组

• 修改所有者：sudo chown devuser /path/to/file（将文件所有者改为devuser）。
• 修改组：sudo chgrp devgroup /path/to/file（将文件组改为devgroup）。
• 同时修改所有者与组：sudo chown devuser:devgroup /path/to/file。

四、特殊权限设置

1. SUID（Set User ID）

• 作用：程序运行时临时获取所有者权限（如passwd命令）。
• 设置：sudo chmod u+s /usr/bin/passwd（文件权限显示为-rwsr-xr-x）。

2. SGID（Set Group ID）

• 作用：目录下新建文件继承目录的组（如/var/www目录）。
• 设置：sudo chmod g+s /var/www（目录权限显示为drwxr-sr-x）。

3. 粘滞位（Sticky Bit）

• 作用：目录内文件仅所有者可删除（如/tmp目录）。
• 设置：sudo chmod +t /tmp（目录权限显示为drwxrwxrwt）。

五、sudo权限配置

1. 安装sudo

Debian Minimal默认可能未安装sudo，需用root用户安装：
apt update && apt install sudo。

2. 添加sudo用户

将用户加入sudo组（默认配置下，组成员拥有sudo权限）：
sudo usermod -aG sudo devuser
验证：切换至devuser，运行sudo whoami（输入密码后返回root即成功）。

3. 安全编辑sudoers文件

• 推荐方式：使用visudo命令（自动检查语法，避免配置错误）。
• 添加自定义权限：在文件末尾添加（如允许devuser无需密码重启服务）：
  devuser ALL=(ALL) NOPASSWD: /usr/sbin/reboot
• 注意：不要直接编辑/etc/sudoers，防止语法错误导致系统无法使用sudo。

六、高级权限管理（可选）

1. ACL（访问控制列表）

• 作用：为特定用户/组设置更细粒度的权限（如仅允许devuser读写/data目录）。
• 操作：
  • 安装工具：sudo apt install acl；
  • 授权：setfacl -m u:devuser:rwx /data（给devuser读写执行权限）；
  • 查看权限：getfacl /data。

2. umask设置

• 作用：控制新创建文件/目录的默认权限（默认umask 022，即文件644、目录755）。
• 修改：编辑/etc/profile或用户级~/.bashrc，添加umask 027（文件640、目录750，更严格）。

七、安全注意事项

• 最小权限原则：仅授予用户完成任务所需的最低权限（如普通用户无需root权限）。
• 定期审计：用find / -perm /4000查找所有SUID文件，find / -perm /2000查找SGID文件，find / -perm /1000查找粘滞位目录，及时清理不必要的特殊权限。
• 避免直接使用root：日常操作用普通用户+sudo，降低误操作风险。