配置基本系统设置

先决条件

• 您已安装了 RHEL 9 web 控制台。

  具体步骤请参阅安装并启用 Web 控制台。

先决条件

• 您已安装了 RHEL 9 web 控制台。

  具体步骤请参阅安装并启用 Web 控制台。

• Time:此下拉菜单包含搜索的不同时间范围的预定义搜索。
• Priority:此下拉菜单提供了不同优先级级别的选项。它对应于 journalctl --priority 选项。默认优先级值为 Error 及以上。每次在不指定其它优先级时，会设置它。
• Identifier:在这个下拉菜单中，您可以选择要过滤的标识符。对应于 journalctl --identifier 选项。

先决条件

• 您已安装了 RHEL 9 web 控制台。

  具体步骤请参阅安装并启用 Web 控制台。

• 显示用户和组群 ID:

  $ id
  uid=1000(example.user) gid=1000(example.user) groups=1000(example.user),10(wheel) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

• 要创建新用户帐户，请执行以下操作：

  # useradd example.user

• 为 example.user 所属用户帐户分配新密码：

  # passwd example.user

• 将用户添加到组中：

  # usermod -a -G example.group example.user

先决条件

• 根 访问权限

流程

• 要添加新用户，请使用：

  # useradd options username

  使用 useradd 命令的选项替换 options，并使用用户名称替换 username。

  例 9.1. 添加新用户

  添加用户 ID 为 5000 的用户 sarah，使用：

  # useradd -u 5000 sarah

验证

• 要验证新用户是否已添加，使用 id 工具程序。

  # id sarah

  输出返回：

  uid=5000(sarah) gid=5000(sarah) groups=5000(sarah)

先决条件

• 根 访问权限

流程

• 要添加新组，请使用：

  # groupadd options group-name

  使用 groupadd 命令的命令行选项替换 options，并使用 group-name 替换 group-name。

  例 9.2. 添加新组

  要添加组 ID 为 5000 的组 sysadmins，请使用：

  # groupadd -g 5000 sysadmins

验证

• 要验证新组是否已添加，使用 tail 实用程序。

  # tail /etc/group

  输出返回：

  sysadmins:x:5000:

先决条件

• root 访问权限

流程

• 要在用户的附加组中添加一个组，请使用：

  # usermod --append -G group-name username

  使用组群名称替换 group- name，并将 group-name 替换为组的名称。

  例 9.3. 将用户添加到补充组中

  要将用户 sysadmin 添加到 system-administrators 组中，请使用：

  # usermod --append -G system-administrators sysadmin

验证

• 要验证新的组被添加到用户 sysadmin 的附加组中，请使用：

  # groups sysadmin

  输出显示：

  sysadmin : sysadmin system-administrators

先决条件

• 根 访问权限

验证

• 要验证设置权限的正确性，请使用：

  # ls -ld directory-name

  使用目录名替换 directory-name。

  输出返回：

  drwxrwsr-x. 2 root group-name 6 Nov 25 08:45 directory-name

先决条件

• 您有 root 访问权限。
• 用户当前存在。

• 确保用户已退出登录：

  # loginctl terminate-user user-name

流程

• 要仅删除用户帐户，而不删除用户数据：

  # userdel user-name

• 要删除用户、数据和元数据：

  1. 删除用户、其主目录、其邮件假脱机及其 SELinux 用户映射：

     # userdel --remove --selinux-user user-name

  2. 删除其他用户元数据：

     # rm -rf /var/lib/AccountsService/users/user-name

     此目录存储系统在主目录可用之前所需的有关用户的信息。根据系统配置，主目录可能无法使用，直到用户在登录屏幕进行身份验证。

     重要

     如果您没有删除此目录，之后又的重新创建同一用户，重新创建的用户仍将使用从已删除用户继承来的某些设置。

先决条件

• 您已安装了 RHEL 9 web 控制台。

  具体步骤请参阅安装并启用 Web 控制台。

先决条件

• 您已安装了 RHEL 9 web 控制台。

  具体步骤请参阅安装并启用 Web 控制台。

流程

• 显示用户的主组以及任何补充组的名称：

  $ groups user-name

  使用用户名称替换 user-name。如果不提供用户名，则命令将显示当前用户的组成员身份。第一个组是主组，后跟可选的补充组。

  例 9.4. 列出用户 sarah 的组：

  $ groups sarah

  输出显示：

  sarah : sarah wheel developer

  用户 arah 有一个主组 sarah，它是补充组 wheel 和 developer 的成员。

  例 9.5. 列出用户 marc 的组：

  $ groups marc

  输出显示：

  marc : marc

  用户 marc 仅有一个主组 marc，没有补充组。

流程

• 更改用户的主组：

  # usermod -g group-name user-name

  使用新主组的名称替换 group-name，并使用用户名替换 user-name。

  注意

  更改用户的主组时，命令还会将用户主目录中所有文件的组所有权自动更改为新的主组。您必须手动修复用户主目录外文件的组所有权。

  例 9.6. 更改用户的主组的示例：

  如果用户 arah 属于主组 sarah1，且您想将用户的主组更改为 sarah2，请使用：

  # usermod -g sarah2 sarah

验证

• 验证您是否更改了用户的主组：

  $ groups sarah

  输出显示：

  sarah : sarah2

先决条件

• root 访问权限

流程

• 要在用户的附加组中添加一个组，请使用：

  # usermod --append -G group-name username

  使用组群名称替换 group- name，并将 group-name 替换为组的名称。

  例 9.7. 将用户添加到补充组中

  要将用户 sysadmin 添加到 system-administrators 组中，请使用：

  # usermod --append -G system-administrators sysadmin

验证

• 要验证新的组被添加到用户 sysadmin 的附加组中，请使用：

  # groups sysadmin

  输出显示：

  sysadmin : sysadmin system-administrators

先决条件

• root 访问权限

流程

• 从补充组中删除用户：

  # gpasswd -d user-name group-name

  使用用户名替换 user-name，并使用补充组的名称替换 group-name。

  例 9.8. 从补充组中删除用户

  如果用户 sarah 有一个主组 sarah2，并且属于次要组 wheel 和 developers，并且您想从组 developers 中删除该用户，请使用：

  # gpasswd -d sarah developers

验证

• 验证您是否从次要组 developers 中删除了用户 sarah：

  $ groups sarah

  输出显示：

  sarah : sarah2 wheel

先决条件

• root 访问权限
• 补充组必须存在

流程

• 覆盖用户的补充组的列表：

  # usermod -G group-names username

  使用一个或多个补充组的名称替换 group-names。要将用户一次添加到多个补充组中，请使用逗号分隔组名称，并且没有插入空格。例如：wheel,developer。

  使用用户名称替换 user-name。

  重要

  如果用户是当前您未指定的组的成员，则该命令会从组中删除该用户。

  例 9.9. 更改用户的补充组的列表

  如果用户 sarah 有一个主组 sarah2，并且属于补充组 wheel，您希望用户属于多个补充组 developer、sysadmin 和 security，请使用：

  # usermod -G wheel,developer,sysadmin,security sarah

验证

• 验证您是否正确设置了补充组列表：

  # groups sarah

  输出显示：

  sarah : sarah2 wheel developer sysadmin security

先决条件

• 根 访问权限

流程

• 要更改 root 密码，使用：

  # passwd

  在修改前，会提示您输入您当前的密码。

先决条件

• 您可以以非 root 用户身份登录。
• 您是管理 wheel 组的成员。

流程

• 以wheel 组中的非 root 用户身份修改或重置 root 密码，请使用：

  $ sudo passwd root

  此时会提示您输入当前的非 root 密码，然后才能更改 root 密码。

• 读(r)
• 写(w)
• 执行(x)

• 用户所有者 (u)
• 组所有者(g)
• 其他 (o)
• 所有 (a)

• + 在现有权限之上添加权限
• - 从现有权限中删除权限
• = 删除现有权限，并明确定义新权限

流程

• 要更改文件或目录的权限，请使用：

  $ chmod <level><operation><permission> file-name

  将 <level> 替换为您要为其设置权限的 所有权级别。将 <operation> 替换为其中一个 符号。将 <permission> 替换为您要分配的 权限。用文件或目录的名称替换 file-name。例如，要为每个人授予读、写和执行(rwx) my-script.sh 的权限，请使用 chmod a=rwx my-script.sh 命令。

  如需了解更多详细信息，请参阅 基本文件权限。

验证

• 要查看特定文件的权限，请使用：

  $ ls -l file-name

  用文件名替换 file-name。

• 要查看特定目录的权限，请使用：

  $ ls -dl directory-name

  使用目录名替换 directory-name。

• 要查看特定目录中所有文件的权限，请使用：

  $ ls -l directory-name

  使用目录名替换 directory-name。

流程

• 要为现有文件或者目录更改文件权限，请使用：

  $ chmod octal_value file-name

  用文件或目录的名称替换 file-name。使用数值替换 octal_value。如需了解更多详细信息，请参阅 基本文件权限。

流程

• 要显示特定文件或目录的当前 ACL，请使用：

  $ getfacl file-name

  用文件或目录的名称替换 file-name。

先决条件

• root 访问权限。

流程

• 要为文件或目录设置 ACL，请使用：

流程

• 要在符号模式下显示 umask 的当前值，请使用：

  $ umask -S

• 要在八进制模式下显示 umask 的当前值，请使用：

  $ umask

  注意

  以八进制模式显示 umask 时，您可以注意到它显示了四位数字（0002 或 0022）。umask 的第一个数字代表一个特殊的位（spicky 位、SGID 位或 SUID 位）。如果第一个数字设定为 0，则代表没有设置特殊位。

流程

• 要显示非登录 shell 的默认 bash umask，请使用：

  $ grep umask /etc/bashrc

  输出会返回：

  # By default, we want umask to get set. This sets it for non-login shell.
         umask 002
         umask 022

• 要显示登录 shell 的默认 bash umask，请使用：

  $ grep "UMASK" /etc/login.defs

  输出会返回：

  # UMASK is also used by useradd(8) and newusers(8) to set the mode for new
  UMASK        022
  # If HOME_MODE is not set, the value of UMASK is used to create the mode.

• 读(r)
• 写(w)
• 执行(x)

• 用户所有者 (u)
• 组所有者(g)
• 其他 (o)
• 所有 (a)

• + 在现有权限之上添加权限
• - 从现有权限中删除权限

• = 删除现有权限，并明确定义新权限

  注意

  任何在等号(=)后未指定的权限都将被自动禁止。

流程

• 要为当前的 shell 会话设置 umask，请使用：

  $ umask -S <level><operation><permission>

  将 <level> 替换为您要为其设置 umask 的 所有权级别。将 <operation> 替换为其中一个 符号。将 <permission> 替换为您要分配的 权限。例如，要将 umask 设为 u=rwx,g=rwx,o=rwx，使用 umask -S a=rwx。

  如需了解更多详细信息，请参阅 用户文件创建模式。

  注意

  umask 仅对当前 shell 会话有效。

流程

• 要为当前的 shell 会话设置 umask，请使用：

  $ umask octal_value

  使用数值替换 octal_value。如需了解更多详细信息，请参阅 用户文件创建模式掩码。

  注意

  umask 仅对当前 shell 会话有效。

先决条件

• root 访问权限

先决条件

• root 访问权限

流程

• 将指定 umask 的八进制值的行追加到特定用户的 .bashrc 文件中。

  $ echo 'umask octal_value' >> /home/username/.bashrc

  使用数值替换 octal_value，并使用用户名替换 username。如需了解更多详细信息，请参阅 用户文件创建模式掩码。

• 列出所有当前载入的服务单元：

  $ systemctl list-units --type service
  UNIT                     LOAD   ACTIVE SUB     DESCRIPTION
  abrt-ccpp.service        loaded active exited  Install ABRT coredump hook
  abrt-oops.service        loaded active running ABRT kernel log watcher
  abrtd.service            loaded active running ABRT Automated Bug Reporting Tool
  ...
  systemd-vconsole-setup.service loaded active exited  Setup Virtual Console
  tog-pegasus.service            loaded active running OpenPegasus CIM Server
  
  LOAD   = Reflects whether the unit definition was properly loaded.
  ACTIVE = The high-level unit activation state, or a generalization of SUB.
  SUB    = The low-level unit activation state, values depend on unit type.
  
  46 loaded units listed. Pass --all to see loaded but inactive units, too.
  To show all installed unit files use 'systemctl list-unit-files'

  默认情况下，systemctl list-units 命令只显示活跃的单位。对于每个服务单元文件，命令提供以下参数的概述：

  UNIT

  服务单元的全名

  LOAD

  配置文件的负载状态

  ACTIVE 或 SUB

  当前高级别和低级单元文件激活状态

  DESCRIPTION

  单元目的和功能的简短描述

• 使用带有 --all 或 -a 命令行选项的命令，列出 所有载入的单元，而不考虑其状态：

  $ systemctl list-units --type service --all

• 列出所有可用服务单元的状态( enabled 或 disabled)：

  $ systemctl list-unit-files --type service
  UNIT FILE                               STATE
  abrt-ccpp.service                       enabled
  abrt-oops.service                       enabled
  abrtd.service                           enabled
  ...
  wpa_supplicant.service                  disabled
  ypbind.service                          disabled
  
  208 unit files listed.

  对于每个服务单元，这个命令会显示：

  UNIT FILE

  服务单元的全名

  STATE

  服务单元是否已启用或禁用，以便在引导时自动启动的的信息

• 显示与系统服务相应的服务单元的详细信息：

  $ systemctl status <name>.service

  将 <name> 替换为您要检查的服务单元的名称（例如：gdm）。

  这个命令显示以下信息：

  • 所选服务单元的名称，后跟一个简短描述
  • 可用服务单元信息中 中描述的一个或多个字段
  • 服务单元的执行：如果单元由 root 用户执行

  • 最新的日志条目

    表 12.2. 可用的服务单元信息

    项	描述
    Loaded	是否服务单元已载入的信息，单元文件的绝对路径，以及是否在引导时启动该单元的说明。
    Active	服务单元是否在运行的信息，后面有一个时间戳。
    Main PID	进程 ID 和相应系统服务的名称。
    Status	相关系统服务的额外信息。
    Process	有关相关进程的附加信息。
    CGroup	有关相关的控制组(cgroups)的额外信息。

  例 12.1. 显示服务状态

  GNOME 显示管理器的服务单元名为 gdm.service。要确定这个服务单元的当前状态，在 shell 提示下键入以下内容：

  # systemctl status gdm.service
  gdm.service - GNOME Display Manager
     Loaded: loaded (/usr/lib/systemd/system/gdm.service; enabled)
     Active: active (running) since Thu 2013-10-17 17:31:23 CEST; 5min ago
   Main PID: 1029 (gdm)
     CGroup: /system.slice/gdm.service
             ├─1029 /usr/sbin/gdm
             └─1047 /usr/bin/Xorg :0 -background none -verbose -auth /r...
  
  Oct 17 17:31:23 localhost systemd[1]: Started GNOME Display Manager.

• 验证特定的服务单元是否正在运行：

  $ systemctl is-active <name>.service

• 确定是否在引导时启用了特定的服务单元：

  $ systemctl is-enabled <name>.service

  注意

  如果指定的服务单元正在运行或已启用，则 systemctl is-active 和 systemctl is-enabled 命令都会返回 0 退出状态 0。

• 检查在指定服务单元前 systemd 启动哪些服务

  # systemctl list-dependencies --after <name>.service

  例如，要查看在 gdm 之前启动的服务的列表，请输入：

  # systemctl list-dependencies --after gdm.service
  gdm.service
  ├─dbus.socket
  ├─getty@tty1.service
  ├─livesys.service
  ├─plymouth-quit.service
  ├─system.slice
  ├─systemd-journald.socket
  ├─systemd-user-sessions.service
  └─basic.target
  [output truncated]

• 检查在指定服务单元后 systemd 启动哪些服务：

  # systemctl list-dependencies --before <name>.service

  例如，要查看在 gdm 后 systemd 启动的服务列表，请输入：

  # systemctl list-dependencies --before gdm.service
  gdm.service
  ├─dracut-shutdown.service
  ├─graphical.target
  │ ├─systemd-readahead-done.service
  │ ├─systemd-readahead-done.timer
  │ └─systemd-update-utmp-runlevel.service
  └─shutdown.target
    ├─systemd-reboot.service
    └─final.target
      └─systemd-reboot.service

先决条件

• 根访问权限

流程

• 在当前会话中启动一个系统服务：

  # systemctl start <name>.service

  将 <name> 替换为您要启动的服务单元的名称（例如 httpd.service）。

  注意

  在 systemd 中，服务之间存在正和负的依赖项。启动一个特定的服务可能需要启动一个或多个其他服务（正依赖项）或停止一个或多个服务（负依赖项）。

  当您尝试启动一个新服务时，systemd 会自动解析所有依赖项，而不明确通知用户。这意味着，如果您已运行了一个服务，并且您尝试使用负依赖项启动另一个服务，则第一个服务会自动停止。

  例如，如果您运行 postfix 服务，并且您尝试启动 sendmail 服务，则 systemd 会首先自动停止 postfix，因为这两个服务有冲突，且无法在同一个端口上运行。

先决条件

• 根访问权限

流程

• 停止一个系统服务：

  # systemctl stop <name>.service

  将 <name> 替换为您要停止的服务单元的名称（例如：bluetooth）。

• 在当前会话中停止所选服务单元，并立即再次启动它。
• 仅在相应的服务已在运行时重启服务单元。
• 重新加载系统服务的配置，而不中断其执行。

先决条件

• 根访问权限

流程

• 重启一个系统服务：

  # systemctl restart <name>.service

  使用您要重启的服务单元的名称替换 <name> （例如 httpd）。

  注意

  如果所选服务单元没有运行，这个命令也会启动它。

• 可选：仅在相应的服务已在运行时重启服务单元：

  # systemctl try-restart <name>.service

• 可选：重新载入配置而不中断服务执行：

  # systemctl reload <name>.service

  注意

  不支持此功能的系统服务忽略此命令。要重新启动这些服务，请改为使用 reload-or-restart 和 reload-or-try-restart 命令。

先决条件

• 根访问权限

• 您需要启用的服务不能被屏蔽。如果您有一个屏蔽的服务，请首先取消屏蔽：

  # systemctl unmask <name>.service

流程

• 在引导时启用服务：

  # systemctl enable <name>.service

  使用您要启用的服务单元的名称替换 <name>（例如 httpd）。

• 可选：您还可以使用单个命令启用并启动服务：

  # systemctl enable --now <name>.service

先决条件

• 根访问权限

流程

• 禁用要在引导时启动的服务：

  # systemctl disable <name>.service

  将 <name> 替换为您要禁用的服务单元的名称（例如：bluetooth）。

• 可选：如果您想使服务永久不可用，请屏蔽该服务：

  # systemctl mask <name>.service

  这个命令将 /etc/systemd/system/name.service 文件替换为到 /dev/null 的符号链接，从而导致 systemd 无法访问实际的单元文件。

• 用于启动图形会话的 graphical.target 单元 启动系统服务，如 GNOME 显示管理器(gdm.service)或 Accounts Service (accounts-daemon.service)，同时还激活 multi-user.target 单元。
• 同样，multi-user.target 单元启动其他基本系统服务，如 NetworkManager (NetworkManager.service) 或 D-Bus (dbus.service)，并激活另一个名为 basic.target 的目标单元。

先决条件

• 根访问权限

先决条件

• 根访问权限

流程

• 要进入救援模式，在当前会话中更改当前目标：

  # systemctl rescue
  
  Broadcast message from root@localhost on pts/0 (Fri 2023-03-24 18:23:15 CEST):
  
  The system is going down to rescue mode NOW!

  注意

  这个命令与 systemctl isolate rescue.target 类似，但它也会向当前登录到该系统的所有用户发送信息性消息。

  要防止 systemd 发送信息，使用 --no-wall 命令行选项输入以下命令：

  # systemctl --no-wall rescue

• 您可以使用 time 参数来计划关机。这也为用户提供了系统已计划关机的警告。
• 您可以取消关机。

• 关闭系统，并在某个时间关闭机器
• 在不关闭机器的情况下关闭和停止系统
• 取消一个待处理的关机

先决条件

• 根访问权限

• 指定您要关闭系统并关闭机器的时间：

  # shutdown --poweroff hh:mm

  其中 hh:mm 是 24 小时表示法时间。为防止新的登录，在系统关闭前 5 分钟会创建 /run/nologin 文件。

  当使用时间参数时，您可以通过指定可选的 wall message 来通知登录到计划关机的系统，如 shutdown --poweroff 13:59 "Attention。系统将于 13:59" 关闭。

• 在延迟后关闭和停止系统，而不断电：

  # shutdown --halt +m

  其中 +m 是延迟时间（以分钟为单位）。您可以使用 now 关键字作为 +0 的别名。

• 取消一个待处理的关机：

  # shutdown -c

先决条件

• 根访问权限

• 关闭系统并给机器断电：

  # systemctl poweroff

• 在不断电的情况下关闭和停止系统：

  # systemctl halt

• 安装新软件或更新后
• 更改系统设置后
• 排除系统问题时

先决条件

• 根访问权限

流程

• 重启系统：

  # systemctl reboot

先决条件

• 根访问权限

• 挂起系统：

  # systemctl suspend

• 休眠系统：

  # systemctl hibernate

• 休眠并挂起系统：

  # systemctl hybrid-sleep

• 挂起，然后休眠系统：

  # systemctl suspend-then-hibernate

• 将系统时钟与 NTP 服务器同步
• 将系统时钟与参考时钟同步，如 GPS 接收器
• 将系统时钟与手动时间输入同步
• 作为 NTPv4(RFC 5905) 服务器或对等服务器，为网络中的其他计算机提供时间服务

先决条件

• 您在系统上安装了 NetworkManager 并启用了它。
• 根访问权限

• 互联网协议、IPv4 或者 IPv6。
• UNIX 域套接字，由 root 用户或 chrony 用户从本地进行访问。

• activity
• manual list
• rtcdata
• smoothing
• sources
• sourcestats
• tracking
• waitsync

先决条件

• 带有 NTS 支持的服务器

验证

• 验证 NTS 密钥是否已成功建立：

  # chronyc -N authdata
  
  Name/IP address  Mode KeyID Type KLen Last Atmp  NAK Cook CLen
  ================================================================
  time.example.com  NTS     1   15  256  33m    0    0    8  100
  nts.sth1.ntp.se   NTS     1   15  256  33m    0    0    8  100
  nts.sth2.ntp.se   NTS     1   15  256  33m    0    0    8  100

  KeyID、Type 和 KLen 应带有非零值。如果该值为零，请检查系统日志中来自 chronyd 的错误消息。

• 验证客户端是否正在进行 NTP 测量：

  # chronyc -N sources
  
  MS Name/IP address Stratum Poll Reach LastRx Last sample
  =========================================================
  time.example.com   3        6   377    45   +355us[ +375us] +/-   11ms
  nts.sth1.ntp.se    1        6   377    44   +237us[ +237us] +/-   23ms
  nts.sth2.ntp.se    1        6   377    44   -170us[ -170us] +/-   22ms

  Reach 列中应具有非零值；理想情况是 377。如果值很少为 377 或永远不是 377，这表示 NTP 请求或响应在网络中丢失。

先决条件

• 以 PEM 格式的服务器私钥
• 带有 PEM 格式的所需中间证书的服务器证书

验证

• 使用以下命令从客户端机器执行快速测试：

  $ chronyd -Q -t 3 'server
  
  ntp-server.example.net iburst nts maxsamples 1'
  2021-09-15T13:45:26Z chronyd version 4.1 starting (+CMDMON +NTP +REFCLOCK +RTC +PRIVDROP +SCFILTER +SIGND +ASYNCDNS +NTS +SECHASH +IPV6 +DEBUG)
  2021-09-15T13:45:26Z Disabled control of system clock
  2021-09-15T13:45:28Z System clock wrong by 0.002205 seconds (ignored)
  2021-09-15T13:45:28Z chronyd exiting

  System clock wrong 消息指示 NTP 服务器接受 NTS-KE 连接并使用 NTS 保护的 NTP 消息进行响应。

• 验证 NTS-KE 连接并验证服务器中观察的 NTP 数据包：

  # chronyc serverstats
  
  NTP packets received       : 7
  NTP packets dropped        : 0
  Command packets received   : 22
  Command packets dropped    : 0
  Client log records dropped : 0
  NTS-KE connections accepted: 1
  NTS-KE connections dropped : 0
  Authenticated NTP packets: 7

  如果 NTS-KE connections accepted 和 Authenticated NTP packets 项带有一个非零值，这意味着至少有一个客户端能够连接到 NTS-KE 端口并发送经过身份验证的 NTP 请求。