Rozdział 13. Użytkownicy i podstawy zarządzania kontami

FreeBSD umożliwia pracę z komputerem wielu użytkownikom w tym samym czasie. Oczywiście, tylko jedna osoba może w danej chwili siedzieć przed monitorem i klawiaturą , lecz dowolna liczba użytkowników może być zalogowana przez sieć. By móc korzystać z systemu, każdy użytkownik musi posiadać konto.

Po przeczytaniu tego rozdziału, będziemy wiedzieć:

Przed przeczytaniem tego rozdziału, powinniśmy:

Konta umożliwiają dostęp do systemu. Natomiast procesy uruchamiane są przez użytkowników. Stąd też zarządzanie kontami systemowymi i użytkowników stanowi integralny element systemów FreeBSD.

Z każdym kontem w systemie FreeBSD skojarzone są pewne informacje służące do jego identyfikacji.

Istnieją trzy podstawowe typy kont: konto Superużytkownika, konta systemowe i konta użytkowników. Konto Superużytkownika, z reguły nazywane root, wykorzystywane jest do zarządzania systemem z nieograniczonymi uprawnieniami. Konta systemowe wykorzystywane są do uruchamiania usług. Konta użytkowników natomiast wykorzystywane są przez prawdziwych ludzi, którzy logują się, czytają pocztę itp.

Konto superużytkownika, z reguły nazywane kontem root, domyślnie jest tak skonfigurowane, by ułatwić administrację systemem i jako takie nie powinno być wykorzystywane do codziennych zajęć, jak np. wysyłanie i odbiór poczty, ogólne zgłębianie systemu czy programowanie.

Powodem tego jest fakt, iż superużytkownik - w przeciwieństwie do zwykłego użytkownika - może działać bez żadnych ograniczeń. Stąd też niewłaściwe użycie tego konta może skończyć się spektakularną katastrofą. Konta użytkowników nie są zdolne przez pomyłkę uszkodzić systemu. Tak więc najlepszym rozwiązaniem jest korzystanie z konta zwykłego użytkownika kiedy tylko to możliwe, chyba że szczególnie potrzebujemy dodatkowych uprawnień.

Skoro dodatkowa spacja bądź brak znaku mogą doprowadzić do nieodwracalnej utraty danych, zawsze powinniśmy sprawdzać polecenie wydawane jako superużytkownik dwu- lub nawet trzykrotnie.

Tak więc pierwszą rzeczą, którą powinniśmy zrobić po przeczytaniu tego rozdziału - jeśli jeszcze tego nie zrobiliśmy - jest stworzenie dla siebie konta nieuprzywilejowanego użytkownika do ogólnego zastosowania. Dotyczy to zarówno sytuacji gdy korzystamy z systemu o wielu użytkownikach jak i gdy pracujemy na maszynie sami. W dalszej części tego rozdziału omówiony zostanie proces tworzenia dodatkowego konta oraz zmiany trybu pracy pomiędzy zwykłym użytkownikiem a superużytkownikiem.

Konta systemowe wykorzystywane są do uruchamiania usług, takich jak np. DNS, poczta, serwery WWW itd. Powodem takiego wykorzystania kont jest bezpieczeństwo; jeśli wszystkie usługi pracowałyby jako superużytkownik, mogłyby działać bez żadnych ograniczeń.

Przykładami kont systemowych są daemon, operator, bind (dla serwera DNS), news oraz www.

nobody jest standardowym nieuprzywilejowanym kontem systemowym. Tym nie mniej należy pamiętać, że im więcej usług będzie pracowało jako użytkownik nobody, z tym większą ilością plików i procesów będzie on związany i tym samym uzyska większe przywileje.

Konta użytkowników są dla rzeczywistych osób podstawowym środkiem dostępu do systemu. Izolują one użytkowników od otoczenia, uniemożliwiając im uszkodzenie systemu bądź danych innych użytkowników, pozwalając im przy tym dostosować do własnych potrzeb środowisko pracy.

Każda osoba korzystająca z naszego systemu powinna posiadać unikalne konto użytkownika. Pozwala to nam sprawdzić co kto robi, a także uniemożliwić użytkownikom ingerencję w ustawienia innych użytkowników, czytać sobie na wzajem pocztę itd.

Każdy użytkownik może dostosować własne środowisko pracy wykorzystując alternatywne powłoki, edytory, skróty klawiszone czy język.

W środowisku systemów UNIX® dostępnych jest szeroka gama różnorodnych poleceń do manipulacji kontami użytkowników. Najczęściej wykorzystywane zostały omówione poniżej, wraz z przykładami zastosowania.

Jeśli w naszym systemie mamy wielu użytkowników konieczne może się okazać ograniczenie ich możliwości. FreeBSD posiada kilka sposobów na ograniczenie ilość zasobów systemowych, które dana osoba może wykorzystać. Ograniczenia te są podzielone na dwie grupy: udziały dyskowe i limity innych zasobów.

Udziały dyskowe (ang. quota) ograniczają dostępną użytkownikowi przestrzeń na dysku. Umożliwiają również szybkie sprawdzenie stopnia jej wykorzystania bez konieczności każdorazowego przeliczania. Udziały dyskowe szczegółowo omawia File System Quotas.

Pozostałe limity dają możliwość ograniczenia wykorzystania czasu procesora, pamięci i innych zasobów, z których może korzystać użytkownik. Definiuje się je przy wykorzystaniu klas logowania i to właśnie one zostały tutaj opisane.

Klasy logowania określane są w pliku /etc/login.conf. Szczegółowa semantyka wykracza dalece poza ramy tej sekcji. Jej pełen opis znaleźć można w podręczniku systemowym login.conf(5). W tym momencie wystarczy powiedzieć, że każdy użytkownik posiada przypisaną klasę logowania (domyślnie jest to klasa default) przy czym każda klasa logowania dysponuje zestawem uprawnień. Uprawnieniami logowania są pary nazwa=wartość, gdzie nazwa jest identyfikatorem a wartość dowolnym ciągiem przetwarzanym w sposób zależny od nazwy. Konfiguracja klas logowania i uprawnień jest stosunkowo prostym zadaniem i również została opisana na stronach podręcznika systemowego login.conf(5).

Limity zasobów różnią się od typowych uprawnień logowania. Po pierwsze, dla każdego limitu istnieje tzw. miękki (aktualny) i twardy limit. Limit miękki może być zmieniany przez użytkownika bądź aplikację, lecz nie może być większy od twardego. Twardy natomiast może być zmniejszony przez użytkownika, lecz nie podwyższony. Po drugie, większość limitów zasobów dotyczy procesów danego użytkownika, nie użytkownika jako całości. Przy czym zauważyć należy, że różnice te wynikają ze względu na odmienne metody zarządzania limitami, nie zaś na implementację struktury uprawnień logowania (np. nie są one na prawdę specjalnym przypadkiem uprawnień logowania).

Zatem, bez dalszych wstępów, zestawione poniżej zostały najczęściej wykorzystywane limity zasobów (opis pozostałych, razem z innymi uprawnieniami logowania, odnaleźć można w podręczniku login.conf(5)).

Jest jeszcze kilka innych kwestii wartych pamiętania przy konfiguracji limitów zasobów. Poniżej zamieszczonych jest kilka ogólnych porad, sugestii i rozmaitych komentarzy.

Więcej informacji o limitach zasobów, klasach logowania i ogólnych uprawnieniach znaleźć można w odpowiednich podręcznikach systemowych: cap.mkdb(1), getrlimit(2), login.conf(5).

Grupa jest po prostu listą użytkowników. Grupy identyfikowane są na podstawie nazwy grupy oraz numeru GID (ang. Group ID). We FreeBSD (i w większości innych systemów UNIX®), dwoma czynnikami wykorzystywanymi przez jądro do określenia czy dany proces jest uprawniony do danej czynności jest identyfikator użytkownika (UID) oraz lista grup, do których użytkownik należy. W przeciwieństwie do UID, proces dysponuje listą grup powiązanych z nim. W różnych źródłach możemy przeczytać, że pewne rzeczy odnoszą się do "identyfikatora grupy" użytkownika bądź procesu; w większości przypadków oznacza to po prostu pierwszą grupę na liście.

Odwzorowanie nazwy grupy na identyfikator grupy znajduje się w pliku /etc/group. Jest to prosty plik tekstowy z czterema polami oddzielonymi dwukropkiem. Pierwsze pole zawiera nazwę grupy, drugie zaszyfrowane hasło, trzecie identyfikator grupy a czwarte listę członków grupy oddzielonych przecinkami. Plik ten można śmiało edytować ręcznie (zakładając oczywiście, że nie popełnimy żadnych błędów składniowych!). Szczegółowy opis składni pliku znaleźć można na stronie podręcznika systemowego group(5).

Jeśli nie chcemy ręcznie edytować pliku /etc/group, by dodawać i usuwać grupy, możemy wykorzystać polecenie pw(8). Przykładowo, by dodać grupę o nazwie teamtwo a następnie potwierdzić, że została dodana możemy użyć:

Numer 1100 powyżej jest identyfikatorem grupy teamtwo. W chwili obecnej grupa ta nie zawiera żadnych członków i tym samym jest raczej bezużyteczna. Zmieńmy to zapraszając do grupy użytkownika jru.

Parametrem opcji -M jest lista użytkowników oddzielonych przecinkami, którzy są członkami grupy. Z poprzednich sekcji wiemy, że plik haseł również zawiera przypisaną grupę dla każdego użytkownika. Jest to grupa, do której użytkownik został automatycznie dodany przez system. Taki użytkownik nie zostanie wyświetlony jako członek grupy gdy wykorzystamy polecenie pw(8) groupshow, jednakże wciąż będzie wyświetlany przy użyciu polecenia id(1) bądź innego podobnego narzędzia. Innymi słowy, pw(8) manipuluje jedynie plikiem /etc/group i nigdy nie spróbuje odczytać dodatkowych informacji z pliku /etc/passwd.

Jak widzimy, jru jest członkiem grup jru i teamtwo.

Więcej informacji o poleceniu pw(8) znaleźć można w jego podręczniku systemowym. Natomiast szczegółowe informacje o formacie pliku /etc/group znajdują się w podręcznik group(5).