unix 用户和组管理

管理 IBM AIX 中的用户和组是管理员的重要责任之一。

可以以许多种方式管理用户和组：可以通过 AIX System Management Interface Tool (SMIT) 管理它们，也可以手工编辑配置文件或使用命令行命令。

本文讨论 AIX 上与用户和组相关的配置文件，以及用来帮助管理用户和组的命令行工具。

先了解文件，然后了解命令在学习 AIX 中用来创建、修改和维护用户和组的命令之前，一定要了解在幕后发生的情况。

例如，应该了解相关文件及其作用。

下面是影响用户本身的一些文件：AIX 中的命令请记住，本文讨论的命令和方法应该可以在配置文件中有本地用户和组的 AIX 系统上使用。

如果系统处理来自远程源（例如 Network Information System，即 NIS）的用户和组，那么不应该使用 chuser 和 chgroup 等命令。

∙/etc/passwd∙/etc/security/.profile∙/etc/security/limits∙/etc/security/passwd∙/etc/security/user∙/usr/lib/security/mkuser.default/etc/passwd/etc/passwd 文件包含用户的基本信息，它可能是UNIX® 和Linux® 用户最熟知的用户管理文件。

清单 1给出 /etc/passwd 文件的示例。

清单 1. /etc/passwd 文件示例root:!:0:0::/:/usr/bin/kshdaemon:!:1:1::/etc:bin:!:2:2::/bin:sys:!:3:3::/usr/sys:adm:!:4:4::/var/adm:uucp:!:5:5::/usr/lib/uucp:guest:!:100:100::/home/guest:nobody:!:4294967294:4294967294::/:lpd:!:9:4294967294::/:lp:*:11:11::/var/spool/lp:/bin/falseinvscout:*:6:12::/var/adm/invscout:/usr/bin/kshsnapp:*:200:13:snapp login user:/usr/sbin/snapp:/usr/sbin/snappd ipsec:*:201:1::/etc/ipsec:/usr/bin/kshnuucp:*:7:5:uucp loginuser:/var/spool/uucppublic:/usr/sbin/uucp/uucicopconsole:*:8:0::/var/adm/pconsole:/usr/bin/kshesaadmin:*:10:0::/var/esa:/usr/bin/kshsshd:*:206:201::/var/empty:/usr/bin/kshatc:!:8000:400:Adam Cormany,Sr UNIX Admin:/home/atc:/bin/kshamdc:!:8001:401:AMDC:/home/amdc:/bin/kshpac:!:8002:400:PAC,Jr UNIX Admin:/home/pac:/bin/kshatc2:!:8003:402:ATCv2:/home/atc2:/bin/ksh可以看到这个文件使用冒号 (:) 作为分隔符，每个条目按以下格式包含 7 个字段（为了便于阅读，在分隔符前后添加了空格）：Username : Password Flag : UID : GID : GECOS : Home : Shell/Command 下面逐一解释这些字段：∙Username。

这是与用户账户相关联的登录名/用户名。

∙Password Flag。

这个字段因 UNIX 和 Linux 的风格而异。

在 AIX 上，第二个字段可以包含两个字符之一：! 或 *。

如果显示 !，那么已经为此用户设置了密码。

如果还没有设置密码，就会出现 *。

密码本身存储在/etc/security/passwd 中。

∙UID。

User Identifier (UID) 是用户的数字标识符。

∙GID。

Group Identifier (GID) 与 UID 相似，但是它与组相关联。

GID 在/etc/group 中定义。

∙GECOS。

General Electric Comprehensive Operating System (GECOS) 信息存储在第五个字段中。

这里存储用户的姓名、电话号码和其他一般个人信息。

∙Home。

这是用户的主目录。

∙Shell/Command。

通常情况下，最后一个字段包含在用户登录时启动的shell。

管理员也可以通过修改这个字段执行其他命令而不是 shell（例如 /bin/false），从而限制访问。

/etc/security/.profile/etc/security/.profile 文件可以节省宝贵的时间和减少麻烦。

在使用 mkuser 命令创建用户时，执行 /usr/lib/security/mkuser.sys 脚本。

这个脚本创建用户的目录，设置正确的权限，“创建”用户的 .profile。

mkuser.sys 脚本实际上是把 /etc/security/.profile 文件复制到新用户的主目录中。

如果您正在构建新系统，或者一个新部门有 100 名员工需要在系统上建立账户，那么一定要先修改 /etc/security/.profile 文件，然后再开始创建用户账户。

如果已经创建了账户，然后意识到需要对某个变量或其他设置做简单的修改，就不得不手工修改每个用户的 profile。

可以使用脚本简化这个过程，但是如果提前修改了 /etc/security/.profile，会简单得多。

清单 2给出一个 /etc/security/.profile 文件示例。

清单 2. /etc/security/.profile 文件示例PATH=/usr/bin:/etc:/usr/sbin:/usr/ucb:$HOME/bin:/usr/bin/X11:/sbin:. export PATHif [ -s "$MAIL" ] # This is at Shell startup. In normal then echo "$MAILMSG" # operation, the Shell checksfi # periodically./etc/security/limits/etc/security/limits 文件包含所有 ulimit，即用户的系统资源限制。

表 1列出 /etc/security/limits 文件中的字段及其用途。

表 1. /etc/security/limits 中的字段软限制硬限制说明fsize fsize_hard 用户可以创建的文件的大小core core_hard 用户可以创建的核心文件的大小cpu cpu_hard 允许的系统时间量data data_hard 进程数据段的大小stack stack_hard 进程堆栈段的大小rss rss_hard 允许的物理内存量nofiles nofiles_hard 同时打开的文件描述符数量nproc nproc_hard 同时运行的进程数量软限制和硬限制的区别是什么？在最大值（硬限制）范围内，用户或应用程序可以动态地修改软限制。

硬限制就是参数可以设置的最大值。

如果把参数设置为数字值太困难（例如，如果开发人员不知道程序将使用的内存量或它需要打开的文件数量），那么可以把参数设置为-1，这表示无限制。

但是，不必为每个用户设置所有 ulimit。

/etc/security/limits 文件包含一个default 部分，它为每个用户定义一组标准值，如果用户没有设置定制的值，就会使用这些值。

如果 default 部分不存在，系统会设置预先确定的限制。

IBM 的默认值如下：* Attribute Value* ========== ============* fsize_hard set to fsize* cpu_hard set to cpu* core_hard -1* data_hard -1* stack_hard 8388608* rss_hard -1* nofiles_hard -1清单 3给出一个 /etc/security/limits 文件示例。

清单 3. /etc/security/limits 文件示例default:fsize = 4194303core = 16384cpu = -1data = 262144rss = 65536stack = 65536pac:fsize = 131072fsize_hard = 262144core = 262144假设用户“pac”是一位初级 UNIX 管理员，他的软限制值 fsize 由 default 部分的 4,194,303 降低到 131,072；但是，允许他在需要时把这个值增加到262,144。

另外，pac 经常把自己的程序弄坏。

因此，把他的 core ulimit 增加到 262,144。

/etc/security/passwd/etc/security/passwd 文件包含 AIX 用户的密码信息。

在这个文件中，每个用户有三个字段：∙password。

加密的密码。

注意：如果这个字段只包含星号 (*)，那么账户被锁定，直到设置密码为止。

∙lastupdate。

最后一次更新密码的时间（系统纪元以来的秒数）。

∙flags。

对修改用户密码的限制。

可以设置三个标志：o ADMIN。

如果设置，那么只有根用户可以修改用户的密码。

o ADMCHG。

如果设置，那么在用户下一次登录或执行 su 时提示修改密码。

o NOCHECK。

如果设置，那么忽略 /etc/security/user 中的任何其他限制。

清单 4提供一个 /etc/security/password 文件示例。

清单 4. /etc/security/password 文件示例amdc:password = oBQaUkPkUryCYlastupdate = 1243972006flags = ADMCHG在这个示例中，用户“amdc”的密码是在 2009 年 6 月 2 日星期二 15:46:46 EDT 设置的。

当用户下一次登录或执行 su 时，会提示修改密码。

您可能想知道如何把系统纪元以来的秒数转换为可读性更好的表示法，为此我编写了一个 Perl 脚本。