Werkzeuge zur Benutzerverwaltung

Linux-Distributionen stellen gewöhnlich Kontowerkzeuge aus der Shadow-Utilities-Sammlung bereit, doch Voreinstellungen und übergeordnete Hilfsprogramme unterscheiden sich. Bevor du ein lokales Konto änderst, musst du bestätigen, dass es nicht zentral verwaltet wird, die lokale Handbuchseite des Befehls prüfen und einen Wiederherstellungsweg bereithalten.

Die Befehle in dieser Lektion verändern Authentifizierungs- und Eigentumszustände. Übe ausschließlich in einer autorisierten, entbehrlichen Umgebung und nicht auf einem Produktivsystem.

Dateien wie /etc/default/useradd, /etc/login.defs und Vorlageninhalte können das Verhalten beeinflussen, doch ihre Rollen unterscheiden sich je nach Distribution. Ein übergeordneter Befehl adduser kann vorhanden sein, seine Oberfläche ist jedoch nicht auf allen Linux-Systemen standardisiert.

Das neue Konto kann sich gewöhnlich erst dann mit einem verwendbaren lokalen Passwort authentifizieren, wenn eines festgelegt wurde. Der genaue anfängliche Passwort- und Sperrzustand hängt jedoch von den lokalen Werkzeugen und Richtlinien ab. Überprüfe die Einträge, statt Annahmen zu treffen:

$ getent passwd bob
$ sudo passwd -S bob
$ id bob

Ein autorisierter Administrator kann das Passwort eines anderen lokalen Kontos festlegen mit:

$ sudo passwd bob

Gib Passwörter ausschließlich an der geschützten Eingabeaufforderung ein und nicht in Befehlsargumenten, im Shell-Verlauf, in Lektionsnotizen oder in einem Chat. PAM-Richtlinien können schwache oder wiederverwendete Passwörter ablehnen. Für durch Verzeichnisdienste verwaltete Konten kann ein anderes Werkzeug erforderlich sein.

Prüfe vor dem Verschieben des Home-Verzeichnisses das Ziel, die Eigentumsverhältnisse, den verfügbaren Speicherplatz, laufende Prozesse, Einhängungen und Dienste. Bei ergänzenden Gruppen bedeutet -aG, dass die Gruppe der aktuellen Liste hinzugefügt wird. -G ohne -a ersetzt die gesamte Liste der ergänzenden Gruppen und kann unerwartet Zugriff entfernen.

Gruppenänderungen wirken gewöhnlich in neuen Anmeldesitzungen und nicht in Prozessen, die bereits mit den alten Zugangsdaten laufen.

Eine Passwortsperre beendet nicht unbedingt den Zugriff über SSH-Schlüssel, Token, geplante Aufgaben, bereits laufende Prozesse oder dienstspezifische Authentifizierung. Um ein Konto umfassend zu deaktivieren, musst du die Bedrohung und die Zugriffswege bestimmen und anschließend eine abgestimmte Richtlinie anwenden. Diese kann Kontoablauf, Anmelde-Shell, Dienstzugriff, Schlüssel und Sitzungsbeendigung umfassen.

Vor jeder Entfernung:

1. Bestätige das genaue Konto mit getent passwd bob und id bob.
2. Ermittle laufende Prozesse, geplante Aufgaben, Dienste, Schlüssel und delegierte Zugriffe.
3. Erfasse Dateien im Besitz der UID auf den vorgesehenen Dateisystemen.
4. Entscheide, ob Daten übertragen, archiviert, aufbewahrt oder sicher gelöscht werden müssen.
5. Stelle sicher, dass die UID nicht neu vergeben wird, solange verwaiste Dateien bestehen.

userdel -r garantiert nicht die Entfernung von Dateien außerhalb der konfigurierten Home- und Mail-Speicherorte. Das Löschen eines Kontos kann außerdem numerische Eigentumsangaben an Dateien, Datenbankberechtigungen, Anwendungsidentitäten und Einträge in entfernten Verzeichnisdiensten zurücklassen.

Probiere diese praktischen Labs aus, um den Lebenszyklus eines Kontos in einer isolierten Umgebung zu üben:

1. Linux-Benutzerkonten mit useradd, usermod und userdel verwalten - Übe den vollständigen Lebenszyklus der Benutzerverwaltung, vom Erstellen und Absichern neuer Konten bis zu deren Änderung und Löschung.
2. Linux-Gruppen mit groupadd, usermod und groupdel verwalten - Sammle praktische Erfahrung mit zentralen Befehlszeilenwerkzeugen zur Gruppenverwaltung, einschließlich des Hinzufügens, Änderns und Löschens von Gruppen.
3. Benutzerkonten und sudo-Berechtigungen unter Linux konfigurieren - Lerne grundlegende Techniken zur Verwaltung von Benutzerkonten und sudo-Berechtigungen, um die Sicherheit eines Linux-Systems zu erhöhen.