Gestion des comptes et groupes d'utilisateurs sur Linux

Gestion des comptes d'utilisateurs                                                                        

La création d'un compte demande plusieurs opérations : l'ajout d'une entrée dans le fichier /etc/passwd, la création du répertoire personnel de l'utilisateur, et la mise en place de la configuration par défaut dans le répertoire de cet utilisateur.

L'ensemble de ces opérations est pris en charge par la commande adduser.ou useradd dont la syntaxe se présente comme suit :

adduser [-c commentaires] [-d rep_personnel][-e date_expiration][-f tps_inactivité][-g groupe_initial][-G groupe[,...][-m [-k squelette_rep | -M] [-p motdepasse][-s shell] [-u uid [-o]] [-n] [-r] utilisateur

Utilisée sans aucun argument, cette commande demande de manière interactive toutes les informations nécessaires pour identifier l'utilisateur en cours de création.

Utilisée sans option (donc uniquement avec l'argument nom d'utilisateur, cette commande applique un ensemble de valeurs par défaut qui sont consignées dans le fichier : /etc/default/useradd 

Voici un exemple de ce fichier, auquel de brefs commentaires sont rajoutés.

GROUP=100 identifiant du groupe primaire

HOME=/homeracine des rép. Personnels

INACTIVE=-1 (nb de jours avant destruction du compte

EXPIRE= nb de jours avant expiration du mot de passe

SHELL=/bin/bash shell de connexion attribué au compte

SKEL=/etc/skel fichiers recopiés par défaut dans chaque rép. personnel

Le tableau ci-dessous synthétise les options les plus utilisées

Option	Résumé
-c commentaires	Nom complet de l'utilisateur et des commentaires divers
-d rep_personnel	Par défaut dans le répertoire /home
-e date_expiration	Fixe la date d'expiration du compte (format MM/JJ/AA)
-f tps_inactivité	Nombre de jours entre l'expiration et la désactivation permanente du compte
-g groupe_initial	Groupe d'affectation du compte. Doit exister avant la création du compte.
-G liste	Fixe l'appartenance de l'utilisateur à une liste de groupes secondaires (séparateur , sans espace)
-m	Le répertoire personnel sera créé s'il n'existe pas. L'option -k n'est valide qu'en conjonction avec l'option -m
-k squelette_rep	Recopie le contenu du répertoire squelette_rep dans le rép. Personnel ; par défaut /etc/skel
-p motdepasse	Mot de passe crypté. Par défaut le compte est désactivé
-s shell	Par défaut, attribution du shell par défaut bash
-u uid	Pour fixer l'identifiant uid à l'utilisateur
-n	Un groupe ayant le même nom que le compte en cours de création sera crée sur le système par défaut. Cette option désactivera ce comportement spécifique à Linux Mandriva

Suppression d'un compte d'utilisateur :

Pour supprimer le compte d'un utilisateur (non connecté), on utilise la commande userdel

userdel [-r] utilisateur

L'option -r supprime aussi le répertoire. personnel et les fichiers de l'utilisateur.

La commande supprime toute trace de l'utilisateur dans le fichier de configuration : /etc/passwd y compris dans les groupes d'utiliseurs.

Modification d'un compte d'utilisateur :

Pour modifier le compte d'un utilisateur, on utilise la commande usermod comme suit :

usermod [options] utilisateur

Les options sont les mêmes que adduserusermod -G stagiaire,prof stagex ajoute stagex dans les 2 groupes stagiaire et profs (qui doivent exister au préalable)

Pour lui attribuer le nouveau mot de passe stgx : passwd stagex

La saisie du nouveau mot de passe sera demandée deux fois.

Remarques :

- Si root souhaite redéfinir son propre mot de passe, il doit passer la commande passwd !

- Un utilisateur quelconque ne peut pas créer de compte, même s'il a le privilège de faire partie du groupe root.! Par contre, il peut modifier lui-même son mot de passe.

- Pour avoir plus d'informations sur les options, ne pas hésiter à faire recours aux pages man de la commande adduser ou utiliser la commande : useradd -h

- Pour une gestion sous interface graphique, Il existe divers outils qui seront présentés dans ce même dossierfont size='2'>

Attention ! Le compte créé permet à l'utilisateur d'accéder au système de fichier Linux (avec des droits que nous verrons).

- Pour pouvoir se connecter au réseau SAMBA, à partir d'une station distante Windows, il faut créer un compte Samba avec l'utilitaire smbpasswd

Gestion des groupes d'utilisateurs                                                                          

Un groupe sous Linux est un ensemble d'utilisateurs qui partagent les mêmes fichers et répertoires. Nous verrons que les fichiers accordent des droits d'accès réglables à ces groupes.

Chaque utilisateur doit faire partie au moins d'un groupe, son groupe initial ou primaire. Celui-ci est défini au moment de la création du compte, et par défaut sous Linux Mandriva, l'utilisateur appartient à un nouveau groupe créé, portant son nom.

Ainsi, dans /etc/passwd chaque utilisateur possède un groupe par défaut, précisé par son identifiant gid dans ce fichier.

L'appartenance au groupe primaire n'étant pas exclusive, tout utilisateur peut faire partie de plusieurs autres groupes, appelés ses groupes secondaires.

Mais le rôle joué par le groupe primaire demeure prépondérant, comme nous le verrons dans le système des permissions des fichiers.

Pour lister tous les groupes (primaire et secondaires) d'un utilisateur : groups utilisateur

Pour créer un nouveau groupe : groupadd groupe

Supprimer le groupe .stagiaires : groupdel stagiaires (Le groupe est alors supprimé du fichier /etc/group).

Pour ajouter un utilisateur à un groupe, le plus simple est d'éditer le fichier /etc/group et d'ajouter une liste d'utilisateurs (séparés par des virgules) sur la ligne du groupe (ou utiliser Linuxconf).

Structures des fichiers /etc/passwd et /etc/group                                          

Tout ce qui concerne la gestion et l'authentification des utilisateurs est inscrit dans un seul fichier /etc/passwd 
La gestion des groupes est assurée par /etc/group

Les mots de passe cryptés sont souvent placés dans /etc/shadow, par sécurité lisible seulement par root.

Structure de /etc/passwd

Ce fichier comprend 7 champs, séparés par le symbole « : »

1. nom de connexion (encore appelé nom d'utilisateur ou login)
2. ancienne place du mot de passe crypté
3. numéro d'utilisateur uid, sa valeur est le véritable identifiant pour le système Linux; l'uid de root est 0, le système attribue conventionnellement un uid à partir de 500 aux comptes créés.
4. numéro de groupe gid, dans lequel se touve l'utilisateur par défaut; le gid de root est 0, les groupes d'utilisateurs au delà de 500
5. nom complet, il peut être suivi d'une liste de renseignements personnels (cf chfn)
6. rép. personnel (c'est également le rép. de connexion)
7. shell, interprétateur de commandes (par défaut /bin/bash)

Structure de /etc/group

Ce fichier comprend 4 champs, séparés par le symbole « : »

1. nom du groupe
2. x pour remplacer un mot de passe non attribué maintenant
3. numéro de groupe, c-à-d l'identifiant gid
4. la liste des membres du groupe

Pour Connaitre l'uid et le gid de l'utilisateur courant, on utilise
la commande id dont le résultat ressemble à ce qui suit :

uid=501(stage1) gid=501(stage1) groups=501(stage1), 504(stagiaire)

Pour décrire un utilisateur on utilise la commande : chfn

Cette commande permet d'indiquer dans le champ numéro
 5 du fichier /etc/passwd différentes informations sur un utilisateur, son 
nom complet, son bureau, ses numeros de téléphone (séparées par des virgules).

Outils opérationnels en mode texte                                                                          

La commande passwd

Elle est chargée du cryptage du mot de passe dans /etc/shadow

Syntaxe : passwd [option] nom-login

Options :

--stdin, la commande abandonne son caractère interactif habituel et 
son entrée standard pour s'en servir comme mot de passe.

Très utile dans un script : echo mot | passwd --stdin (attention 
tout caractère est significatif, y compris les ' ')

-d , pour supprimer le mot de passe, l'utilisateur pourra se connecter sans !

-l , pour verrouiller le compte et empêcher sa connexion.

-u , pour déverrouiller.

Cryptage des mots de passe

Pour des questions de sécurité, les mots de passe cryptés ne sont pas stockés
dans /etc/passwd qui doit etre accessible en lecture par tous.

La commande /usr/sbin/pwconv est chargée de transférer les mots de passes 
cryptés, dans /etc/shadow. Pour plus de détails , consulter man pwconv

Pour interdire l'utilisation, il suffit de remplacer le mot de passe chiffré par une étoile : '*'.

Les accès à un compte peuvent éventuellement être ouverts en laissant
le champ mot_de_passe vide. Toute personne voulant se connecter 
avec ce compte pourra alors le faire.

Récapitulatif des principales commandes:

useradd, usermod, userdel	gestion des comptes utilisateur
groupadd, groupmod, groupdel	gestion des groupes
pwck, grpck	vérification des fichiers
passwd	changer le mot de passe d'un utilisateur
chfn, id, groups, finger	utilitaires divers