Chapitre 13. Gestion des comptes et des utilisateurs

FreeBSD permet à de nombreux utilisateurs d’utiliser l’ordinateur en même temps. Evidemment, seul un de ces utilisateurs peut être assis devant l’écran et le clavier à un instant donné , mais n’importe quel nombre d’utilisateurs peut ouvrir une session par l’intermédiaire du réseau pour mener à bien son travail. Pour utiliser le système chaque utilisateur doit posséder un compte.

Après la lecture de ce chapitre, vous connaîtrez:

Avant de lire ce chapitre, vous devrez:

Tout accès au système est effectué par l’intermédiaire de comptes, et tous les processus sont exécutés par des utilisateurs, la gestion des comptes et des utilisateurs est capitale sur les systèmes FreeBSD.

Chaque compte sur un système FreeBSD est associé avec un certain nombre d’informations utilisé pour identifier le compte.

Il y a trois principales sortes de comptes: le super-utilisateur, les utilisateurs système, et les comptes utilisateur. Le compte super-utilisateur, normalement appelé root, est utilisé pour gérer le système sans aucune limitation de privilèges. Les utilisateurs système exécutent des services. Et enfin, les comptes utilisateur sont utilisés par de véritables utilisateurs, qui ouvrent des sessions, lisent leur courrier électronique, et ainsi de suite.

Le compte super-utilisateur, habituellement appelé root, est préconfiguré pour simplifier l’administration système, et ne devrait pas être utilisé pour des tâches quotidiennes comme l’envoi et la réception de courrier électronique, l’exploration du système, ou la programmation.

Cela parce que le super-utilisateur, à la différence des comptes utilisateurs ordinaires, peut agir sans aucune limite, et une mauvaise utilisation du compte super-utilisateur peut être à l’origine de résultats catastrophiques. On ne peut pas endommager par erreur le système avec un compte utilisateur, il est donc généralement préférable d’utiliser des comptes utilisateur ordinaires chaque fois que c’est possible, à moins d’avoir particulièrement besoin de droits supplémentaires.

Vous devriez toujours vérifier et revérifier les commandes que vous tapez en tant que super-utilisateur, parce qu’un espace en trop ou un caractère manquant peuvent signifier la perte définitive de données.

Donc, la première chose que vous devriez faire, après la lecture de ce chapitre, est de vous créer un compte utilisateur sans privilèges si vous n’en avez pas déjà. Cela s’applique aussi bien à une machine multi-utilisateurs qu’à une machine mono-utilisateur. Plus loin dans ce chapitre, nous expliquerons comment créer de nouveaux comptes, et comment passer d’un compte utilisateur ordinaire au compte du super-utilisateur.

Les utilisateurs système sont ceux utilisés pour exécuter des services comme le DNS, le courrier électronique, les serveurs web, et ainsi de suite. La raison de cela est la sécurité; si tous les services s’exécutaient avec les droits du super-utilisateur, ils pourraient agir sans aucune restriction.

Des exemples d’utilisateurs système sont daemon, operator, bind (pour le serveur de noms de domaine), news, et www.

nobody est l’utilisateur sans privilèges générique du système. Cependant, il est important de garder à l’esprit que plus grand est le nombre de services utilisant nobody, plus grand sera le nombre de fichiers et de processus associés à cet utilisateur, et par conséquent plus grand sera le nombre de privilèges de cet utilisateur.

Les comptes utilisateur sont le principal moyen pour les véritables utilisateurs d’accéder au système, ces comptes isolent l’utilisateur du reste de l’environnement, empêchant les utilisateurs d’endommager le système et ou les comptes d’autres utilisateurs, tout en leur permettant de personnaliser leur environnement sans incidence pour les autres utilisateurs.

Chaque personne accédant à votre système ne devrait posséder que son propre et unique compte. Cela vous permet de savoir qui fait quoi, empêche un utilisateur de désorganiser l’environnement d’un autre ou de lire du courrier électronique qui ne lui est pas destiné, et ainsi de suite.

Chaque utilisateur peut configurer son propre environnement en fonction de ses besoins, pour utiliser d’autres interpréteurs de commandes, éditeurs, raccourcis de clavier, et langues.

Il existe une variété de différentes commandes disponibles dans l’environnement UNIX® pour manipuler les comptes utilisateur. Les commandes les plus communes sont récapitulées ci-dessous, suivis par des exemples détaillés de leur utilisation.

Si vous avez plusieurs utilisateurs sur votre système, la possibilité de limiter leur utilisation du système peut venir à l’esprit. FreeBSD fournit plusieurs méthodes à l’administrateur système pour limiter la quantité de ressources système qu’un utilisateur peut utiliser. Ces limites sont généralement divisées en deux parties: les quotas disque, et les autres limites de ressource.

Les quotas limitent l’utilisation des disques par les utilisateurs, et ils fournissent un moyen de vérifier rapidement cette utilisation sans avoir à faire des calculs à chaque fois. Les quotas sont abordés dans la Quotas d’utilisation des disques.

Les autres limites de ressource comprennent les moyens de limiter l’utilisation du CPU, de la mémoire, et les autres ressources qu’un utilisateur peut consommer. Elles sont définies en employant des classes de session et sont abordées ici.

Les classes de session sont définies dans /etc/login.conf. La sémantique précise sort du cadre de cette section, mais est décrite en détail dans la page de manuel login.conf(5). Il est suffisant de dire que chaque utilisateur est assigné à une classe (default par défaut), et que chaque classe dispose d’un ensemble de capacités associées. La forme utilisée pour ces capacités est une paire nom=valeur où nom est un identifiant connu et valeur est une chaîne arbitraire dépendante du nom. Paramétrer des classes et des capacités est plutôt direct et également décrit dans login.conf(5).

Les limites de ressource sont différentes des capacités standards des classes en deux points. Premièrement, pour chaque limite, il existe une limite douce (actuelle) et limite dure. Une limite douce peut être ajustée par l’utilisateur ou une application, mais jamais dépasser la limite dure. Cette dernière peut être abaissée par l’utilisateur, mais jamais augmentée. Deuxièmement, la plupart des limites de ressource s’applique par processus à un utilisateur spécifique, et non pas à l’utilisateur dans sa totalité. Notez, cependant, que ces différences sont exigées par la manipulation spécifique des limites, et non pas par l’implémentation du système des capacités des classes de session utilisateur (i.e., elles ne sont vraiment pas un cas particulier des capacités des classes de session).

Sans plus attendre, ci-dessous sont présentées les limites de ressource les plus souvent utilisées (le reste, avec les autres capacités des classes de session, peut être trouvé dans login.conf(5)).

Il y a quelques éléments à se rappeler quand on fixe des limites de ressource. Quelques astuces générales, suggestions, et commentaires divers:

Pour de plus amples informations sur les limites et les classes de session et les capacités en général, veuillez consulter les pages de manuel appropriées: cap.mkdb(1), getrlimit(2), login.conf(5).

Un groupe est simplement une liste d’utilisateurs. Les groupes sont identifiés par leur nom et leur GID (identificateur de groupe). Dans FreeBSD (et la plupart des systèmes UNIX®), les deux éléments que le noyau utilise pour décider si un processus est autorisé à faire quelque chose sont son ID utilisateur et la liste des groupes auxquels il appartient. Différent d’un identificateur utilisateur, un processus est associé à une liste de groupes. Vous pourrez entendre faire références au "group ID" d’un utilisateur ou d’un processus; la plupart du temps on veut parler du premier groupe dans la liste.

La table d’équivalence nom de groupe et identificateur de groupe se trouve dans /etc/group. C’est un fichier texte avec quatre champs délimités par deux points. Le premier champ est le nom du groupe, le second est le mot de passe crypté, le troisième est l’ID du groupe, et le quatrième est une liste de membres séparés par des virgules. Ce fichier peut sans risque être édité à la main (en supposant, bien sûr, que vous ne faites pas d’erreur de syntaxe!). Pour une description complète de le syntaxe, voir la page de manuel group(5).

Si vous ne voulez pas éditer /etc/group à la main, vous pouvez utiliser la commande pw(8) pour ajouter et éditer des groupes. Par exemple, pour ajouter un groupe appelé teamtwo et ensuite vérifier qu’il existe bien vous pouvez utiliser:

Le nombre 1100 ci-dessus est l’identificateur de groupe pour le groupe teamtwo. A cet instant teamtwo n’a aucun membre, et est par conséquent plutôt inutile. Changeons cela en ajoutant jru au groupe teamtwo.

Le paramètre ajouté à l’option -M est une liste, délimitée par des virgules, d’utilisateurs qui sont membres du groupe. Des sections précédentes nous savons que le fichier des mots de passe contient également un groupe pour chaque utilisateur. Le dernier (utilisateur) est automatiquement ajouté à la liste des groupes par le système; l’utilisateur n’apparaîtra pas comme étant membre quand on utilise l’option groupshow avec pw(8), mais apparaîtra quand l’information est demandée par l’intermédiaire de id(1) ou un outil similaire. En d’autres termes, pw(8) manipule uniquement le fichier /etc/group, il n’essaiera jamais de lire des données supplémentaires à partir du fichier /etc/passwd.

Comme vous pouvez le voir, jru est membre des groupes jru et teamtwo.

Pour plus d’information sur pw(8), voir sa page de manuel, et pour d’information sur le format de /etc/group, consultez la page de manuel group(5).