La gestion des utilisateurs et des groupes peut être une tâche fastidieuse. C'est pourquoi Red Hat Enterprise Linux fournit des outils et des conventions facilitant leur gestion.
Le moyen le plus simple de gérer les utilisateurs et les groupes consiste à utiliser l'application graphique User Manager (system-config-users). Pour plus d'informations sur User Manager, se reporter à la Section 32.1, «Configuration des utilisateurs et des groupes».
Les outils de ligne de commande suivants peuvent également être utilisés pour gérer des utilisateurs et des groupes:
Pour ajouter un utilisateur au système:
Utiliser la commande useradd pour créer un compte d'utilisateur verrouillé:
useradd <nom d'utilisateur>
Déverrouiller le compte en exécutant la commande passwd pour attribuer un mot de passe et définir des instructions de vieillissement de mot de passe:
passwd <nom d'utilisateur>
Pour ajouter un groupe au système, utiliser la commande groupadd:
groupadd <nom-groupe>
Pour des raisons de sécurité, il est conseillé de demander aux utilisateurs de modifier périodiquement leurs mots de passe. Cela peut être fait lors de l'ajout ou de la modification d'un utilisateur dans l'onglet Informations sur le mot de passe du gestionnaire d'utilisateurs.
Pour configurer l'expiration du mot de passe d'un utilisateur à partir d'une invite du shell, utiliser la commande chage, suivie d'une option du Tableau 32.3, «Options de ligne de commande chage», suivie du nom d'utilisateur de l'utilisateur.
Important : Les mots de passe masqués doivent être activés pour utiliser la commande chage.
Si la commande chage est suivie directement par un nom d'utilisateur (sans options), elle affiche les valeurs d'ancienneté du mot de passe actuelles et permet leur modification.
On peut configurer un mot de passe pour qu'il expire lors de la première connexion d'un utilisateur. Cela oblige les utilisateurs à modifier les mots de passe lors de leur première connexion.
Ce processus ne fonctionnera pas si l'utilisateur se connecte à l'aide du protocole SSH.
Si l'utilisateur n'existe pas, utiliser la commande useradd pour créer le compte d'utilisateur, mais sans lui donner de mot de passe pour qu'il reste verrouillé.
Si le mot de passe est déjà activé, le verrouiller avec la commande:
usermod -L nom d'utilisateur
Forcer l'expiration immédiate du mot de passe - Taper la commande suivante:
chage -d 0 nom d'utilisateur
Cette commande définit la date à laquelle le mot de passe a été modifié pour la dernière fois à l’époque (1er janvier 1970). Cette valeur force l'expiration immédiate du mot de passe, quelle que soit la stratégie de vieillissement du mot de passe, le cas échéant.
Déverrouiller le compte - Il existe deux approches communes pour cette étape. L'administrateur peut attribuer un mot de passe initial ou un mot de passe null.
Ne pas utiliser la commande passwd pour définir le mot de passe car il désactive l'expiration immédiate du mot de passe que l'on viens de configurer.
Démarrer l'interpréteur Python en ligne de commande à l'aide de la commande python. Il affiche les éléments suivants:
Python 2.4.3 (n ° 1, 21 juillet 2006, 08:46:09)
[GCC 4.1.1 20060718 (Red Hat 4.1.1-9)] sur linux2
Tapez "aide", "copyright", "crédits" ou "licence" pour plus d'informations.
>>>
À l'invite, taper les commandes suivantes. Remplacer <mot de passe> par le mot de passe à chiffrer et <sel> par une combinaison aléatoire d'au moins 2 des éléments suivants: tout caractère alphanumérique, la barre oblique (/) ou un point (.):
import crypt; print
crypt.crypt ("<mot de passe>", "<sel>")
Le résultat est le mot de passe crypté, similaire à '12CsGd8FRcMSM'.
Appuyer sur Ctrl-D pour quitter l’interpréteur Python.
Sur le shell, entrer la commande suivante (en remplaçant <mot de passe crypté> par la sortie cryptée de l'interpréteur Python):
usermod -p "<mot de passe crypté>" <nom d'utilisateur>
Sinon, on peut attribuer un mot de passe null au lieu d'un mot de passe initial. Pour ce faire, utiliser la commande suivante:
usermod -p "" nom d'utilisateur
L'utilisation d'un mot de passe nul, bien que pratique, est une pratique hautement non sécurisée, car tout tiers peut se connecter d'abord pour accéder au système à l'aide du nom d'utilisateur non sécurisé. Il faut toujours s'assurer que l'utilisateur est prêt à se connecter avant de déverrouiller un compte avec un mot de passe null.
Dans les deux cas, lors de la connexion initiale, un nouveau mot de passe est demandé à l'utilisateur.
Les étapes suivantes illustrent ce qui se passe si la commande useradd juan est émise sur un système sur lequel les mots de passe masqués sont activés:
Une nouvelle ligne pour juan est créée dans /etc/passwd. La ligne a les caractéristiques suivantes:
Une nouvelle ligne pour juan est créée dans /etc/shadow. La ligne a les caractéristiques suivantes:
Une nouvelle ligne pour un groupe nommé juan est créée dans /etc/group. Un groupe portant le même nom qu'un utilisateur est appelé groupe privé d'utilisateurs. La ligne présente les caractéristiques suivantes:
Une nouvelle ligne pour un groupe nommé juan est créée dans /etc/gshadow. La ligne a les caractéristiques suivantes:
Un répertoire pour l'utilisateur juan est créé dans le répertoire /home/. Ce répertoire appartient à l'utilisateur juan et au groupe juan. Cependant, il dispose des privilèges de lecture, d'écriture et d'exécution uniquement pour l'utilisateur juan. Toutes les autres autorisations sont refusées.
Les fichiers du répertoire /etc/skel/ (qui contiennent les paramètres utilisateur par défaut) sont copiés dans le nouveau répertoire /home/juan/.
À ce stade, un compte verrouillé appelé juan existe sur le système. Pour l'activer, l'administrateur doit ensuite attribuer un mot de passe au compte à l'aide de la commande passwd et, éventuellement, définir des instructions de vieillissement du mot de - passe. -