Administrative Aufgaben durchführen
Code: 107.1
Du bist nicht angemeldet. Melde dich an, um deinen Lernfortschritt zu speichern und Quizze zu bearbeiten.
Benutzer- und Gruppenkonten verwalten – Teil 1
107.1.L1
- Kernkonzepte von **Benutzerverwaltung** verstehen
- Prüfungsrelevante Befehle und Konfigurationen beherrschen
- Typische Fehlerquellen erkennen und beheben
## Zusammenfassung
Diese Lektion behandelt das LPIC-Thema **Benutzer- und Gruppenkonten verwalten – Teil 1**. Das Thema gehört zum Bereich Benutzerverwaltung und ist Teil des offiziellen Prüfungsstoffs.
Im Fokus stehen die praktischen Grundlagen, die für die Zertifizierung essenziell sind. Wichtige Schwerpunkte sind: useradd, usermod, PAM.
## Wichtige Befehle
- Inhalt folgt in der aktualisierten Version
## Prüfungstipps
- Lesen Sie die Manpages zu allen genannten Befehlen
- Üben Sie Befehle in einer virtuellen Maschine oder Container-Umgebung
- Achten Sie auf die Unterschiede zwischen Distributionen
## Weiterführende Links
- [LPI-Lernmaterial (offiziell)](https://www.lpi.org)
- [Linux Man Pages Online](https://man7.org/linux/man-pages/)
Quiz (12 Fragen)
Wofür dient der Befehl usermod -L?
Erklärung: usermod -L sperrt das Benutzerkonto. Ein Ausrufezeichen wird dem verschlüsselten Passwort in /etc/shadow vorangestellt, wodurch die Passwort-Anmeldung blockiert wird.
Welcher Befehl entsperrt ein gesperrtes Benutzerkonto?
Erklärung: usermod -U (großes U) oder passwd -u entsperren ein Konto, indem das Ausrufezeichen vor dem verschlüsselten Passwort in /etc/shadow entfernt wird.
Was bewirkt useradd -m bei der Erstellung eines neuen Benutzerkontos?
Erklärung: useradd -m (oder --create-home) erstellt das Homeverzeichnis des Benutzers und kopiert Dateien aus dem Skeleton-Verzeichnis (/etc/skel) hinein.
Welche Option bei useradd legt die Login-Shell des neuen Benutzers fest?
Erklärung: useradd -s /bin/bash legt die Login-Shell fest. Standardmäßig wird die Shell aus /etc/default/useradd oder /etc/login.defs übernommen.
Wie fügt man einem bestehenden Benutzer sekundäre Gruppen HINZU, ohne bestehende zu löschen?
Erklärung: usermod -a -G gruppe1,gruppe2 benutzer fügt sekundäre Gruppen hinzu (-a = append). Ohne -a werden ALLE bestehenden sekundären Gruppen überschrieben!
Was passiert bei useradd -G administrators,developers kevin, wenn CREATE_HOME und USERGROUPS_ENAB auf yes gesetzt sind?
Erklärung: useradd erstellt den Benutzer kevin, eine primäre Gruppe kevin (wegen USERGROUPS_ENAB), das Homeverzeichnis (wegen CREATE_HOME) und fügt ihn zu den sekundären Gruppen administrators und developers hinzu.
Welcher Befehl zeigt den Passwort-Status eines Benutzerkontos an?
Erklärung: passwd -S zeigt den Status: ob das Konto gesperrt ist, das Ablaufdatum, Mindest- und Höchstalter des Passworts. chage -l zeigt ähnliche Informationen.
Wie ändert man das Ablaufdatum eines Benutzerkontos auf den 31. Dezember 2022?
Erklärung: chage -E 2022-12-31 setzt das Kontoablaufdatum. usermod -e 2022-12-31 ist äquivalent. chage -l zeigt den aktuellen Status.
Was bewirkt der Befehl userdel -r benutzer?
Erklärung: userdel -r entfernt das Benutzerkonto UND löscht das Homeverzeichnis samt Inhalt sowie den Mail-Spool des Benutzers. Ohne -r bleiben diese Dateien erhalten.
Wo befinden sich die Standarddateien, die in das Homeverzeichnis neuer Benutzer kopiert werden?
Erklärung: /etc/skel ist das Skeleton-Verzeichnis. Alle Dateien und Verzeichnisse darin werden bei der Erstellung eines neuen Benutzerkontos (mit -m) in das Homeverzeichnis kopiert.
Wie benennt man eine Gruppe von "developer" in "web-developer" um und ändert gleichzeitig die GID auf 1050?
Erklärung: groupmod -n web-developer -g 1050 developer ändert sowohl den Namen als auch die GID. Nach der GID-Änderung müssen auch Dateieigentümer angepasst werden.
Was steuert die Datei /etc/login.defs?
Erklärung: /etc/login.defs steuert die Benutzer-/Gruppenerstellung mit Standardwerten wie UID_MIN/UID_MAX, CREATE_HOME, USERGROUPS_ENAB und Passwort-Alterungseinstellungen.
✓ Quiz abgeschlossen! 🎉
/ richtig
Karteikarten (6)
Frage
Wofür dient die Datei /etc/login.defs?
Tippe zum Aufdecken →
Antwort
/etc/login.defs steuert die Erstellung von Benutzern und Gruppen und definiert Standardwerte: • UID_MIN / UID_MAX → Bereich der Benutzer-IDs • GID_MIN / GID_MAX → Bereich der Gruppen-IDs • CREATE_HOME → Homeverzeichnis automatisch erstellen • USERGROUPS_ENAB → Eigene Gruppe pro Benutzer anlegen • PASS_MAX_DAYS → Maximale Passwortgültigkeit • PASS_MIN_DAYS → Mindestabstand zwischen Passwortänderungen • PASS_WARN_AGE → Warntage vor Passwortablauf Wichtige Optionen bei Benutzererstellung: • useradd -m → Homeverzeichnis erstellen • useradd -s shell → Login-Shell festlegen • useradd -c Name → Kommentar/GECOS • useradd -g GID → primäre Gruppe • useradd -G gruppen → sekundäre Gruppen
Frage
Was ist der Unterschied zwischen passwd -l, usermod -L, usermod -U und passwd -u?
Tippe zum Aufdecken →
Antwort
Sperren: • passwd -l → Sperrt das Konto (Ausrufezeichen vor Passwort in /etc/shadow) • usermod -L → Gleiche Funktion wie passwd -l Entsperren: • usermod -U → Entsperrt das Konto (Ausrufezeichen entfernt) • passwd -u → Entsperrt das Konto WICHTIG: Wenn root das Passwort ändert, wird das Konto automatisch entsperrt! Übersicht Sperren/Entsperren: Sperren: usermod -L, passwd -l, chage -E 0 Entsperren: usermod -U, passwd -u
Frage
Erklären Sie den Unterschied zwischen primärer und sekundärer Gruppe in Linux.
Tippe zum Aufdecken →
Antwort
Primäre Gruppe: • Die Gruppe, die als Eigentümer der vom Benutzer erstellten Dateien fungiert • Wird bei useradd mit -g festgelegt • Ohne -g erstellt das System eine gleichnamige Gruppe (bei USERGROUPS_ENAB=yes) Sekundäre Gruppen: • Zusätzliche Gruppenmitgliedschaften des Benutzers • Werden bei useradd mit -G festgelegt • Bei usermod mit -a -G hinzugefügt (wichtig: -a = append!) Beispiel: useradd -m -G sudo,developers john
Frage
Wie funktioniert der Befehl chage und was ist der Unterschied zu passwd für Passwortalterung?
Tippe zum Aufdecken →
Antwort
chage (change age) ändert Passwortablaufinformationen: • -m → Mindestalter (Tage zwischen Änderungen) • -M → Maximales Alter (Tage bis Ablauf) • -W → Warntage vor Ablauf • -I → Inaktivitätszeit nach Ablauf (sonst Konto gesperrt) • -E → Kontoablaufdatum • -d → Letzte Passwortänderung setzen passwd bietet äquivalente Optionen: • -n (= chage -m), -x (= chage -M), -w (= chage -W) • -i (= chage -I), -S (= chage -l → Status anzeigen) Nur root darf chage verwenden (außer -l für eigene Anzeige).
Frage
Welche wichtigen Optionen hat groupmod und was muss man bei GID-Änderungen beachten?
Tippe zum Aufdecken →
Antwort
groupmod Optionen: • -n name → Gruppe umbenennen • -g GID → GID ändern WICHTIG bei GID-Änderung: Die GID aller Dateien und Verzeichnisse muss manuell mit find + chown angepasst werden, die weiterhin der Gruppe gehören sollen! Beispiel nach groupmod -n web-developer -g 1050 developer: # find / -group 1090 -exec chown :1050 {} \; (nur wenn nötig)
Frage
Was bewirken die wichtigsten usermod-Optionen?
Tippe zum Aufdecken →
Antwort
usermod Optionen: • -c → Kommentar/GECOS-Feld ändern • -d -m → Homeverzeichnis ändern (mit -m: Inhalt verschieben) • -e → Kontoablaufdatum • -g → Primäre Gruppe ändern • -G → Sekundäre Gruppen setzen (ohne -a: ALLE ersetzen!) • -l → Anmeldenamen ändern • -L → Konto sperren • -U → Konto entsperren • -s → Login-Shell ändern • -u → UID ändern ACHTUNG: Bei -l und -u müssen Dateien außerhalb des Homeverzeichnisses manuell angepasst werden!
Benutzer- und Gruppenkonten verwalten – Teil 2
107.1.L2
- Kernkonzepte von **Benutzerverwaltung** verstehen
- Prüfungsrelevante Befehle und Konfigurationen beherrschen
- Typische Fehlerquellen erkennen und beheben
## Zusammenfassung
Diese Lektion behandelt das LPIC-Thema **Benutzer- und Gruppenkonten verwalten – Teil 2**. Das Thema gehört zum Bereich Benutzerverwaltung und ist Teil des offiziellen Prüfungsstoffs.
Im Fokus stehen die praktischen Grundlagen, die für die Zertifizierung essenziell sind. Wichtige Schwerpunkte sind: useradd, usermod, PAM.
## Wichtige Befehle
- Inhalt folgt in der aktualisierten Version
## Prüfungstipps
- Lesen Sie die Manpages zu allen genannten Befehlen
- Üben Sie Befehle in einer virtuellen Maschine oder Container-Umgebung
- Achten Sie auf die Unterschiede zwischen Distributionen
## Weiterführende Links
- [LPI-Lernmaterial (offiziell)](https://www.lpi.org)
- [Linux Man Pages Online](https://man7.org/linux/man-pages/)
Quiz (9 Fragen)
Welche 7 Felder hat eine Zeile in /etc/passwd?
Erklärung: Die 7 Felder sind: Benutzername:Passwort(x):UID:GID:GECOS:Homeverzeichnis:Shell
Wie erkennt man, dass ein Benutzerkonto gesperrt ist, wenn Shadow-Passwörter verwendet werden?
Erklärung: In /etc/shadow beginnt das verschlüsselte Passwortfeld mit einem Ausrufezeichen (!), wenn das Konto gesperrt ist. useradd setzt bei Neuerstellung ebenfalls ein ! oder * als Platzhalter.
Welche 9 Felder hat eine Zeile in /etc/shadow?
Erklärung: Die 9 Felder sind: Benutzername, verschlüsseltes Passwort, letzte Passwortänderung (in Tagen seit 1970), Mindestalter, Maximalalter, Warnfrist, Inaktivitätsdauer, Ablaufdatum, reserviert.
Wofür dient der Befehl getent?
Erklärung: getent zeigt Einträge aus NSS-Datenbanken an. getent passwd benutzer zeigt die /etc/passwd-Zeile, getent group gruppe zeigt die Gruppeninformationen. Es funktioniert nur für in /etc/nsswitch.conf konfigurierte Datenbanken.
Welche Berechtigungen haben /etc/passwd und /etc/shadow typischerweise?
Erklärung: /etc/passwd ist weltweit lesbar (644), /etc/shadow ist nur für root und die Gruppe shadow lesbar (640 oder 640). /etc/group ist weltweit lesbar, /etc/gshadow nur für root/shadow.
Was zeigt das GECOS-Feld in /etc/passwd an und wie ist es strukturiert?
Erklärung: GECOS ist ein optionales Kommentarfeld mit durch Kommata getrennten Werten: voller Name, Büro, Bürotelefon, Heimtelefon, sonstiges. Es ist das 5. Feld in /etc/passwd.
Wie finden Sie heraus, ob ein bestimmter Benutzer ein Mitglied einer bestimmten Gruppe ist?
Erklärung: getent group gruppenname zeigt alle Mitglieder (4. Feld). groups benutzer zeigt alle Gruppen des Benutzers. id benutzer zeigt UID, GID und alle Gruppen.
Was bedeutet es, wenn ein Benutzerkonto die Shell /sbin/nologin oder /bin/false hat?
Erklärung: Systembenutzer (mail, ftp, daemon usw.) haben /sbin/nologin oder /bin/false als Shell, um interaktive Anmeldungen zu verhindern. Sie dienen ausschließlich der Ausführung von Diensten.
Wie erstellen Sie ein Benutzerkonto "christian" mit Homeverzeichnis und prüfen dessen UID/GID?
Erklärung: useradd -m christian erstellt den Benutzer. cat /etc/passwd | grep christian zeigt UID (3. Feld) und GID (4. Feld). id christian zeigt alle Informationen kompakt.
✓ Quiz abgeschlossen! 🎉
/ richtig
Karteikarten (6)
Frage
Welche 4 Dateien speichern Benutzer- und Gruppeninformationen in /etc/?
Tippe zum Aufdecken →
Antwort
• /etc/passwd → Grundlegende Benutzerinformationen (weltweit lesbar, 7 Felder) • /etc/shadow → Verschlüsselte Passwörter + Alterung (nur root lesbar, 9 Felder) • /etc/group → Gruppeninformationen (weltweit lesbar, 4 Felder) • /etc/gshadow → Verschlüsselte Gruppenpasswörter + Admins/Mitglieder (nur root lesbar, 4 Felder) WICHTIG: Niemals direkt bearbeiten! Immer die spezialisierten Befehle verwenden.
Frage
Was zeigt das GECOS-Feld in /etc/passwd?
Tippe zum Aufdecken →
Antwort
GECOS (General Electric Comprehensive Operating System) ist ein optionales Kommentarfeld mit durch Kommata getrennten Werten: 1. Voller Name (z.B. "Carol Smith") 2. Bürostandort 3. Bürotelefon 4. Heimtelefon 5. Sonstige Informationen Beispiel: carol:x:1000:2000:Carol Smith,Finance,,,Main Office:/home/carol:/bin/bash Das 5. Feld in /etc/passwd. Mehrere Werte durch Komma getrennt.
Frage
Erklären Sie die 9 Felder von /etc/shadow.
Tippe zum Aufdecken →
Antwort
1. Benutzername 2. Verschlüsseltes Passwort (! = gesperrt, * = Systemkonto, leer = kein Passwort) 3. Letzte Passwortänderung (Tage seit 01.01.1970, 0 = muss bei nächster Anmeldung ändern) 4. Mindestalter (Tage bis erneute Änderung erlaubt) 5. Maximalalter (Tage bis Ablauf) 6. Warnfrist (Tage vor Ablauf) 7. Inaktivität (Tage nach Ablauf bis Konto gesperrt wird) 8. Ablaufdatum (Kontoablauf in Tagen seit 1970) 9. Reserviert Beispiel: root:$6$...:18015:0:99999:7::: → Passwort gesetzt, letzte Änderung Tag 18015, kein Mindestalter, nie ablaufend, 7 Tage Warnung.
Frage
Was ist der Unterschied zwischen /etc/passwd und /etc/shadow?
Tippe zum Aufdecken →
Antwort
/etc/passwd (weltweit lesbar, 644): • Enthält Benutzername, UID, GID, GECOS, Home, Shell • Passwortfeld zeigt "x" (Shadow-Passwörter aktiv) /etc/shadow (nur root lesbar, 640): • Enthält die VERSCHLÜSSELTEN Passwörter • Passwortalterung (Min-/Maxalter, Warnung, Inaktivität, Ablauf) • Gesperrte Konten erkennt man an "!" am Anfang Sicherheit: Die Trennung verhindert, dass normale Benutzer die verschlüsselten Hashes lesen können (für Brute-Force-Angriffe nötig).
Frage
Wie funktioniert getent und worauf muss man achten?
Tippe zum Aufdecken →
Antwort
getent greift auf NSS-Datenbanken zu (definiert in /etc/nsswitch.conf): • getent passwd benutzer → Zeile aus /etc/passwd • getent group gruppe → Zeile aus /etc/group • getent shadow benutzer → Zeile aus /etc/shadow (nur root) Wichtig: • Keine Root-Rechte nötig (außer für shadow) • Funktioniert nur für in nsswitch.conf konfigurierte Datenbanken • Alternative zu cat | grep Beispiel: getent passwd root zeigt: root:x:0:0:root:/root:/bin/bash
Frage
Was sind Shadow-Passwörter und warum werden sie verwendet?
Tippe zum Aufdecken →
Antwort
Shadow-Passwörter trennen die Passwort-Hashes von der öffentlichen /etc/passwd: • /etc/passwd enthält nur "x" im Passwortfeld • Die tatsächlichen Hashes stehen in /etc/shadow (nur root lesbar) Vorteile: • Normale Benutzer können keine Passworthashes lesen → Brute-Force erschwert • Zusätzliche Passwortalterung möglich (Min-/Maxalter, Warnung, Inaktivität, Ablauf) Ohne Shadow wären die Hashes in der weltweit lesbaren /etc/passwd → großes Sicherheitsrisiko!