Utilisateurs et droits sous Linux

• Comprendre ce qu'est un utilisateur Linux

• Comprendre ce qu'est un groupe

• Savoir interpréter des UID/GID

Sous Linux, tout les fichiers et dossiers appartiennent à un utilisateur, et tout les programmes qui s’exécutent sont exécutés par un utilisateur donné. En fait, plus ou moins tout est lié à un ou plusieurs utilisateurs. On ne parle pas forcément d'utilisateurs humains, mais d'utilisateurs au sens informatique. Beaucoup de logiciels en arrière-plan s'exécute avec un utilisateur défini uniquement pour cet usage. Pour illustrer ça, on peut afficher le fichier /etc/passwd qui contient de nombreuses informations, en particulier les utilisateurs qui existent. Par exemple sur ma machine j'ai ceci :

$ cat /etc/passwd

root:x:0:0:root:/root:/bin/bash

daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin

bin:x:2:2:bin:/bin:/usr/sbin/nologin

sys:x:3:3:sys:/dev:/usr/sbin/nologin

sync:x:4:65534:sync:/bin:/bin/sync

games:x:5:60:games:/usr/games:/usr/sbin/nologin

man:x:6:12:man:/var/cache/man:/usr/sbin/nologin

lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin

mail:x:8:8:mail:/var/mail:/usr/sbin/nologin

news:x:9:9:news:/var/spool/news:/usr/sbin/nologin

uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin

proxy:x:13:13:proxy:/bin:/usr/sbin/nologin

www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin

backup:x:34:34:backup:/var/backups:/usr/sbin/nologin

list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin

irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin

gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin

nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin

systemd-timesync:x:100:103:systemd Time Synchronization,,,:/run/systemd:/bin/false

systemd-network:x:101:104:systemd Network Management,,,:/run/systemd/netif:/bin/false

systemd-resolve:x:102:105:systemd Resolver,,,:/run/systemd/resolve:/bin/false

messagebus:x:104:111::/var/run/dbus:/bin/false

avahi:x:105:112:Avahi mDNS daemon,,,:/var/run/avahi-daemon:/bin/false

uuidd:x:106:114::/run/uuidd:/bin/false

Debian-exim:x:107:115::/var/spool/exim4:/bin/false

statd:x:108:65534::/var/lib/nfs:/bin/false

avahi-autoipd:x:109:118:Avahi autoip daemon,,,:/var/lib/avahi-autoipd:/bin/false

colord:x:110:120:colord colour management daemon,,,:/var/lib/colord:/bin/false

dnsmasq:x:111:65534:dnsmasq,,,:/var/lib/misc:/bin/false

sshd:x:113:65534::/var/run/sshd:/usr/sbin/nologin

pulse:x:114:122:PulseAudio daemon,,,:/var/run/pulse:/bin/false

rtkit:x:115:124:RealtimeKit,,,:/proc:/bin/false

saned:x:116:125::/var/lib/saned:/bin/false

usbmux:x:117:46:usbmux daemon,,,:/var/lib/usbmux:/bin/false

hplip:x:119:7:HPLIP system user,,,:/var/run/hplip:/bin/false

kyane:x:1000:1000:Kyâne,,,:/home/kyane:/usr/bin/zsh

geoclue:x:120:127::/var/lib/geoclue:/bin/false

_apt:x:121:65534::/nonexistent:/bin/false

Debian-minetest:x:122:60:Minetest dedicated server,,,:/var/games/minetest-server:/bin/false

vde2-net:x:123:132::/var/run/vde2:/bin/false

radvd:x:124:65534::/var/run/radvd:/bin/false

snort:x:125:135:Snort IDS:/var/log/snort:/bin/false

ntp:x:103:106::/nonexistent:/usr/sbin/nologin

systemd-coredump:x:997:997:systemd Core Dumper:/:/sbin/nologin

debian-tor:x:126:137::/var/lib/tor:/bin/false

_rpc:x:127:65534::/run/rpcbind:/usr/sbin/nologin

tcpdump:x:112:126::/nonexistent:/usr/sbin/nologin

Il n'est pas nécessaire de tout comprendre pour le moment, il faut simplement savoir que le texte indiqué en début de chaque ligne, avant les ":", est le nom d'un utilisateur. On voit qu'il y en a vraiment beaucoup, et en réalité il n'y en a qu'une seul qui correspond à un être humain, c'est kyane, ligne 37. Tout le reste sont des utilisateurs dits "système", dans le sens où ils servent plus au système d'exploitation qu'a un utilisateur. Par exemple le dernier, tcpdump, est utilisé par le programme tcpdump (un outil de capture du flux réseau) pour réaliser les opérations qu'il a besoin de faire.

On peut créer autant d'utilisateurs que l'on veut sur Linux, et les répartir dans des groupes. Un groupe est, comme son nom l'indique, un regroupement de plusieurs utilisateurs, ce qui permettra ensuite d'appliquer des règles à tout les utilisateurs d'un même groupe d'un coup. Par défaut chaque utilisateur se trouve dans un groupe qui porte le même nom (l'utilisateur kyane est par défaut dans le groupe kyane), c'est ce que l'on appelle le groupe primaire. Mais un utilisateur peut-être ajouté à plusieurs autres groupes par la suite, par exemple le même utilisateur kyane se trouve aussi dans un groupe bluetooth, qui me permet d'utiliser le Bluetooth de mon ordinateur.

Les utilisateurs et les groupes sont au cœur du fonctionnement de Linux. Ceux-ci possèdent des identifiants numériques, mais on peut manipuler une traduction sous la forme d'un nom textuel, pour les humains.

• Savoir ce qu'est le super-utilisateur

• Savoir utiliser le compte root.

Les utilisateurs et groupes peuvent se voir autoriser différents droits sur le système. Ce sera abordé un peu plus loin, mais par exemple l'utilisateur par défaut que l'on a créé à l'installation ne pourra pas forcément lire tout les fichiers d'un autre utilisateur (et cela semble normal). On peut donc se demander « qui créé les utilisateurs ? », « qui peut donner des droits ? ».

La réponse est simple : le super-utilisateur. C'est un utilisateur un peu particulier car il a absolument tout les pouvoirs sur la machine. Sous Linux cet utilisateur s'appelle root, qui signifie racine.

Le super-utilisateur sur Linux s'appelle root et c'est celui qui a tout les pouvoirs sur la machine. Tout les autres utilisateurs ont des droits limités. Cependant il est possible d"utiliser la commande sudo pour élever ses privilèges lorsque nécessaire.

• Savoir trouver les informations de configuration des utilisateurs

• Savoir créer et supprimer des utilisateurs

Un peu plus tôt nous avions ouvert le fichier /etc/passwd qui contient la liste des utilisateurs de la machine. Reprenons une ligne de ce fichier pour voir toutes les informations qu'il contient.

kyane:x:1000:1000:Kyâne:/home/kyane:/bin/bash

Chaque information est séparée par un caractère ":". Dans l'ordre nous avons :

• le nom d'utilisateur kyane ;

• le caractère "x" qui indique que l'utilisateur a un mot de passe (stockée dans /etc/shadow), en effet il peut exister des utilisateurs sans mot de passe ;

• l'UID, ici 1000 ;

• le GID, ici 1000 ;

• une description du compte utilisateur, ici Kyâne ;

• le dossier de l'utilisateur, que l'on appelle son home ;

• le shell utilisé par l'utilisateur, c'est à dire le programme qui interprète ses commandes (il en existe en fait plusieurs). Par défaut c'est généralement /bin/bash.

Les utilisateurs sont configurés dans le fichier /etc/passwd, mais il est possible et préférable d'utiliser les commandes adduser et deluser pour les manipuler.

• Savoir trouver les informations de configuration des groupes

• Savoir créer et supprimer des groupes

• Savoir assigner des utilisateurs à des groupes

Concernant les groupes, c'est le fichier /etc/group qui est en charge de gérer leur configuration. Si on observe son contenu on constate qu'il a un format proche de /etc/passwd.

$ cat /etc/group 

root:x:0:

daemon:x:1:

bin:x:2:

sys:x:3:

adm:x:4:kyane

tty:x:5:

disk:x:6:

lp:x:7:

mail:x:8:

news:x:9:

uucp:x:10:

man:x:12:

proxy:x:13:

kmem:x:15:

dialout:x:20:

fax:x:21:

voice:x:22:

cdrom:x:24:kyane

floppy:x:25:kyane

tape:x:26:

sudo:x:27:kyane

audio:x:29:pulse,kyane

Il contient en fait la liste des groupes de la machine, avec un format proche (ici l'aperçu qui est donné est volontairement tronqué, il y a sans doute plus de lignes dans votre fichier). Isolons la dernière ligne pour l'étudier.

audio:x:29:pulse,kyane

Les informations sont, ici aussi, séparées par des ":". Dans l'ordre nous avons :

• le nom du groupe audio ;

• un caractère "x" qui n'a, en fait, pas d'importance dans ce fichier ;

• le GID du groupe, ici 29 ;

• la liste, séparée par des virgules, des utilisateurs faisant partie du groupe.

On peut donc lire la ligne suivante de cette manière : le groupe audio a pour GID 29 et les utilisateurs pulse et kyane sont présents dans ce groupe.

Le fichier /etc/group contient la configuration des groupes sur la machine, et les commandes addgroup et delgroup permettent de les manipuler. On utilise ensuite usermod, en particulier avec ses options -aG, pour modifier les groupes auxquels appartient un utilisateur.

chmod 777 dir (dossier public)

chmod 755 dir (dossier public, modifiable par soi uniquement)

chmod 700 dir (dossier privé)

chmod 500 dir (dossier privé en lecture seule)

chmod 555 dir (dossier public en lecture seule)