6. Administrácia užívateľov a skupín

• meno skupiny
• x -- nepoužíva sa; heslá sú uložené v /etc/gshadow
• číslo skupiny (GID)
• členovia skupiny -- loginy členov sú oddelené čiarkami

root:x:0:root
bin:x:1:root,bin,daemon
daemon:x:2:root,bin,daemon
sys:x:3:root,bin,adm

6.4. Administrácia -- príkazy

6.4.1. Vytváranie a rušenie

useadd [voľby] login
Tento príkaz použijete v prípade, ak potrebujete zariadiť, aby do systému mohol pristupovať nový užívateľ. Systém si uloží informácie do príslušných záznamových súborov (/etc/group, /etc/gshadow). Okrem loginu je často nutné zadať heslo, s ktorým sa nový človek do systému dostane -- toto zariadite príkazom passwd.
V niektorých distribúciach -- adduser.

Voľby:

-d domovksý_adresár	-- užívateľovi vytvorí špecifikovaný adresár, do ktorého si môže ukladať svoje súbory a kde má uložené aj základné nastavenia systému pri prihlasovaní (implicitne /home/login)
-e dátum	-- dátum, kedy vyprší platnosť konta (tvar: RRRR-MM-DD) -- Toto je vhodné použiť na školách, kde majú žiaci na počítačoch svoje kontá, len po určitú obmedzenú domu (napr. počas školského roku).
-g skupina	-- nastaví užívateľovi skupinu, do ktorej je po nalogovaní prihlásený
-p heslo	-- nastaví prihlasovacie heslo. Je veľmi dôležité, aby pri hesle boli dodržané zásady tvorby správneho hesla. Heslá tipu: jozko, deadhead, mac1cka - nie sú príliš spoľahlivé.

userdel [voľby] login
Aby sa administrátorovi ušetrila práca pri rušení užívateľského konta, používa sa tento príkaz. Zo systému odstráni uživateľa, ktorý sa v okamihu zrušenia jeho záznamov už nemôže prihlásiť do systému. Napr. Žiak mal v škole konto, ale prestúpil na inú školu, keďže je toto konto nepotrebné, odstráni sa.
V niektorých distribúciach -- deluser.

Voľby:

-r	-- odstráni domovský adresár užívateľa, teda aj všetky jeho súbory, ktoré si tam ukladal. Pozor! Neodstránia sa však súbory, ktoré užívateľ uložil do cudzieho adresára. Tie zostávajú na disku a manipulovať s nimi môže len superužívateľ alebo niekto, kto má k prístupové právo na zápis.

groupadd [voľby] meno_skupiny
Do systému vloží skupinu a informácie o ňom zavedie do príslušných záznamových súborov (/etc/passwd, /etc/shadow). Skupiny je vhodné tvoriť v prípade, ak užívatelia zdieľajú navzájom určité informácie, ale nechcú, aby s nimi tie informácie zdieľal ešte niekto ďalší. Napr. V škole sú žiaci, ktorí sú okamžite pri prihlásení zaradení do skupiny student, profesori do profes. Profesori si spravia na servri vývesku, ktorá bude určená len pre profesorov (teda iba skupina prefes bude mať právo čitania a ostatní neprečítajú ani písmenko). Žiaci si spravia rovnakú vývesku, ale chcú, aby ju mohli čítať aj profesori, tí však nebudú mať právo na ňu písať (aby zbytočne necenzurovali ;-)). Žiaci si preto nastavia právo čítania a zápisu pre skupinu student.
V niektorých distribúciach addgroup.

Voľby:

-g id	-- skupine priradí požadované číslo -- každá skupina je v systéme identifikovaná pomocou jednoznačného čísla. Vhodné použiť v prípade, ak existujú študentské skupiny, tie môžu byť číslované napr. od čísla 1000, aby sa zbytočne neplietli s prof. skupinami.
-f	-- zamedzí chybovému výstupu -- táto voľba funguje pri veľkom množstve príkazov. Používa sa, ak nechcete, aby vás systém stále otravoval s požiadavkami na potvrdenie operácie, prípadne výpisu chýb. Túto isú službu si môžete zabezpečiť presmerovaním chybového vystupu do /dev/null. (... 2>/dev/null)

groupdel meno_skupiny
Zo systému odstráni skupinu. Napr. skupina študentov úspešne dokončila svoj projekt a odovzdala ho. Keď už nie je potrebné zdieľať informácie vramci tejto skupiny, tak sa skupina zruší.
V niektorých distribúciach delgroup.

6.4.2. Zmena vlastností

chfn [ voľby ] [ login ]
Zmení informácie o užívateľovi, ktoré sú uložené v /etc/passwd. Veľmi vhodné použiť napr. keď dôjde k zmene telefónneho čísla, prípade presunutiu kancelárie. Aktuálne informácie o uživateľovi sa dajú získať príkazom finger.

Voľby:

-f, --full-name plné_meno	-- zmení meno užívateľa -- zmení meno, pod akým je v systéme videný. Nezmení ale login.
-o, --office meno_kanc	-- zmení meno kancelárie -- veľmi vhodné, aby študenti nemuseli behať po budove a pracne zisťovať kde to sedí. Stačí zadať finger profesor@server a študent vie, kde má klopať na dvere
-p, --office-phone tel._do_kanc	-- zmení tel. číslo do kancelárie
-h, --home-phone tel._domov	-- zmení tel. číslo domov
-u, --help	-- pomoc, nie je príliš komplexná, viac informácií nájdete v manuálovej stránke tohoto príkazu

chsh [ voľby ] [ login ]
Vypíše informácie o prihlasovacích shelloch, prípadne zmení užívateľovi prihlasovací shell. Shell -- teda program, ktorý sa spustí po prihlásení je veľmi dôležitý, pretože vďaka nemu môže užívateľ komunikovať s počítačom. Napríklad pre skupiny užívateľov, ktorí veľmi radi útočia na systém sa používa shell s veľmi obmedzenými právomocami (teda nemôžu spustiť niektoré programi a pod.). Takýmto obmedzeným shellom býva RSH (Restricted Shell)

Voľby:

-s, --shell nový_shell	-- zmena shellu na nový, je nutné zadať aj s cestou. Teda /bin/bash a pod.
-l, --list-shells	-- vypíše zoznam dostupných shellov uložených v /etc/shells, ktoré sa môžu použiť pri prihlasovaní uživateľov. Napr. knižnica môže mať login kniznica a heslo kniznica, toto je všeobecne známe a ktokoľvek sa môže do tejto knižnice takto prihlásiť. Namiesto shellu, kde zadáva užívateľ príkazy sa môže ale objaviť program na prehliadanie knižničnej databázy.
-u, --help	-- pomoc

passwd [login]
Zmení heslo aktuálneho užívateľa, prípadne užívateľa špecifikovaného loginom. Túto akciu môže previesť iba vlastník alebo privilegovaný užívateľ. Je veľmi vhodné po určitom čase zmeniť heslo. Odporúčam meniť heslá veľmi často v prípade, že pouížvate programy, ktoré nepracujú v kryptovanom režime a posielajú po sieti nešifrované heslá. Vtedy stačí útočníkovi sledovať vašu komunikáciu a z haldy dát viacmenej jednoducho odhalí, vaše heslo. Takýmto nekriptovaným spojením sa pripája program telnet. Odporúčam používať bezpečnejšie programy ako ssh (Secure Shell). Kryptované shelly však nie sú zárukou, že sa niekomu po určitej dobe nepodarí odhaliť (dešifrovať) vaše heslo, potrvá mu to však podstatne dlhšie ako pri nešifrovanej komunikácií.

usermod [voľby] login
Modifikuje informácie o užívateľovom konte na základe príslušných volieb. Po vytvorení užívateľa sa môže zistiť, že je treba nejaké nastavenie zmeniť. Jedna možnosť je zmazať jeho záznamy a vytvoriť nové, ale to nie je práve najjednoduhšie. Na uľahčenie práce slúži príkaz usermod, pomocou neho moužete veľmi jednoducho kompletne zmeniť základné nastavenia užívateľa.

Voľby:

-d nový_domovský_adresár	-- nastaví užívateľovi nový domovský adresár, ktorý sa aktivuje pri jeho ďalšom nalogovaní, napr. namiesto starého aresáru /home/jozko sa použije nový, vhodné napr. pri presune užívateľa na nový disk
-m	-- presunie údaje zo starého domovského adresára do nového (používa sa spolu s -d)
-e MM-DD	-- dátum, kedy vyprší platnosť konta, vhodné použiť na rušenie starých, nepotrebných účtov, ktoré sú v systéme dlhú dobu a nikto sa ich ani nedotkol. Nastaví určitá doba a po jej uplynutí, ak sa nikto neprihlásil bude účet zrušený.
-f počet_dní	-- po uplynutí určeného počtu dní od vypršania hesla, bude konto zablokované (príp. zrušené) -- implicitne sa používa -1 (po vypršaní platnosti hesla konto nie je zablokované).
-l nový_login	-- zmení užívateľov login, napr. Jozko sa už nechce prihlasovať ako jozko ale jozin.
-p nové_heslo	-- zmení užívateľove heslo, to isté ako passwd
-s nový_shell	-- zmení užívateľov prihlasovací shell, to isté ako chsh
-u nové_id	-- zmení užívateľove identifikačné číslo a UID všetkých súborov jeho domovskom adresári, ktoré mu patrili, zmení na nové ID, nezmení však ID súborov uložených v cudzích adresároch, ktoré sú mimo domovského adresáru. Používa sa zriedka.
-L	-- uzamkne užívateľove heslo (pred jeho heslo v /etc/shadow umiestni "!"). Používa sa zvyčajne ako trest pre nespratníkov, ktorí porušujú pravidlá. Superužívateľ im takto veľmi jednoducho zablokuje prístup do systému.
-U	-- odomkne užívateľove heslo. Keď vyprší doba "trestu", môže superužívateľ opäť sprístupniť ich konto, s ktorým sa medzičasom nič nedialo.

vipw
vigr
Spustí editor špecifikovaný v systémoveaj premennej EDITOR. Tieto príkazy sa používajú pri rozsiahlych zmenách v informáciach o užívateľoch. Na prevádzanie s pouívajú zvačša makrá definované v editor vi, prípadne inom.
vipw -- otvorí /etc/passwd, ak dôjde k zmene, otvorí /etc/shadow
vigr -- otvorí /etc/group, ak dôjde k zmene, otvorí /etc/gshadow

6.4.3. Získavanie informácií

finger [ voľby ] užívateľ
Zobrazí informácie o užívateľoch a ku každému pridá informácie z domovského adresára každého užívateľa, ktoré sú uložené v .plan, .project .forward. Ako parameter pre výpis je možné zadať login, prípadne meno alebo prieazvisko. V sieti sa na výpis informácií o ľuďoch používa tvar login@počítač, prípadne @počítač (toto vypíše všetkých ľudí pripojených k počítaču). Veľmi vhodné na zisťovanie, kde to je, prípadne kedy opustil svoju kanceláriu. Namiesto zháňania ľudí po budovách sa dajú použiť jednoduché programy a ušetrí sa veľké množstvo času. Ak chcete nadviazať spojenie s osobou, ktorú ste hľadali, použite príkaz talk užívateľ@stroj.
Do súboru .plan si môžete uložiť svoje plány, aby ľudia čo vás hľadajú vedeli, napr. kde vás môžu nájdu, keď odítete od počétača. V súbore .project bývajú obvykle popisy projektov, na ktorých pracujete. V .forward sa nachádzajú informácie o tom, kam je presmerovaná pošta.

Voľby:

-l	-- podrobný výpis (implicitne nastavený). Nájdete všetky informácie, ktoré užívateľ o sebe vložil do systému.
-m	-- zablokuje kontrolu mena a priezviska, vhodné použiť pri hľadaní loginom, aby sa mená zbytočne neplietli s loginmi (napr. novak)
-p	-- vynecháva súbory .plan a .project, pokiaľ vás nezaujíma, čo má človek v pláne, prípadne na akom projekte pracuje
-s	-- skrátený výpis (vynechávajú sa informácie zo súborov), keď nepotrebujete vedieť zbytočnosti

id [ voľby ] [ login ]
Vypisuje nasledujúce informácie: identifikácia užívateľa, identifikácia skupiny, identifikácia efektívneho užívateľa a jeho skupiny, teda základné nastavenia, ktoré má užívateľ.

Voľby:

-g, --group	-- vypíše iba užívateľovu skupinu, napr. pre študenta by to bola student
-n, --name	-- pri použití -u, -g, -G sa vypisujú iba mená
-r, --real	-- pri použití -u, -g, -G sa vypisuje iba identifikácia reálneho užívateľa
-u, --user	-- vypíše iba identifikáciu užívateľa
-G, --groups	-- vypíšu sa len doplnkové skupiny - všetky skupiny, do ktorých užívateľ patrí

quota [ voľby ] [ užívateľ | skupina ]
Zobrazí informácie o využití disku pre osobu alebo skupinu. Ak nie sú zadané žiadne voľby, vypisujú sa informácie pre aktuálneho užívateľa. Vypisuje kvóty pre všetky súborové systémy uvedené v /etc/fstab. Každého užívateľa je možné pomocou systému kvót obmedziť, aby zbytočne neplýtval diskovým priestorom. Napr. študenti môžu mať obmedzenie (kvótu) na ukladanie údajov vo svojom domovskom adresári 60 MB.

Voľby:

-g	-- pokiaľ je zadaný užívateľ, vypíšu sa informácie o využití disku pre všetky skupiny, do ktorých patrí
-q	-- vypíšu sa informácie iba o zväzkoch (diskoch), kde užívateľ prekročil kvótu
-u	-- výpis informácií o užívateľovy a skupine (implicitná voľba)
-v	-- zobrazí informácie aj o zväzkoch, kde nemá užívateľ súbory

w [ voľby ] [ login ]
Vypisuje informácie o využítí a stave počítača, prihlásených uživateľoch, práve prevádzaných operáciach. Vhodné na zisťovanie, kto všetko pracuje na počítači a do akej miery využíva jeho zdroje. Často sa stáva, že užívateľovi sa zacyklil proces (napr. Nescape) a využíve veľké množstvo pamäte a procesoru. Tento príkaz pomôže zistiť, či nedošlo k takejto situácií. Ďalším príkazom, ktorý vám pomôže zdetekovať je top.

Voľby:

-f	-- vypnutie poľa FROM pri výpise -- nevypisuje sa miesto, odkiaľ je užívateľ prihlásený
-h	-- nevypisuje hlavičku tabuľky
-s	-- skrátená forma výpisu -- nevypisuje čas prihlásenia užívateľa
-u	-- meno užívateľa je pri zisťovaní stavu procesov ignorované

who [ voľby ] [ súbor ]
Vypisuje informácie o stave systému. Pokiaľ nie sú uvedené voľby, program vypíše len zoznam prihlásených užívateľov, terminály na ktorých pracujú a čas prihlásenia. Parameter súbor je možné využiť pri výpise ďalších informácií. Príkaz je podovný príkazu w, s tým rozdielom, že zisľuje len informácie o užívateľoch a nie o ich procesoch.

Voľby:

am i, -m	-- výpis informácií o užívateľovi, ktorý príkaz zadal (who am i = kto som)
-i, -u, --idle	-- vypisuje nečinnosť každého užívateľa, vhodné na zistenie tzv. mŕtvych prihlásení - užívateľ, ktorý v systéme je prihlásený, ale dlho nezadal žiadny príkaz. "." -- užívateľ je neaktívny menej než minútu "old" -- užívateľ je neaktívny viac než pol dňa
-q, --count	-- výpis mien užívateľov a ich počet, keď potrebujete spočítať, koľko ľudí pracuje na počítači
-w, -T, --mesg, --message, --writable	-- zobrazuje stav pre prijímanie správ (keď chcete s užívateľom komunikovať pomocou talk): + mesg y (je možné zasielať správy) - mesg n (nie je možné zasielať správy) ? chyba pri hľadaní terminálového zariadenia
-H, --headings	-- vypisuje popis tabuľky

6.4.4. Bezpečnosť

pwck [ voľby ] [ súbory ]
Odstráni chybné, prípadne duplicitné položky z /etc/passwd a /etc/shadow. Pri mazaní položiek si vyžiada potvrdenie od užívateľa yes/no. Je možné kontrólovať aj integritu iných súborov. Pokiaľ program nájde opraviteľné chyby vyvolá spustenie usermod. Tento príkaz sa využivá v prípade, ak ste do súboru s heslami zasahovali ručne pomocou editoru. Väčšinou je tento program automaticky spustený po zadaní nového užívateľa.

Voľby:

-n	-- neinteraktívny režim; nič sa nenačítava zo vstupu a nič sa nemaže vracia hodnotu -- stav ukončenia

Návratové hodnoty:

0	-- žiadna chyba, kotrola prebehla úspešne
1	-- chybná syntax
2	-- nájdené chybné heslo
3	-- nie je možné otvoriť súbor s heslami
4	-- nie je možné uzamknúť súbor s heslami
5	-- nie je možné zapisovať do súboru s heslami

grpck [ voľby ] [ súbory ]
Odstráni chybné, prípadne duplicitné položky z /etc/group a /etc/gshadow. Pri mazaní položiek si vyžiada potvrdenie od užívateľa yes/no. Je možné kontrólovať aj integritu iných súborov. Pokiaľ program nájde opraviteľné chyby vyvolá spustenie groupmod. Má podobný význam ako pwck.

Voľby:

-n	-- neinteraktívny režim

Návratové hodnoty:

0	-- žiadna chyba, kotrola prebehla úspešne
1	-- chybná syntax
2	-- nájdené chybné chyby v špecifikácií skupín
3	-- nie je možné otvoriť súbor s definíciami skupín
4	-- nie je možné uzamknúť súbor s definíciami skupín
5	-- nie je možné zapisovať do súboru s definíciami skupín