Documentation for a newer release is available. View Latest

Mengelola Pengguna dan Grup

Perkenalan ke Pengguna dan Grup

Sementara pengguna bisa berupa orang (yang berarti akun yang diikat ke pengguna fisik) atau akun yang ada untuk dipakai oleh aplikasi tertentu, grup adalah ekspesi lojik dari organisasi, mengikat pengguna bersama bagi suatu tujuan yang sama. Pengguna dalam suatu grup berbagi izin yang sama untuk membaca, menulis, atau mengeksekusi berkas-berkas yang dimiliki oleh grup itu.

Setiap pengguna dikaitkan dengan sebuah nomor identifikasi unik yang bernama ID pengguna (UID). Demikian juga, setiap grup dikaitkan dengan ID grup (GID). Pengguna yang membuat sebuah berkas juga merupakan pemilik dan pemilik grup dari berkas tersebut. Berkas diberikan izin baca, tulis, dan eksekusi terpisah untuk pemilik, grup, dan semua orang lainnya. Pemilik berkas hanya dapat diubah oleh root, dan izin akses dapat diubah oleh pengguna root dan pemilik berkas.

Selain itu, Fedora mendukung access control lists (ACL) untuk berkas dan direktori yang memungkinkan izin untuk pengguna tertentu di luar pemilik ditetapkan. Untuk informasi selengkapnya tentang fitur ini, lihat bab Access Control Lists dari Panduan Administrator Sistem Red Hat Enterprise Linux 7.

Grup Pribadi Pengguna

Fedora menggunakan suatu skema user private group (UPG), yang membuat grup UNIX lebih mudah dikelola. Suatu grup privat pengguna (user private group) dibuat saat pengguna baru ditambahkan ke sistem. Itu memiliki nama yang sama dengan pengguna dimana itu dibuat untuknya dan pengguna itu adalah satu-satunya anggota dari grup privat pengguna tersebut.

Grup privat pengguna membuat aman menata izin baku bagi berkas atau direktori yang baru dibuat, mengizinkan pengguna dan grup pengguna tersebut membuat perubahan ke berkas atau direktori.

The setting which determines what permissions are applied to a newly created file or directory is called a umask and is configured in the /etc/bashrc file. Traditionally on UNIX-based systems, the umask is set to 022, which allows only the user who created the file or directory to make modifications. Under this scheme, all other users, including members of the creator’s group, are not allowed to make any modifications. However, under the UPG scheme, this "group protection" is not necessary since every user has their own private group.

Daftar dari semua grup disimpan dalam berkas konfigurasi /etc/group.

Kata Sandi Shadow

Dalam lingkungan dengan beberapa pengguna, sangat penting untuk memakai kata sandi shadow yang disediakan oleh paket shadow-utils untuk meningkatkan keamanan dari berkas-berkas autentikasi sistem. Untuk alasan ini, program instalasi memfungsikan kata sandi shadow secara baku.

Berikut ini adalah daftar dari keuntungan kata sandi shadow dibanding dengan cara tradisional menyimpan kata sandi pada sistem berbasis UNIX:

  • Kata sandi shadow memperbaiki keamanan sistem dengan memindah hash kata sandi terenkripsi dari berkas /etc/passwd yang dapat dibaca siapa pun ke /etc/shadow, yang hanya dapat dibaca oleh pengguna root.

  • Kata sandi shadow menyimpan informasi tentang masa kedaluwarsa kata sandi.

  • Kata sandi shadow memungkinkan berkas /etc/login.defs memaksakan kebijakan keamanan.

Kebanyakan utilitas yang disediakan oleh paket shadow-utils bekerja dengan benar baik ketika kata sandi shadow difungsikan atau tidak. Namun, karena informasi masa kedaluwarsa kata sandi disimpan secara eksklusif dalam berkas /etc/shadow, beberapa utilitas dan perintah tidak bekerja tanpa terlebih dahulu memfungsikan kata sandi shadow:

  • Utilitas chage untuk menata parameter masa kedaluwarsa kata sandi. Untuk rincian, lihat bagian Keamanan Kata Sandi dalam Panduan Keamanan Red Hat Enterprise Linux 7.

  • Utilitas gpasswd untuk mengadministrasi berkas /etc/group.

  • Perintah usermod dengan opsi -e, --expiredate atau -f, --inactive.

  • Perintah useradd dengan opsi -e, --expiredate atau -f, --inactive.

Mengelola Pengguna dalam suatu Lingkungan Grafis

The Users utility allows you to view, modify, add, and delete local users in the graphical user interface.

Memakai Alat Pengaturan Pengguna

Press the Super key to enter the Activities Overview, type Users and then press Enter. The Users settings tool appears. The Super key appears in a variety of guises, depending on the keyboard and other hardware, but often as either the Windows or Command key, and typically to the left of the Spacebar.

To make changes to the user accounts, first select the Unlock button and authenticate yourself as indicated by the dialog box that appears. Note that unless you have superuser privileges, the application will prompt you to authenticate as root. To add and remove users, select the + and - button respectively. To add a user to the administrative group wheel, change the Account Type from Standard to Administrator. To edit a user’s language setting, select the language and a drop-down menu appears.

Alat pengaturan Pengguna
Gambar 1. Alat Pengaturan Pengguna

When a new user is created, the account is disabled until a password is set. The Add User menu contains the options to set a password by the administrator immediately, or to allow the user to choose a password at the first login.

Memakai Alat Baris Perintah

Apart from the Users settings tool described in Managing Users in a Graphical Environment, which is designed for basic managing of users, you can use command line tools for managing users and groups that are listed in Command line utilities for managing users and groups.

Tabel 1. Utilitas baris perintah untuk mengelola pengguna dan grup
Utilities Description

id

Displays user and group IDs.

useradd, usermod, userdel

Standard utilities for adding, modifying, and deleting user accounts.

groupadd, groupmod, groupdel

Standard utilities for adding, modifying, and deleting groups.

gpasswd

Standard utility for administering the /etc/group configuration file.

pwck, grpck

Utilities that can be used for verification of the password, group, and associated shadow files.

pwconv, pwunconv

Utilities that can be used for the conversion of passwords to shadow passwords, or back from shadow passwords to standard passwords.

grpconv, grpunconv

Similar to the previous, these utilities can be used for conversion of shadowed information for group accounts.

Menambahkan Pengguna Baru

To add a new user to the system, type the following at a shell prompt as root:

useradd opsi namapengguna

…where options are command-line options as described in Common useradd command-line options. By default, the useradd command creates a locked user account. To unlock the account, run the following command as root to assign a password:

passwd namapengguna

Optionally, you can set a password aging policy. See Enabling Password Aging for information on how to enable password aging.

Tabel 2. Opsi baris perintah umum useradd
Option Description

-c 'comment'

comment can be replaced with any string. This option is generally used to specify the full name of a user.

-d home_directory

Home directory to be used instead of default /home/username/.

-e date

Date for the account to be disabled in the format YYYY-MM-DD.

-f days

Number of days after the password expires until the account is disabled. If 0 is specified, the account is disabled immediately after the password expires. If -1 is specified, the account is not disabled after the password expires.

-g group_name

Group name or group number for the user’s default (primary) group. The group must exist prior to being specified here.

-G group_list

List of additional (supplementary, other than default) group names or group numbers, separated by commas, of which the user is a member. The groups must exist prior to being specified here.

-m

Create the home directory if it does not exist.

-M

Do not create the home directory.

-N

Do not create a user private group for the user.

-p password

The password encrypted with crypt.

-r

Create a system account with a UID less than 1000 and without a home directory.

-s

User’s login shell, which defaults to /bin/bash.

-u uid

User ID for the user, which must be unique and greater than 999.

The command-line options associated with the usermod command are essentially the same. Note that if you want to add a user to another supplementary group, you need to use the -a, --append option with the -G option. Otherwise the list of supplementary groups for the user will be overwritten by those specified with the usermod -G command.

Menjelaskan Proses

Langkah-langkah berikut mengilustrasikan apa yang terjadi ketika perintah useradd juan diberikan pada suatu sistem yang kata sandi shadow-nya difungsikan:

  1. Sebuah baris baru bagi juan dibuat dalam /etc/passwd:

    juan:x:1001:1001::/home/juan:/bin/bash

    Baris tersebut memiliki karakteristik berikut:

    • Itu diawali dengan nama pengguna juan.

    • Ada sebuah x bagi ruas kata sandi yang mengindikasikan bahwa sistem memakai kata sandi shadow.

    • Sebuah UID lebih dari 999 dibuat. Di bawah Fedora, UID di bawah 1000 dicadangkan untuk penggunaan sistem dan tidak boleh diberikan ke pengguna.

    • Sebuah GID lebih dari 999 dibuat. Di bawah Fedora, GID di bawah 1000 dicadangkan untuk penggunaan sistem dan tidak boleh diberikan ke pengguna.

    • Informasi GECOS opsional dibiarkan kopsong. Ruas GECOS dapat dipakai untuk menyediakan informasi tambahan tentang pengguna, seperti nama lengkap dan nomor telepon mereka.

    • Direktori rumah bagi juan diatur ke /home/juan.

    • Shell baku diatur ke /bin/bash.

  2. Sebuah baris baru bagi juan dibuat dalam /etc/shadow:

    juan:!!:14798:0:99999:7:::

    Baris tersebut memiliki karakteristik berikut:

    • Itu dimulai dengan nama pengguna juan.

    • Dua tanda seru (!!) muncul dalam ruas kata sandi dari berkas /etc/shadow, yang mengunci akun.

      Catatan

      Bila suatu kata sandi terenkripsi diberikan memakai flag -p, itu ditempatkan dalam berkas /etc/shadow pada baris baru bagi pengguna.

    • Kata sandi diatur agar tidak pernah kedaluwarsa.

  3. Suatu baris baru bagi sebuah grup bernama juan dibuat dalam /etc/group:

    juan:x:1001:

    Sebuah grup dengan nama yang sama dengan pengguna dinamai grup pribadi pengguna. Untuk informasi lebih banyak tentang grup pribadi pengguna, lihat Grup Pribadi Pengguna.

    Baris yang dibuat dalam /etc/group memiliki karakteristik berikut:

    • Itu dimulai dengan nama grup juan.

    • Sebuah x muncul dalam ruas kata sandi mengindikasikan bahwa sistem memakai kata sandi grup shadow.

    • GID yang cocok dengan yang tercantum bagi grup utama juan dalam /etc/passwd.

  4. Sebuah baris baru bagi suatu grup bernama juan dibuat dalam /etc/gshadow:

    juan:!::

    Baris tersebut memiliki karakteristik berikut:

    • Itu dimulai dengan nama grup juan.

    • Sebuah tanda seru (!) muncul dalam ruas kata sandi dari berkas /etc/gshadow, yang mengunci grup.

    • Semua ruas lain kosong.

  5. Suatu direktori bagi pengguna juan dibuat dalam direktori /home/:

    ~]# ls -ld /home/juan
    drwx------. 4 juan juan 4096 Mar  3 18:23 /home/juan

    Direktori ini dimiliki oleh pengguna juan dan grup juan. Itu memiliki hak baca, tulis, dan eksekusi hanya bagi pengguna juan. Semua hak lain ditolak.

  6. Berkas di dalam direktori /etc/skel (yang memuat pengaturan pengguna baku) disalin ke dalam direktori /home/juan yang baru. Isi dari /etc/skel mungkin bervariasi bergantung kepada aplikasi yang terpasang:

    ~]# ls -la /home/juan
    total 24
    drwx------. 4 juan juan 4096 Mar  3 18:23 .
    drwxr-xr-x. 5 root root 4096 Mar  3 18:23 ..
    -rw-r--r--. 1 juan juan   18 Jul 09 08:43 .bash_logout
    -rw-r--r--. 1 juan juan  176 Jul 09 08:43 .bash_profile
    -rw-r--r--. 1 juan juan  124 Jul 09 08:43 .bashrc
    drwxr-xr-x. 4 juan juan 4096 Jul 09 08:43 .mozilla

Pada titik ini, suatu akun terkunci yang bernama juan ada pada sistem. Untuk mengaktifkannya, administrator selanjutnya mesti memberi kata sandi ke akun memakai perintah passwd dan, secara opsional, mengatur panduan masa berlaku kata sandi.

Menambahkan Grup Baru

Untuk menambahkan suatu grup baru ke sistem, ketikkan yang berikut pada prompt shell sebagai root:

groupadd opsi nama_grup

…dimana opsi adalah opsi baris perintah seperti yang diuraikan dalam Opsi baris perintah umum groupadd.

Tabel 3. Opsi baris perintah groupadd yang umum
Option Description

-f, --force

When used with -g gid and gid already exists, groupadd will choose another unique gid for the group.

-g gid

Group ID for the group, which must be unique and greater than 999.

-K, --key key=value

Override /etc/login.defs defaults.

-o, --non-unique

Allows creating groups with duplicate GID.

-p, --password password

Use this encrypted password for the new group.

-r

Create a system group with a GID less than 1000.

Memfungsikan Masa Berlaku Kata Sandi

For security reasons, it is advisable to require users to change their passwords periodically. This can be done by using the chage command.

Kata sandi shadow mesti difungsikan untuk memakai chage

Kata sandi shadow mesti difungsikan untuk memakai perintah chage. Untuk informasi lebih lanjut, lihat Kata Sandi Shadow.

To configure password expiration for a user from a shell prompt, run the following command as root:

chage options username

…where options are command line options as described in chage command line options. When the chage command is followed directly by a username (that is, when no command line options are specified), it displays the specified users current password aging values and allows you to change these values interactively.

Tabel 4. opsi baris perintah chage
Option Description

-d days

Specifies the number of days since January 1, 1970 the password was changed.

-E date

Specifies the date on which the account is locked, in the format YYYY-MM-DD. Instead of the date, the number of days since January 1, 1970 can also be used.

-I days

Specifies the number of inactive days after the password expiration before locking the account. If the value is 0, the account is not locked after the password expires.

-l

Lists current account aging settings.

-m days

Specify the minimum number of days after which the user must change passwords. If the value is 0, the password does not expire.

-M days

Specify the maximum number of days for which the password is valid. When the number of days specified by this option plus the number of days specified with the -d option is less than the current day, the user must change passwords before using the account.

-W days

Specifies the number of days before the password expiration date to warn the user.

You can configure a password to expire the first time a user logs in. This forces users to change passwords immediately.

  1. Set up an initial password. There are two common approaches to this step: you can either assign a default password, or you can use a null password.

    To assign a default password, type the following at a shell prompt as root:

    passwd namapengguna

    To assign a null password instead, use the following command:

    passwd -d username
    Avoid using null passwords whenever possible

    Using a null password, while convenient, is a highly insecure practice, as any third party can log in first and access the system using the insecure username. Always make sure that the user is ready to log in before unlocking an account with a null password.

  2. Force immediate password expiration by running the following command as root:

    chage -d 0 username

    This command sets the value for the date the password was last changed to the epoch (January 1, 1970). This value forces immediate password expiration no matter what password aging policy, if any, is in place.

Upon the initial log in, the user is now prompted for a new password.

Memfungsikan Log Keluar Otomatis

Especially when the user is logged in as root, an unattended login session may pose a significant security risk. To reduce this risk, you can configure the system to automatically log out idle users after a fixed period of time:

  1. Make sure the screen package is installed. You can do so by running the following command as root:

    dnf install screen

    For more information on how to install packages in Fedora, refer to Installing Packages.

  2. As root, add the following line at the beginning of the /etc/profile file to make sure the processing of this file cannot be interrupted:

    trap "" 1 2 3 15
  3. Add the following lines at the end of the /etc/profile file to start a screen session each time a user logs in to a virtual console or remotely:

    SCREENEXEC="screen"
    if [ -w $(tty) ]; then
      trap "exec $SCREENEXEC" 1 2 3 15
      echo -n 'Starting session in 10 seconds'
      sleep 10
      exec $SCREENEXEC
    fi

    Note that each time a new session starts, a message will be displayed and the user will have to wait ten seconds. To adjust the time to wait before starting a session, change the value after the sleep command.

  4. Add the following lines to the /etc/screenrc configuration file to close the screen session after a given period of inactivity:

    idle 120 quit
    autodetach off

    This will set the time limit to 120 seconds. To adjust this limit, change the value after the idle directive.

    Alternatively, you can configure the system to only lock the session by using the following lines instead:

    idle 120 lockscreen
    autodetach off

    This way, a password will be required to unlock the session.

The changes take effect the next time a user logs in to the system.

Membuat Direktori Grup

System administrators usually like to create a group for each major project and assign people to the group when they need to access that project’s files. With this traditional scheme, file management is difficult; when someone creates a file, it is associated with the primary group to which they belong. When a single person works on multiple projects, it becomes difficult to associate the right files with the right group. However, with the UPG scheme, groups are automatically assigned to files created within a directory with the setgid bit set. The setgid bit makes managing group projects that share a common directory very simple because any files a user creates within the directory are owned by the group that owns the directory.

For example, a group of people need to work on files in the /opt/myproject/ directory. Some people are trusted to modify the contents of this directory, but not everyone.

  1. As root, create the /opt/myproject/ directory by typing the following at a shell prompt:

    mkdir /opt/myproject
  2. Add the myproject group to the system:

    groupadd myproject
  3. Associate the contents of the /opt/myproject/ directory with the myproject group:

    chown root:myproject /opt/myproject
  4. Allow users in the group to create files within the directory and set the setgid bit:

    chmod 2775 /opt/myproject

    At this point, all members of the myproject group can create and edit files in the /opt/myproject/ directory without the administrator having to change file permissions every time users write new files. To verify that the permissions have been set correctly, run the following command:

    ~]# ls -ld /opt/myproject
    drwxrwsr-x. 3 root myproject 4096 Mar  3 18:31 /opt/myproject
  5. Add users to the myproject group:

    usermod -aG myproject username

Sumber Daya Tambahan

For more information on how to manage users and groups on Fedora, see the resources listed below.

Installed Documentation

For information about various utilities for managing users and groups, see the following manual pages:

  • useradd(8) — Halaman manual untuk perintah useradd mendokumentasikan bagaimana memakainya untuk membuat pengguna baru.

  • userdel(8) — Halaman manual untuk perintah userdel mendokumentasikan bagaimana memakainya untuk menghapus pengguna.

  • usermod(8) — Halaman manual untuk perintah usermod mendokumentasikan bagaimana memakainya untuk mengubah pengguna.

  • groupadd(8) — Halaman manual untuk perintah groupadd mendokumentasikan bagaimana memakainya untuk membuat grup baru.

  • groupdel(8) — Halaman manual untuk perintah groupdel mendokumentasikan bagaimana memakainya untuk menghapus grup.

  • groupmod(8) — Halaman manual untuk perintah groupmod mendokumentasikan bagaimana memakainya untuk mengubah keanggotaan grup.

  • gpasswd(1) — The manual page for the gpasswd command documents how to manage the /etc/group file.

  • grpck(8) — The manual page for the grpck command documents how to use it to verify the integrity of the /etc/group file.

  • pwck(8) — The manual page for the pwck command documents how to use it to verify the integrity of the /etc/passwd and /etc/shadow files.

  • pwconv(8) — The manual page for the pwconv, pwunconv, grpconv, and grpunconv commands documents how to convert shadowed information for passwords and groups.

  • id(1) — The manual page for the id command documents how to display user and group IDs.

For information about related configuration files, see:

  • group(5) — The manual page for the /etc/group file documents how to use this file to define system groups.

  • passwd(5) — The manual page for the /etc/passwd file documents how to use this file to define user information.

  • shadow(5) — The manual page for the /etc/shadow file documents how to use this file to set passwords and account expiration information for the system.