LPIC-1-Vorbereitung - Teil 10: Benutzer und Gruppen, Variablen, Cron und At

Kein Linux-PC kommt ohne Accounts aus - schon die Level-1-Prüfung fordert recht tief gehende Kenntnisse rund ums Anlegen und Verwalten der Konten. Besonders wichtig sind hier »/etc/passwd« und »/etc/shadow«. Als LPI-Prüfling müssen Sie nicht nur wissen, welche Informationen in welcher Datei stehen, sondern die exakte Reihenfolge kennen.

Benutzer und Gruppen

Zum Glück ist die Datei »/etc/passwd« recht überschaubar: Die enthaltenen Zeilen haben den Aufbau »Accountname:Passwort:UID:GID:GECOS/Realname:Homedir:Shell«. Bereits anhand weniger markanter Merkmale entlarven Sie hier schnell falsche Antworten im Multiple-Choice-Test von LPI: Die Einträge beginnen mit dem Accountnamen und enden mit der Login-Shell (und nicht etwa mit dem Homeverzeichnis). Achten Sie bei den vorgegebenen Antworten auch darauf, ob sie das (gegebenenfalls leere) Passwortfeld und das Feld für den Realnamen (GECOS, siehe Kasten "Stichwort GECOS") enthalten.

Etwas ungewohnter ist für viele Administratoren die Datei »/etc/shadow«. Die genaue Bedeutung der Zahlen in den hinteren Spalten ist oft unklar, zudem ist die Reihenfolge der Zahlenfelder schwer einzuprägen. Tabelle 1 erklärt die einzelnen Felder der Shadow-Datei.

Die Shadow-Datei birgt manche nützliche Funktion: Accounts können Sie von vornherein zeitlich befristen oder automatisch durch das System sperren lassen, wenn sich der Inhaber längere Zeit nicht einloggt und sein Passwort nicht aktualisiert. Das beugt wirksam toten Accounts vor und minimiert damit ein potenzielles Sicherheitsrisiko.

Die Felder und deren Bedeutungen müssen Sie für die Prüfung in der richtigen Reihenfolge beherrschen - das ist Fleißarbeit. Suchen Sie sich ein paar Eselsbrücken oder entdecken eine für Sie schlüssige Logik der Reihenfolge, denn die Felder sind nicht ganz beliebig angeordnet. Im LPI-Test kommen Ihnen die Multiple-Choice-Fragen zugute. Auch dort erkennen Sie mit gesundem Halbwissen nach dem Ausschlussverfahren viele Antworten schnell als falsch, was Ihnen die Möglichkeit eröffnet, qualifiziert zu raten.

Neben »passwd« und »shadow« gehören noch »/etc/group« und »/etc/gshadow« zu den wichtigen Dateien der Accountverwaltung, wobei manche Distributionen auf »gshadow« verzichten und Gruppenpasswörter in »group« speichern.

Verwaltungshelfer

Theoretisch ließen sich Accounts allein durch Bearbeiten dieser Dateien anlegen, doch auch der Profi-Administrator wird die Standardtools »chage«, »gpasswd«, »groupadd«, »groupdel«, »groupmod«, »passwd«, »useradd«, »userdel« und »usermod« zu schätzen wissen. Von allen hier genannten Tools sollten Sie die Manpages studieren, um die Aufrufparameter zu kennen, die für die normale Accountverwaltung erforderlich sind.

• »useradd -m Username« legt auch gleich das
  Homeverzeichnis des Nutzers an, was ohne diese Option nicht
  geschieht.
• »useradd -r Username« legt Accounts mit einer
  System-ID an, also beispielsweise für Daemons und andere
  Serverprozesse, die sich üblicherweise nicht einloggen.

Wichtige Informationen, die »useradd« in die Datei »/etc/passwd« schreibt, können Sie hier auch gleich per Parameter angeben: Ein besonderer Pfad zum Homeverzeichnis (»-d«), eine spezielle Login-Shell (»-s«), User-ID (»-u«) oder Gruppen-ID (»-g«) und der Realname des Nutzers im GECOS-Feld (»-c« für Comment) sind auf diese Weise schnell konfiguriert. Abbildung 1 enthält einen Ausschnitt der »useradd«-Manpage, der zeigt, dass das Tool zahlreiche weitere Optionen bietet.

Abbildung 1: Die Tools zur Benutzer- und Gruppenverwaltung besitzen zahlreiche Optionen, wie hier die Manpage zu »useradd« zeigt. Die meisten sind für die LPI-Prüfung aber irrelevant.

Einen bestehenden Account bearbeiten Sie mit »usermod«, viele Parameter dieses Programms sind mit denen von »useradd« identisch. Komfortabel ist die Möglichkeit, mit »-m« das Homeverzeichnis zu verschieben, wenn Sie mit »usermod« einen Account umbenennen. Das dritte Tool im Bunde, »userdel«, ist vergleichsweise überschaubar. Die einzige interessante Option gilt der Frage, ob das Homeverzeichnis beim Löschen eines Accounts erhalten bleibt (Standard) oder verschwindet (»-r«).

Die drei Tools »groupadd«, »groupdel« und »groupmod« müssen Sie ebenfalls der Funktion nach kennen. Ein schneller Blick in die Manpages zeigt: Soweit die von »useradd« & Co. bekannten Aufrufparameter hier Sinn ergeben, sind sie identisch benannt.

Etwas Aufmerksamkeit sollten Sie noch dem recht unbekannten Tool »chage« (change aging) schenken. Hier schließt sich der Kreis zu den Feldern der Datei »/etc/shadow«, denn darüber legen Sie fest, wie und wann Accounts ungültig werden (expiry). Für den Zweck der LPI-Vorbereitung reicht es jedoch aus, diese grundlegende Aufgabe dem Tool zuordnen zu können.