Debian Context中的用户权限如何设置

Debian系统中用户权限设置指南

一、基础准备：用户与组管理

用户权限管理的核心是通过用户和组划分权限边界。Debian提供了以下基础命令：

• 创建用户：使用adduser命令（交互式设置密码及信息），例如sudo adduser username；若需自定义UID/GID，可添加--uid/--gid参数。
• 删除用户：使用deluser命令，sudo deluser username（默认保留家目录）；若需彻底删除，添加--remove-home参数。
• 修改用户信息：usermod命令调整用户属性，常用选项：
  • sudo usermod -l newname oldname：修改用户名；
  • sudo usermod -d /new/home -m username：修改家目录（-m自动迁移旧目录内容）；
  • sudo usermod -aG groupname username：将用户添加到指定组（-aG表示追加，避免移除原有组）。
• 组管理：
  • 创建组：sudo groupadd groupname；
  • 删除组：sudo groupdel groupname；
  • 移除用户：sudo gpasswd -d username groupname。

二、文件/目录权限设置

文件权限决定了用户对资源的访问能力，分为所有者、所属组、其他用户三类，每类包含读（r）、写（w）、执行（x）权限。

• 查看权限：使用ls -l命令，输出如-rw-r--r-- 1 user group 1024 Jan 1 10:00 file.txt，其中rw-（所有者）、r--（所属组）、r--（其他用户）。
• 修改权限：chmod命令通过符号或数字设置权限：
  • 符号模式：sudo chmod u+x,g-w,o=r file.txt（所有者加执行、所属组去写、其他用户设为只读）；
  • 数字模式：sudo chmod 755 file.txt（所有者7=rwx，所属组5=r-x，其他用户5=r-x），常用于目录（755）和可执行文件（755）。
• 修改所有者/组：
  • 更改所有者：sudo chown username file.txt；
  • 更改所属组：sudo chgrp groupname file.txt；
  • 同时修改：sudo chown username:groupname file.txt。

三、sudo权限配置

sudo允许普通用户以root权限执行命令，需通过sudoers文件严格管理：

• 添加sudo权限：
  • 将用户加入sudo组（推荐）：sudo usermod -aG sudo username（用户下次登录生效）；
  • 直接编辑sudoers文件：sudo visudo（安全编辑，避免语法错误），添加username ALL=(ALL:ALL) ALL（允许用户在任何主机以任何用户/组身份执行任何命令）。
• 限制sudo权限：可通过visudo添加具体命令，例如username ALL=(ALL) /usr/bin/apt（仅允许用户使用apt命令）。

四、高级权限控制

1. 访问控制列表（ACL）

ACL提供更细粒度的权限（如给特定用户/组设置权限），需先启用：

• 启用ACL：若文件系统未启用ACL，需修改挂载选项：
  • 临时生效：sudo mount -o remount,acl /；
  • 永久生效：编辑/etc/fstab，在对应挂载行添加acl选项（如UUID=xxx / ext4 defaults,acl 0 1）。
• 设置ACL：
  • 给用户添加权限：sudo setfacl -m u:username:rwx /path/to/dir；
  • 给组添加权限：sudo setfacl -m g:groupname:r-x /path/to/dir；
  • 查看ACL：sudo getfacl /path/to/dir；
  • 删除ACL：sudo setfacl -x u:username /path/to/dir。

2. 特殊权限

• SetUID：允许用户以文件所有者身份执行文件（如passwd命令），设置方法：sudo chmod u+s file（权限变为4755）。
• SetGID：允许用户以文件所属组身份执行文件，或目录下新建文件继承目录组（如/var/www目录），设置方法：sudo chmod g+s dir（权限变为2755）。
• 粘滞位：防止用户删除他人在目录中的文件（如/tmp目录），设置方法：sudo chmod +t dir（权限变为1777）。

五、安全增强工具（可选）

• AppArmor：Debian默认启用，用于限制程序权限（如限制apache只能访问/var/www），配置文件位于/etc/apparmor.d/，修改后需重启服务：sudo systemctl restart apparmor。
• SELinux：Debian默认未启用，若需使用，需安装selinux-basics和selinux-policy-default，并通过sudo setenforce 1启用。