사용자·그룹과 최소 권한

01passwd·shadow·group이 담는 필드를 분해하기

• passwd의 일곱 필드/etc/passwd의 한 줄은 이름:암호표시:UID:GID:설명:홈:로그인셸의 일곱 필드다.
• 암호표시 x암호표시 x는 보통 암호 검증 자료가 shadow에 따로 있다는 뜻이다.
• /etc/shadow/etc/shadow는 암호 해시와 암호 변경·만료 정보를 관리하므로 공개 본문이나 로그에 내용 자체를 옮기지 않는다.
• /etc/group·그룹/etc/group은 그룹 이름과 GID, 보조 구성원을 담는다.
• GID사용자의 기본 GID는 passwd에 있으므로 group의 구성원 문자열에 없어도 해당 그룹을 기본 그룹으로 사용할 수 있다.
• NSSgetent는 NSS 설정에 따라 로컬 파일뿐 아니라 SSSD·LDAP 등 외부 계정 공급자를 포함하여 조회한다.
• 로컬 파일과 계정 조회그래서 /etc/passwd에 없다는 이유만으로 존재하지 않는 계정이라고 단정할 수 없다.
• UID·GID커널은 파일 소유권에 문자열 이름이 아니라 숫자 UID/GID를 저장하며, ls가 그 숫자를 이름으로 바꾸어 표시한다.
• 계정계정 이름을 바꾸는 작업과 저장된 숫자 식별자를 바꾸는 작업은 결과가 다르다.

getent passwd learner
getent group team
id learner
# 설명용 passwd 한 줄
# learner:x:1500:1500:Lab user:/home/learner:/bin/bash

교육용 예시. 표시된 결과는 설명을 위한 예시이며 실제 실행 기록이 아니다.

02계정을 만들 때 홈·셸·기본 그룹을 함께 정하는 이유

• 로그인 셸·UIDuseradd -m은 홈을 만들고, -d는 홈 경로, -s는 로그인 셸, -u는 UID, -g는 기본 그룹, -G는 보조 그룹을 지정한다.

  • 배포판의 기본값과 /etc/skel 내용에 따라 생성 결과가 달라지므로 옵션 의미와 정책 파일을 분리해서 이해한다.
• 계정passwd learner는 대화형으로 인증 암호를 설정하는 단계이며 계정 생성 자체가 항상 사용 가능한 암호를 만들어 주는 것은 아니다.
• 서비스 계정·로그인서비스 계정은 사람의 대화형 로그인과 프로그램의 파일 접근을 분리한다.
• UID서비스 프로그램이 UID를 가질 필요는 있지만 일반 로그인 셸은 필요하지 않은 경우 nologin을 지정한다.
• nologinnologin은 정상적인 프로그램 경로이며 단순히 존재하지 않는 셸 경로를 적는 방식이 아니다.
• UID·서비스 계정systemd의 User=는 서비스가 어떤 UID로 실행되는지를 정하므로 서비스 계정의 로그인 허용 여부와 별개로 의미가 있다.

# 별도 실습 VM에서 계정 생성 과정을 설명하는 예시
sudo useradd -m -s /bin/bash -c "Lab user" learner
sudo passwd learner
# 서비스 계정은 일반 로그인과 분리
sudo useradd --system --home-dir /srv/demo --shell /sbin/nologin demo

교육용 예시. 표시된 결과는 설명을 위한 예시이며 실제 실행 기록이 아니다.

03기본 그룹과 보조 그룹은 새 프로세스의 자격 정보가 된다

• 그룹·프로세스새 파일의 그룹은 보통 생성 프로세스의 유효 그룹과 부모 디렉터리의 setgid 정책 등에 의해 결정된다.
• 기본 그룹·계정기본 그룹은 계정의 기본값이고 보조 그룹은 추가 접근 범위다.
• usermodusermod -aG team learner는 기존 보조 그룹에 team을 추가하지만 -G team만 쓰면 목록을 지정한 집합으로 바꾼다.

  • -g는 기본 그룹을 바꾸므로 -G와 교환해서 쓸 수 없다.
• 그룹그룹 데이터베이스를 수정해도 이미 로그인한 셸의 커널 자격 정보가 모두 즉시 바뀌지는 않는다.
• 로그인새 로그인에서 다시 계산하거나 newgrp가 만드는 새 셸을 사용하면 변화가 나타난다.
• id·계정id learner는 계정 데이터베이스의 상태를, 인자 없는 id는 현재 프로세스의 상태를 비교하는 데 도움이 된다.
• 기본 그룹·usermod기본 그룹을 바꿀 때 usermod가 홈 아래 일부 소유 그룹을 바꾸는 동작이 있을 수 있지만 시스템 전체 파일과 실행 중 프로세스까지 모두 변환하는 작업은 아니다.

id learner
id
sudo usermod -aG team learner
# 새 로그인 뒤 id로 실제 보조 그룹을 비교한다.

교육용 예시. 표시된 결과는 설명을 위한 예시이며 실제 실행 기록이 아니다.

07암호 잠금·암호 만료·계정 만료는 다른 상태다

• passwd -lpasswd -l은 일반적으로 저장된 암호 표현을 잠가 암호 인증을 막는 작업이다.
• 세션이미 연결된 세션을 끊거나 모든 SSH 공개키·토큰을 자동 폐기하는 기능과 같지 않다.
• chage -Mchage -M은 암호 최대 사용 기간, -m은 최소 변경 간격, -W는 만료 전 경고 일수를 다룬다.
• 계정 만료·암호 만료계정 만료일은 암호 만료와 별도이며 PAM과 서비스가 이 상태를 어떻게 검사하는지도 인증 경로에 영향을 준다.
• 계정계정을 퇴역시키는 과정은 먼저 새 인증을 막고, 키·토큰과 위임 권한을 회수하며, 남은 세션·예약 작업·소유 파일의 인수인계를 처리한 뒤 계정을 제거하는 순서로 생각한다. 계정 레코드를 지워도 다른 디렉터리에 남은 UID 소유 파일이 모두 사라지는 것은 아니다.
• UID·계정UID를 재사용하면 새 계정이 그 파일의 소유자로 해석될 수 있으므로 숫자 식별자의 수명까지 고려한다.

passwd -S learner
chage -l learner
# 공개 예시에서는 shadow 해시를 출력하지 않는다.

교육용 예시. 표시된 결과는 설명을 위한 예시이며 실제 실행 기록이 아니다.

08sudoers의 대상과 실행 인자를 정확히 읽기

• sudoerssudoers는 누가, 어느 호스트에서, 누구로, 어떤 명령을 실행할 수 있는지 표현한다.
• 명령·인자 위임learner ALL=(root) /usr/bin/systemctl restart demo.service는 learner가 root로 해당 경로와 지정 인자에 맞는 명령을 실행하도록 위임하는 예다.
• 그룹%team은 사용자 한 명 대신 그룹을 뜻한다.

  • 실제 실행 파일 경로와 서비스 이름은 배포 환경에 맞아야 한다.
• 정책 검사·NOPASSWDvisudo는 구문 검사를 포함한 편집 도구이며 sudo -l은 현재 위임 내용을 보여 준다. NOPASSWD는 sudo 자체의 추가 암호 요구를 생략하는 태그이지 명령의 위험을 줄이는 설정이 아니다.
• 위임 명령의 확장 권한셸·편집기·패키지 관리자처럼 다른 명령을 실행할 수 있는 도구나 사용자가 수정 가능한 스크립트를 root로 허용하면 좁은 위임처럼 보여도 권한 확대가 가능하다.
• 명령·인자·기능 범위단순한 명령 이름뿐 아니라 인자와 그 명령이 읽는 파일의 쓰기 권한까지 권한 모델에 포함한다.

# /etc/sudoers.d/demo의 교육용 한 줄
learner ALL=(root) /usr/bin/systemctl restart demo.service
# 구문 검사
sudo visudo -c

교육용 예시. 표시된 결과는 설명을 위한 예시이며 실제 실행 기록이 아니다.

09로그인 사용자와 실행 주체 대조하기

• 로그인·프로세스조회 시에는 현재 로그인 사용자와 실제 프로세스의 실행 사용자를 구분한다.
• 계정관리 작업은 수행 주체와 결과를 기록하고, 공동으로 사용하는 하나의 관리자 계정보다 책임을 식별할 수 있는 계정을 사용한다.

id
groups
getent passwd "$USER"

현재 계정의 식별자·그룹·계정 정보를 조회한다.

10계정 조회에서 프로세스 자격 정보까지

• 계정·보조 그룹계정 이름 operator와 보조 그룹 reports를 사용하는 예를 생각한다.
• 계정계정 조회 계층은 로컬 파일이나 설정된 외부 디렉터리에서 이름에 대응하는 UID와 그룹 정보를 구한다.
• 로그인로그인 프로그램 등은 인증을 수행한 뒤 세션과 프로세스를 적절한 UID·GID·보조 그룹으로 시작한다.
• 계정·프로세스이후 파일 접근은 사용자가 입력한 계정 이름 문자열 자체보다 프로세스가 가진 자격 정보와 대상 소유권을 대조하는 방식으로 이루어진다.
• 계정·그룹관리자가 계정 저장소에 reports 그룹 멤버십을 추가해도 실행 중인 모든 프로세스의 보조 그룹 목록이 자동으로 교체되지는 않는다.
• 로그인·세션기존 셸과 그 자식은 이전 자격 정보를 계속 사용할 수 있고, 새 로그인 세션은 갱신된 그룹 정보를 받아 시작할 수 있다.

  • 서비스에도 같은 구분이 필요하다.
• 그룹·프로세스저장소의 멤버십, 현재 터미널의 그룹, 서비스 프로세스의 그룹을 세 가지 관찰 대상으로 나누면 변경 직후의 혼란을 줄일 수 있다.

1. 변경 전저장소와 기존 세션 모두 reports 그룹이 없다.
2. 저장소 변경계정 멤버십은 갱신됐지만 기존 프로세스는 그대로다.
3. 새 세션 생성로그인 과정에서 갱신된 그룹 정보를 반영한다.
4. 접근 결과 비교다른 조건이 같으면 새 세션은 그룹 권한으로 읽고 기존 세션은 거부될 수 있다.

11같은 이름으로 접속했는데 결과가 다른 경우

• 보조 그룹터미널에서는 파일을 읽는데 서비스에서는 거부된다면 서비스의 User·Group 설정과 보조 그룹을 먼저 확인한다.
• 로그인 셸로그인 셸 제한은 대화형 로그인을 막는 한 방법이지만 Samba 같은 별도 서비스의 인증 정책을 모두 대신하지 않는다.

  • 계정 비활성화가 어느 접속 경로에 적용되는지도 구분해야 한다.
• 계정로컬 계정 파일만 보지 않고 getent로 시스템의 계정 조회 결과를 확인하면 외부 계정 구성을 놓칠 가능성이 줄어든다.
• UID·GID파일을 다른 시스템으로 옮겼을 때 숫자 UID·GID와 이름 매핑이 달라지면 소유자가 예상과 다르게 보일 수 있다.
• UID사용자를 삭제하고 같은 이름으로 다시 만들어도 UID가 달라질 수 있으며, 남은 숫자 소유권이 새 계정과 뜻밖에 연결될 수도 있다.

  • 따라서 계정 수명 관리에는 홈 디렉터리, 예약 작업, 서비스 설정, 파일 소유권을 함께 기록한다.
• 권한 위임과 작업 결과sudo 기록은 누가 어떤 권한으로 실행했는지 추적하되 실제 작업 성공 여부는 별도 로그로 확인한다.