用户和文件权限的管理

Question

以 root 用户身份登录到 CentOS 7 系统的字符界面，做如下操作 ：
（1）新建组 staff，指定其 GID 为 1010。

（2）新建用户tom、jerry和bob，其中用户tom的属性为UID 1010、家目录为 /home/staff/tom、基本组为staff ；用户jerry的属性为UID 1011、家目录为/home/staff/jerry、基本组为staff ；用户bob的属性为UID 1012、附加组为staff、登录shell为/sbin/nologin。

（3）指定用户 tom 为组 staff 的管理员。

（4）密码策略的设置 ：
① 密码最小长度为 10 位。

② 密码最小使用天数为 3 天，最大使用天数为 30 天，并且在到期前 7 天提醒用户更改密码。

③ 密码中至少包含 1个大写字母、 1个小写字母、 1个数字和 1个字符。

④ 新旧密码间必须有 4 位不同，禁止使用最近 6个密码。

⑤ 设置密码最多重试 2 次后返回。

（5）分别使用用户 tom 和 jerry 登录系统，为各自用户设置密码，设置完成后清
除用户登录信息。

（6）设置只有用户 tom 可以使用 su 命令来切换用户。

（7）文件一般权限的设置 ：
① 使用 root 用户新建目录 /staff，并在其中新建文件 tom1、 tom2、 jerry1 和jerry2。

② 将文件 tom1 的权限更改为 rw-r--r-- ；将文件 jerry1 的权限更改为 640。

③ 将文件 tom2 的属主更改为 tom，属组更改为 staff ；将文件 jerry2 的属主更改为 jerry，属组更改为 staff。

（8）文件特殊权限的设置 ：
① 设置 SUID 权限，使得普通用户可以在根目录 / 上使用命令 mkdir 创建目录。

② 使用 root 用户新建目录 /jerry，设置 SGID 权限，使得用户 jerry 在 /jerry 中新建文件的属主为 jerry，属组为 staff。

③ 设置 SBit 权限，使得在目录 /staff 上不可以删除其他用户创建的文件。

④ 使用 root 用户设置系统的 umask 值为 027，并在目录 /staff 下新建文件 file。

Answer 1

# 新建组 staff，指定其 GID 为 1010
groupadd -g 1010 staff

# 新建用户tom
useradd -u 1010 -g staff -d /home/staff/tom -m -s /bin/bash tom

# 新建用户jerry
useradd -u 1011 -g staff -d /home/staff/jerry -m -s /bin/bash jerry

# 新建用户bob
useradd -u 1012 -G staff -s /sbin/nologin bob

# 指定用户 tom 为组 staff 的管理员
gpasswd -A tom staff

# 设置密码策略
chage -m 10 -M 30 -W 7 tom
chage -m 10 -M 30 -W 7 jerry
chage -I 3 -E 30 -W 7 tom
chage -I 3 -E 30 -W 7 jerry
chage -I 3 -E 30 -W 7 bob
passwd -x 30 -n 3 -w 7 -d 4 -l 6 -i 2 tom
passwd -x 30 -n 3 -w 7 -d 4 -l 6 -i 2 jerry
passwd -x 30 -n 3 -w 7 -d 4 -l 6 -i 2 bob

# 使用用户 tom 登录系统，设置密码
passwd tom

# 使用用户 jerry 登录系统，设置密码
passwd jerry

# 设置只有用户 tom 可以使用 su 命令来切换用户
dpkg-statoverride --update --add root tom 4750 /bin/su

# 文件一般权限的设置
mkdir /staff
touch /staff/tom1 /staff/tom2 /staff/jerry1 /staff/jerry2
chmod 644 /staff/tom1
chmod 640 /staff/jerry1
chown tom:staff /staff/tom2
chown jerry:staff /staff/jerry2

# 文件特殊权限的设置
chmod u+s /bin/mkdir
mkdir /jerry
chown jerry:staff /jerry
chmod g+s /jerry
chmod +t /staff
umask 027
touch /staff/file