Product SiteDocumentation Site

8.4. Pengguna dan Basisdata Kelompok

The list of users is usually stored in the /etc/passwd file, while the /etc/shadow file stores hashed passwords. Both are text files, in a relatively simple format, which can be read and modified with a text editor. Each user is listed there on a line with several fields separated with a colon (“:”).

CATATAN Menyunting berkas sistem

Berkas sistem yang disebutkan di bab ini seluruhnya berupa berkas teks polos, dan dapat disunting dengan teks editor. Memertimbangkan betapa penting fungsionalitasnya ke sistem inti, sebaiknya lebih berhati-hati ketika menyunting berkas sistem. Pertama, selalu buat salinan atau backup dari berkas sistem sebelum membuka atau menyuntingnya. Kedua, pada server atau mesin di mana lebih dari satu orang yang mungkin mengakses berkas yang sama, lakukan beberapa langkah untuk melindungi dari korupsi berkas.
Untuk tujuan ini, cukup gunakan perintah vipw untuk menyunting berkas /etc/passwd, atau vigr untuk menyunting /etc/group. Perintah ini mengunci berkas yang dimaksud setelah menjalankan teks editor, (secara default vi, kecuali variabel lingkungan EDITOR telah diubah). Pilihan -s pada perintah ini mengizinkan penyuntingan berkas shadow yang sesuai.

KEMBALI KE DASAR Crypt, fungsi searah

crypt merupakan fungsi searah yang mengubah string (A) ke string lain (B) di mana A tidak dapat diturunkan dari B. Satu-satunya cara mengidentifikasi A ialah dengan mengetes semua variabel yang mungkin, memeriksa satu per satu apakah perubahan fungsi akan menghasilkan B atau tidak. Menggunakan hingga 8 karakter sebagai masukan (string A) dan menghasilkan satu dari 13 string, dapat tercetak, karakter ASCII (string B).

8.4.1. Daftar Pengguna: /etc/passwd

Berikut ini daftar field dalam berkas /etc/passwd:
  • login, contohnya rhertzog;
  • password: kata sandi ini terenkripsi oleh fungsi searah (crypt), menggunakan DES, MD5, SHA-256 atau SHA-512. Nilai khusus “x” menandakan bahwa kata sandi terenkripsi disimpan di /etc/shadow;
  • uid: nomor identifikasi unik tiap pengguna;
  • gid: nomor unik untuk kelompok utama pengguna (secara default Debian membuat kelompok khusus untuk tiap pengguna);
  • GECOS: field data biasanya berisi nama lengkap pengguna;
  • direktori login, diberikan ke pengguna ruang untuk berkas pribadi mereka (variabel lingkungan $HOME umumnya mengarah ke sini);
  • program yang dieksekusi ketika login. Ini biasanya berupa perintah interpreter (shell), memberikan kebebasan pada pengguna. Jika Anda menentukan /bin/false (yang tak melakukan apapun dan mengembalikan kontrol seketika), pengguna tidak dapat login.

KEMBALI KE DASAR Kelompok unix

Sebuah kelompok Unix merupakan sebuah entitas termasuk beberapa pengguna jadi mereka dapat berbagi secara mudah menggunakan sistem hak akses terintegrasi (dengan memanfaatkan hak yang sama). Anda dapat juga menghalangi penggunaan beberapa program ke kelompok tertentu.

8.4.2. Berkas Kata Sandi Tersembunyi dan Terenkripsi: /etc/shadow

Berkas /etc/shadow berisi field-field berikut:
  • login;
  • kata sandi terenkripsi;
  • beberapa field mengelola masa kadaluarsa kata sandi.

DOKUMENTASI Format berkas /etc/passwd, /etc/shadow dan /etc/group

Format berikut didokumentasikan dalam man pages berikut: passwd(5), shadow(5), and group(5).

KEAMANAN Keamanan berkas /etc/shadow

/etc/shadow, unlike its alter-ego, /etc/passwd, cannot be read by regular users. Any hashed password stored in /etc/passwd is readable by anybody; a cracker could try to “break” (or reveal) a password by one of several “brute force” methods which, simply put, guess at commonly used combinations of characters. This attack — called a "dictionary attack" — is no longer possible on systems using /etc/shadow.

8.4.3. Memodifikasi Akun atau Password yang Ada

The following commands allow modification of the information stored in specific fields of the user databases: passwd permits a regular user to change their password, which in turn, updates the /etc/shadow file; chfn (CHange Full Name), reserved for the super-user (root), modifies the GECOS field. chsh (CHange SHell) allows the user to change their login shell; however, available choices will be limited to those listed in /etc/shells; the administrator, on the other hand, is not bound by this restriction and can set the shell to any program of their choosing.
Akhirnya, perintah chage (CHange AGE) mengizinkan administrator mengubah pengaturan masa kadaluarsa password (pilihan -l pengguna akan menampilkan pengaturan kini). Anda dapat pula memaksa masa kadaluarsa password menggunakan perintah passwd -e pengguna, di mana pengguna perlu mengganti password mereka ketika login berikutnya.

8.4.4. Menonaktifkan sebuah Akun

Anda mungkin perlu “menonaktifkan sebuah akun” (mengunci seorang pengguna), sebagai tindakan disipliner, untuk tujuan investigasi, atau ketika saat berkepanjangan atau ketidakpastian kehadiran penguna. Akun dinonaktifkan berarti pengguna tidak dapat login atau mendapatkan akses ke mesin. Akun tetap ada pada mesin dan tidak ada berkas atau data yang dihapus; hanya tidak dapat diakses. Hal ini dapat dilakukan dengan perintah passwd -l pengguna (lock). Mengaktifkan kembali akun diaktifkan dengan cara yang mirip, dengan pilihan (unlock) -u.

LEBIH JAUH NSS dan basisdata sistem

Daripada menggunakan berkas yang biasanya untuk mengelola daftar pengguna dan kelompok, Anda dapat menggunakan tipe basisdata lain, seperti LDAP atau db, dengan menggunakan modul NSS (Name Service Switch) yang cocok. Modul yang diguankan terdaftar di berkas /etc/nsswitch.conf, di bawah entri passwd, shadow dan group. Lihat Bagian 11.7.3.1, “Mengkonfigurasi NSS” untuk sebuah contoh spesifik penggunaan modul NSS dengan LDAP.

8.4.5. Daftar Kelompok: /etc/group

Kelompok terdaftar di berkas /etc/group, basisdata tekstuan sederhana dalam format mirip berkas /etc/passwd, dengan field sebagai berikut:
  • nama grup;
  • password (pilihan): Ini hanya digunakan untuk menggabungkan kelompok ketika seseorang bukan anggota yang biasa (dengan perintah newgrp atau sg, lihat bilah tepi KEMBALI KE DASAR Bekerja dengan beberapa kelompok);
  • gid: nomor identifikasi unik kelompok;
  • daftar anggota: daftar nama penggua yang merupakan anggota kelompok, dipisahkan dengan koma.

KEMBALI KE DASAR Bekerja dengan beberapa kelompok

Setiap pengguna mungkin anggota dari beberapa kelompok; salah satunya “kelompok utama” mereka. Kelompok utama pengguna secara standar, dibuat ketika konfigurasi awal pengguna. Secara standar, setiap berkas yang dibuat pengguna adalah milik mereka, sebagaimana kelompok utama mereka. Hal ini tidak selalu diinginkan; contohnya, ketika penggua bekerja pada direktori yang dibagi dengan kelompok selain kelompok utama mereka. Dalam hal ini, pengguna perlu mengubah kelompok utama mereka menggunakan perintah berikut; newgrp, yang memulai shell baru, atau sg, yang mengeksekusi perintah menggunakan kelompok alternatif yang diberikan. Perintah ini juga mengizinkan pengguna ke kelompok yang bukan miliknya. Jika kelompok diproteksi password, mereka perlu memasukkan password yang sesuai sebelum perintah dieksekusi.
Alternatifnya, pengguna dapat mengatur bit setgid pada direktori, akibatnya berkas yang dibuat dalam direktori tersebut secara otomatis dimilik oleh kelompok yang tepat. Untuk lebih rincinya, lihat bilah tepi SECURITY setgid directory and sticky bit.
Perintah id menampilkan kondisi terkini pengguna, dengan indentifier personal mereka (variabel uid), kelompok utama saat ini (variabel gid), dan daftar kelompok milik mereka (variabel groups).
The addgroup and delgroup commands add or delete a group, respectively. The groupmod command modifies a group's information (its gid or identifier). The command gpasswd group changes the password for the group, while the gpasswd -r group command deletes it.

TIP getent

Perintah getent (get entries) memeriksa basisdata sistem dengan cara standar, menggunakan fungsi pustaka yang sesuai, di mana akan memanggil modul NSS yang dikonfigurasi di berkas /etc/nsswitch.conf. Perintah mengambil satu atau dua argumen: nama basisdata untuk diperiksa, dan kata kunci yang mungkin. Nah, perintah getent passwd rhertzog akan memberikan informasi dari basisdata pengguna terkait pengguna rhertzog.