1、登录帐户管理

在Linux下登录用户帐户的管理是通过utmp和wtmp这两个工具来实现的。wtmp还记录系统重启和系统状态变化的有关信息。所有与utmp和wtmp相关的数据都分别被保存在/var/run/utmp和/var/log/wtmp这两个文件中。这两个文件均归属于root用户所有并且访问权限被设置为644，这些文件中的数据是加密过的。可以用dump-utmp这个工具将原始的数据转换为ASCII的数据，便于系统管理员分析用户的登录以及系统重启和系统状态变化的有关信息。

登录帐户管理的相关命令

last 命令提供了每个用户登录和退出的时间，同时还有系统重新启动以及运行状态改变的信息。默认情况下，last分析/var/log/wtmp文件并显示每个连接和运行状态改变的信息。Last输出的信息可能太多而让查看的人无法应付，典型的用法是last –5，表示查看/var/log/wtmp中的最新5条记录的内容。

who 命令的主要用处是报告系统中当前登录进来的用户信息。Who命令提供了如下的信息：用户登录进入使用的系统终端设备、用户的地址、使用的主机名、X显示的窗口（假如使用了X Windows系统）、用户是否接受其他用户的消息和交谈请求等。

ac 命令提供了有关用户连接的大概统计，我们可以使用带有标志 d 和 p 的 ac 命令。标志 d 显示了一天的总连接统计，标志 p 显示了每一个用户的连接时间。这种统计信息的方式对了解与探测入侵有关的用户情况及其他活动很有帮助。

lastlog 命令读取/var/log/lastlog文件并产生用户最后一次登录信息的报告lastlog命令也用于在Linux系统中检查不寻常的登录记录。

2、系统帐户的审计

Linux操作系统可以通过设置日志文件可以对每个用户的每一条命令进行纪录，不过这一功能默认是没有打开的。

开启这个功能的过程：

　# touch /var/log/pacct 　　# action /var/log/pact

也可以用自已的文件来代替/var/log/pacct这个文件。但必须路径和文件名的正确。

sa命令与 ac 命令一样，sa 是一个统计命令。该命令可以获得每个用户或每个命令的进程使用的大致情况，并且提供了系统资源的消费信息。在很大程度上，sa 又是一个记帐命令，对于识别特殊用户，特别是已知特殊用户使用的可疑命令十分有用。另外，由于信息量很大,需要处理脚本或程序筛选这些信息。

lastcomm命令, 与 sa 命令不同，lastcomm 命令提供每一个命令的输出结果，同时打印出与执行每个命令有关的时间印戳。就这一点而说，lastcomm 比 sa 更有安全性。如果系统被入侵，请不要相信在 lastlog、utmp、wtm中记录的信息，但也不要忽略，因为这些信息可能被修改过了。另外有可能有人替换了who程序来掩人耳目。通常，在已经识别某些可疑活动后，进程记帐可以有效的发挥作用。使用 lastcomm 可以隔绝用户活动或在特定时间执行命令。

3、使用logrorate对审计文件管理

/var/log/utmp，/var/log/wtmp和/var/log/pacct文件都是动态的数据文件。wtmp和pacct文件是在文件尾部不断地增加记录。在繁忙的网络上，这些文件会变得很大。Linux提供了一个叫logrotate的程序，它允许管理员对这些文件进行管理。

Logrotate读取/etc/logrotate.d目录下的文件。管理员通过该目录下的脚本文件，控制logrotate程序的运作。一个典型的脚本文件如下：

{   　　rotate 5
   　　weekly
   　　errors root@serve1r
   　　mail root@server1
   　　copytruncate
   　　compress 
  　　size 100k
   　　}

脚本文件的含义如下：

● rotate 5——保留该文件一份当前的备份和5份旧的备份。 　　

● weekly——每周处理文件一次，通常是一周的第一天。 　　

● errors——向邮件地址发送错误报告。 　　

● mail——向邮件地址发送相关的信息。 　　

● copytruncate——允许进程持续地记录，备份文件创建后，把活动的日志文件清空。 　　

● compress——使用gzip工具对旧的日志文件进行压缩。 　　

● size 100k——当文件超过100k 时自动处理。

与用户（user）和用户组（group）相关的配置文件

1）与用户（user）相关的配置文件；

/etc/passwd 注：用户（user）的配置文件；

/etc/shadow 注：用户（user）影子口令文件；

2）与用户组（group）相关的配置文件；

/etc/group 注：用户组（group）配置文件；

/etc/gshadow 注：用户组（group）的影子文件；

管理用户（user）和用户组（group）的相关工具或命令

1）管理用户（user）的工具或命令

useradd 注：添加用户；

adduser 注：添加用户；

passwd 注：为用户设置密码；

usermod 注：修改用户命令，可以通过；

usermod 来修改登录名、用户的家目录等等；

pwcov 注：同步用户；

从/etc/passwd 到/etc/shadowpwck 注：pwck是校验用户配置文件/etc/passwd 和/etc/shadow 文件内容是否合法或完整；

pwunconv 注：是pwcov 的立逆向操作，是从/etc/shadow和 /etc/passwd 创建/etc/passwd ，然后会删除 /etc/shadow 文件；

finger 注：查看用户信息工具；

id 注：查看用户的UID、GID及所归属的用户组；

chfn 注：更改用户信息工具；

su 注：用户切换工具；

sudo 注：sudo 是通过另一个用户来执行命令（execute a command as another user），su 是用来切换用户，然后通过切换到的用户来完成相应的任务，但sudo 能后面直接执行命令，比如sudo 不需要root 密码就可以执行root 赋与的执行只有root才能执行相应的命令；但得通过visudo 来编辑/etc/sudoers来实现；

visudo 注：visodo 是编辑 /etc/sudoers 的命令；也可以不用这个命令，直接用vi 来编辑 /etc/sudoers 的效果是一样的；

sudoedit 注：和sudo 功能差不多；2）管理用户组（group）的工具或命令；

groupadd 注：添加用户组；

groupdel 注：删除用户组；

groupmod 注：修改用户组信息；

groups 注：显示用户所属的用户组；

grpckgrpconv 注：通过/etc/group和/etc/gshadow 的文件内容来同步或创建/etc/gshadow ，如果/etc/gshadow 不存在则创建；

grpunconv 注：通过/etc/group 和/etc/gshadow 文件内容来同步或创建/etc/group ，然后删除gshadow文件。

3、/etc/skel 目录；/etc/skel目录一般是存放用户启动文件的目录，这个目录是由root权限控制，当我们添加用户时，这个目录下的文件自动复制到新添加的用户的家目录下；/etc/skel 目录下的文件都是隐藏文件，也就是类似.file格式的；我们可通过修改、添加、删除/etc/skel目录下的文件，来为用户提供一个统一、标准的、默认的用户环境。

[root@localhost beinan]# ls -la /etc/skel/总用量
   92drwxr-xr-x 3 root root 4096 8月 11 23:32 
  .drwxr-xr-x 115 root root 12288 10月 14 13:44
   ..-rw-r--r-- 1 root root 24 5月 11 00:15
   .bash_logout-rw-r--r-- 1 root root 191 5月 11 00:15
   .bash_profile-rw-r--r-- 1 root root 124 5月 11 00:15
   .bashrc-rw-r--r-- 1 root root 5619 2005-03-08
   .canna-rw-r--r-- 1 root root 438 5月 18 15:23
   .emacs-rw-r--r-- 1 root root 120 5月 23 05:18
   .gtkrcdrwxr-xr-x 3 root root 4096 8月 11 23:16
   .kde-rw-r--r-- 1 root root 658 2005-01-17
 .zshrc

# *REQUIRED*# Directory where mailboxes reside, _or_ name of file, relative to the
  # home directory. If you _do_ define both, MAIL_DIR takes precedence.
  # QMAIL_DIR is for Qmail  #QMAIL_DIR MaildirMAIL_DIR /var/spool/mail
 注：创建用户时，  要在目录/var/spool/mail中创建一个用户mail文件；
  #MAIL_FILE .mail
　# Password aging controls:
  # PASS_MAX_DAYS Maximum number of days a password may be used.
  # PASS_MIN_DAYS Minimum number of days allowed between password changes.
  # PASS_MIN_LEN Minimum acceptable password length.
  # PASS_WARN_AGE Number of days warning given before a password expires.
  #PASS_MAX_DAYS 99999 注：用户的密码不过期最多的天数；
  PASS_MIN_DAYS 0 注：密码修改之间最小的天数；PASS_MIN_LEN 5
   注：密码最小长度；PASS_WARN_AGE 7 注：
  # Min/max values for automatic uid selection in useradd
  #UID_MIN 500 注：最小UID为500 ，也就是说添加用户时，UID 是从500开始的；
  UID_MAX 60000 注：最大UID为60000；
  #Min/max values for automatic gid selection in groupadd
  #GID_MIN 500 注：GID 是从500开始；GID_MAX 60000
  # If defined, this command is run when removing a user.
  # It should remove any at/cron/print jobs etc. owned by
  # the user to be removed (passed as the first argument).
  #USERDEL_CMD /usr/sbin/userdel_local
  # If useradd should create home directories for users by default
  # On RH systems, we do. This option is ORed with the -m flag on
  # useradd command line.#CREATE_HOME yes 注：是否创用户家目录，要求创建；

关注天下网吧微信,了解网吧网咖经营管理，安装维护: