Red Hat Enterprise Linux 4: 시스템 관리 안내서
이전6장. 사용자 계정 및 자원 액세스 관리다음

6.3. Red Hat Enterprise Linux 관련 정보

다음 부분에서는 Red Hat Enterprise Linux의 사용자 계정 및 자원 관리를 위한 다양한 기능에 대하여 설명해보겠습니다.

6.3.1. 사용자 계정, 그룹 및 사용 권한

Red Hat Enterprise Linux에서는 일반 사용자 계정이 생성된 후 사용자는 시스템에 로그인하여 사용 권한이 주어진 어느 응용 프로그램이나 파일을 사용할 수 있습니다. Red Hat Enterprise Linux는 사용자와 그룹에 주어진 사용 권한에 기반하여 이들이 어떤 자원을 사용할 수 있는지 결정합니다.

파일, 디렉토리와 응용 프로그램에 대한 세가지 유형의 사용 권한이 주어지며, 이러한 사용 권한을 이용하여 액세스 허가를 제어할 수 있습니다. 디렉토리 목록을 출력시 다음과 같은 세가지 한단어로 된 기호가 사용됩니다:

네번째 기호 (-)는 아무런 액세스가 주어지지 않았음을 의미합니다.

세가지 사용 권한은 다음과 같은 세가지 다른 유형의 사용자 그룹에게 할당됩니다:

앞서 설명하였듯이 ls -l 명령을 이용하여 파일의 사용 권한을 볼 수 있습니다. 예를 들어 사용자 juan이 foo라는 이름의 실행 파일을 만들었을때, ls -l foo 명령의 출력 결과는 다음과 같이 나타날것입니다:

-rwxrwxr-x    1 juan     juan            0 Sep 26 12:25 foo

이 파일에 대한 사용 권한 정보는 줄 첫 부분에 나타난 rwx로 시작합니다. 처음 나온 세개의 기호는 소유자 액세스 정보를 나타냅니다. 이 예시에서 소유자 juan은 파일 읽기, 쓰기 및 실행이 모두 허용됩니다. 다음에 나온 rwx 기호 세트는 그룹 액세스 정보를 나타냅니다 (이 예시에서는 읽기, 쓰기, 실행 모두 허용됨). 마지막 기호 세트는 기타 사용자를 의미하며, 기타 사용자는 이 파일을 읽고 실행할 수는 있지만, 쓰기 권한은 없으므로 파일을 수정할 수 없습니다.

사용 권한과 사용자 계정과 관련하여 한가지 기억하셔야할 점은 Red Hat Enterprise Linux에서 실행되는 모든 응용 프로그램은 특정 사용자의 환경에서 실행된다는 사실입니다. 즉 만일 사용자 juan이 응용 프로그램을 실행할 경우 이 응용 프로그램은 juan의 사용자 환경에서 실행됩니다. 그러나 어떤 경우에는 응용 프로그램이 작업을 수행하기 위해 보다 높은 수준의 사용자 권한이 필요할 경우도 있습니다. 이러한 응용 프로그램은 시스템 설정을 수정하고 사용자의 로그 파일을 수정하는 기능을 하기 때문에 특별한 권한이 필요합니다.

Red Hat Enterprise Linux에는 다음과 같은 특수 권한이 사용됩니다:

6.3.1.1. 사용자명과 UID, 그룹과 GID

Red Hat Enterprise Linux에서 사용자 계정과 그룹 이름은 사람들이 편의를 위해서 주로 사용됩니다. 시스템 기계상에서는 이름 대신 숫자를 사용합니다. 이 숫자는 사용자의 경우 UID으로, 그룹 식별자는 GID라고 부릅니다. 사용자가 프로그램을 사용할 때에는 이러한 UID/GID가 사람이 읽을 수 있는(human-readable) 이름으로 번역되어 나타납니다.

중요중요
 

네트워크 상에서 파일과 자원을 공유할 계획이라면 기업 내의 모든 UID 및 GID가 고유해야 합니다. 액세스 제어 기능은 사용자 이름이나 그룹 이름이 아닌 UID와 GID를 이용하여 작동하므로, 이 번호가 하나라도 중복된다면 액세스 제어를 적절히 수행할 수 없게 됩니다.

특히 파일 서버에 저장된 /etc/passwd 파일과 /etc/group 파일이 사용자 워크스테이션에 저장된 파일과 UID 및 GID가 일치하지 않는다면, 보안상 큰 문제를 초래하게 됩니다.

예를 들어 만일 사용자 juan은 데스크탑 컴퓨터에서 UID 500이라고 가정할 경우 juan이 파일 서버에서 파일을 생성한다면 이 파일의 소유자 UID는 500으로 지정됩니다. 그러나 만일 사용자 bob이 파일 서버 (또는 다른 컴퓨터)에 바로 로그인하였을때 bob의 계정 번호가 역시 500이라면, bob은 juan이 소유한 모든 파일에 완전한 사용 권한을 갖게 되며, 마찬가지로 juan 또한 bob의 파일에 완전한 사용 권한을 가지게 됩니다.

따라서 어떠한 경우에도 UID와 GID가 중복되어서는 안됩니다.

UID와 GID에서 실제 숫자가 특별한 의미가 가지는 경우가 두가지 있습니다. 첫번째 경우는 UID와 GID가 0이라면 root 사용자를 의미합니다. 따라서 Red Hat Enterprise Linux에서 자동적으로 모든 사용 권한을 가집니다.

두번째 경우로 UID와 GID 번호 500 이하는 시스템 사용을 위해 따로 지정되었습니다. UID/GID 0과는 달리 UID와 GID 500 이하 번호는 Red Hat Enterprise Linux에 의해 특별히 취급되지 않습니다. 그러나 이 UID/GID 번호는 앞으로 사용을 위하여 보존되며 절대로 일반 사용자에게는 할당되지 않습니다. 이러한 표준 사용자 및 그룹에 대한 보다 상세한 정보를 원하신다면, Red Hat Enterprise Linux 참조 가이드에서 사용자와 그룹 장을 참조하시기 바랍니다.

Red Hat Enterprise Linux 사용자 생성 도구를 사용하여 새 사용자 계정을 추가할 경우 500 이상 번호 중 사용 가능한 첫 번호가 새 사용자 계정의 UID와 GID로 할당됩니다. 만일 새 사용자 계정의 UID/GID가 501이라면, 다음에 생성될 사용자 계정은 UID/GID 502으로 계속 진행됩니다.

Red Hat Enterprise Linux에서 새 사용자를 생성하는데 사용되는 도구는 다양합니다. 그러나 이 도구에 대한 내용은 이 장 마지막 부분에서 다루기로 하고 우선 다음 부분에서는 Red Hat Enterprise Linux에서 시스템 계정과 그룹을 정의하는데 사용하는 파일에 대하여 설명해보겠습니다.

6.3.2. 사용자 계정 및 그룹을 관리하는 파일

Red Hat Enterprise Linux에서 사용자 계정 및 그룹에 대한 정보는 /etc/ 디렉토리 안에 위치한 여러 텍스트 파일에 저장됩니다. 시스템 관리자가 새 사용자 계정을 생성하게되면 응용 프로그램에 의해 자동으로 필요한 변경 사항이 적용되거나 또는 시스템 관리자가 직접 수정할 수 있습니다.

다음은 Red Hat Enterprise Linux에서 /etc/ 디렉토리에 위치한 사용자와 그룹 정보 파일입니다:

6.3.2.1. /etc/passwd

/etc/passwd 파일은 누구나 읽기 가능한 파일로서 각 줄마다 한 사용자에 대한 정보를 담고 있습니다. 각 줄은 콜론(:)으로 구분된 7가지 정보를 나타냅니다:

  • 사용자명 — 시스템에 로그인시 사용자가 입력하는 사용자명.

  • 암호 — 암호화된 암호 (섀도우 패스워드가 사용된 경우 x로 나타납니다 — 섀도우 패스워드에 대해서는 이 장 마지막 부분에서 보다 자세하게 설명하겠습니다)

  • 사용자 ID (UID) — 사용자 이름에 상응하는 번호. 시스템과 응용 프로그램이 액세스 권한을 확인시 이 번호를 사용합니다.

  • 그룹 ID (GID) — 일차 그룹 이름에 상응하는 번호. 시스템과 응용 프로그램이 액세스 권한을 확인시 이 번호를 사용합니다.

  • GECOS — GECOS[1] 항은 각 사용자에 대한 정보를 기록하는데 사용되었으나 지금은 자주 사용되지 않고 빈칸으로 두거나 또는 추가 정보 (예, 사용자의 이름)을 기록하는데 사용됩니다.

  • 홈 디렉토리 — 사용자의 홈 디렉토리로의 절대 경로, 예 /home/juan/.

  • 쉘 — 사용자의 로그인 쉘. 쉘은 일반적으로 명령행 해석기로 사용되며 종종 shell라고 부르기도 합니다. Red Hat Enterprise Linux에서 기본 로그인쉘은 /bin/bash 입니다. 이 항이 비어있다면 /bin/sh가 사용됩니다. 만일 존재하지 않는 파일로 지정된다면, 이 사용자는 시스템에 로그인할 수 없습니다.

다음은 /etc/passwd 파일 내용 예시입니다:

root:x:0:0:root:/root:/bin/bash

이 예시에서 root 사용자가 섀도우 암호를 사용하고 있으며, UID와 GID가 0 이라는 사실을 알 수 있습니다. root 사용자의 홈 디렉토리는 /root/이며, 로그인 쉘은 /bin/bash 입니다.

/etc/passwd 파일에 대한 보다 자세한 정보는 passwd(5) 맨페이지를 참조하시기 바랍니다.

6.3.2.2. /etc/shadow

/etc/passwd 파일은 UID에서 사용자명으로 번역 작업을 수행하는데 사용되므로 누구나 읽기 가능해야 합니다. 따라서 사용자의 암호를 /etc/passwd에 저장하기엔 위험이 따릅니다. 물론 암호가 암호화되기는 하지만, 침입자가 이 암호를 알아내면 해독이 가능할지도 모릅니다.

만일 침입자가 /etc/passwd 파일의 내용을 알게되면 암호를 찾아내기 위한 공격을 가할 수 있습니다. 침입자도 어리석지 않다면 암호 크래커 프로그램에 의해 생성된 가능한 암호를 가지고 직접 로그인하여 암호를 찾아내는 방법을 사용하지 않습니다. 대신 다음과 같은 방법으로 암호 해독 프로그램을 사용합니다:

  • 암호 크래커는 가능한 암호를 생성합니다

  • 각 암호를 시스템과 똑같은 암호화 알고리즘을 사용하여 암호화합니다.

  • 그 후 암호화된 암호를 /etc/passwd 파일에 기록된 암호와 비교해봅니다.

이러한 공격은 기업체에서 멀리 떨어진 시스템에서 수행 가능합니다. 따라서 침입자는 가장 강력한 성능의 하드웨어를 사용하여 빠른 시간내에 수많은 암호를 비교할 수가 있으므로 보안상 매우 위험합니다.

이러한 상황을 방지하기 위하여 각 사용자의 암호 (및 암호 사용 기한 정보)는 오직 루트 사용자만 읽기 가능한 /etc/shadow 파일에 저장됩니다. 이 파일은 /etc/passwd 파일과 마찬가지로 각 사용자의 정보가 한줄마다 저장되어 있으며, 각 줄은 콜론(:)으로 구분된 다음과 같은 정보를 담습니다:

  • 사용자명 — 시스템에 로그인시 사용자가 입력하는 사용자명. login 프로그램은 이 줄에서 사용자 암호와 관련 정보를 읽어옵니다.

  • 암호화된 암호 — 13에서 24개 문자로 구성된 암호. crypt(3) 라이브러리 함수나 md5 해시 알고리즘을 이용하여 암호화합니다. 유효한 형식의 암호화된 암호나 해시된 암호가 아닌 다른 형식의 값이 나타날 경우도 있습니다. 만일 !이나 *라는 값이 보이면, 계정이 잠겨서 사용자가 로그인할 수 없다는 것을 의미합니다. 만일 값이 !!이라면 암호가 아직 설정되지 않았으며 암호를 설정하지 않은 사용자는 로그인할 수가 없음을 의미합니다.

  • 최근의 암호 변경일 — 1970년 1월 1일 (epoch) 이후로 최근 암호가 변경된 후 날짜수. 이 정보는 다음 칸에 나온 암호 기한 만료 값과 함께 사용됩니다.

  • 패스워드 변경 유예기간 — 암호를 변경해야하는 만기일까지 남은 날짜수.

  • 현재 암호 유효기간 — 암호를 변경하기위해 기다려야하는 최소 날짜수.

  • 암호 만료 전 경고기간 — 암호가 만료되기 전 사용자에게 경고를 보내는 기간.

  • 암호 만료 후 계정사용 불가기간 — 암호가 만료된 후 몇일후 계정을 비활성화할 것인지 결정하는 날짜수.

  • 계정 사용 불가일 — 사용자 계정이 비활성화된 이후 날짜수 (1970년 1월 1일 이후 날짜수로 저장)

  • 보류된 영역 — Red Hat Enterprise Linux에서는 사용되지 않습니다.

/etc/shadow 파일 내용의 예시:

juan:$1$.QKDPc5E$SWlkjRWexrXYgc98F.:12825:0:90:5:30:13096:

이 줄은 사용자 juan에 대한 다음과 같은 정보를 보여줍니다:

  • 최근 암호 변경일은 2005년 2월 11일임

  • 암호를 변경해야하는 최소 날짜수가 정해지지 않았음

  • 암호를 매 90일마다 변경해야함

  • 암호 변경 만기일 5일 전에 사용자에게 경고를 보냄

  • 암호가 만기된 후 30일 동안 아무런 로그인이 행해지지 않을 경우 계정이 비활성화됨

  • 계정은 2005년 11월 9일에 만기됨

/etc/shadow 파일에 대한 보다 자세한 정보는 shadow(5) 맨페이지를 참조하시기 바랍니다.

6.3.2.3. /etc/group

/etc/group 파일은 그룹에 대한 정보를 담고 있으며 누구나 읽기 가능한 파일입니다. 각 줄에서는 콜론(:)으로 구분된 4가지 정보를 찾을 수 있습니다:

  • 그룹명 — 그룹 이름. 다양한 유틸리티 프로그램이 그룹 번호를 그룹 이름으로 번역하는데 사용합니다.

  • 그룹 암호 — 그룹 암호가 설정되어 있다면, 그룹에 속하지 않은 사용자가 newgrp 명령을 입력 후 이곳에 저장된 암호를 입력하여 그룹에 가입할 수 있습니다. 소문자 x로 나타난다면, 섀도우 그룹 암호가 사용되었음을 의미합니다.

  • 그룹 ID (GID) — 그룸 이름에 상응하는 번호. 운영 체제와 응용 프로그램이 액세스 권한을 결정할때 사용합니다.

  • 구성원 목록 — 해당 그룹에 속한 사용자의 목록. (각 사용자는 콤마로 구분됩니다)

/etc/group 파일 예시:

general:x:502:juan,shelley,bob

이 예시에서 general 그룹은 섀도우 암호를 사용하며 GID는 512이고, 사용자 juan, shelley, bob이 이 그룹에 속해있다는 사실을 알 수 있습니다.

/etc/group 파일에 대한 자세한 정보는 group(5) 맨페이지를 참조하시기 바랍니다.

6.3.2.4. /etc/gshadow

/etc/gshadow 파일은 루트 사용자만 읽을 수 있는 파일로서 그룹 구성원 및 관리자 정보 뿐만 아니라 각 그룹의 암호화된 암호를 담고 있습니다. /etc/group 파일과 마찬가지로 한줄마다 개별 그룹의 정보를 보여줍니다. 각 줄에서는 콜론(:)으로 구분된 다음과 같은 정보를 찾을 수 있습니다:

  • 그룹명 — 그룹 이름. 다양한 유틸리티 프로그램이 그룹 번호를 그룹 이름으로 번역하는데 사용합니다.

  • 암호화된 암호 — 그룹의 암호화된 암호. 이 암호가 설정된 경우, 그룹에 속하지 않는 사용자는 newgrp 명령을 사용하여 그룹에 가입할 수 있습니다. 만일 이 칸이 !로 나타난다면 암호가 설정되어 있지 않으므로 아무도 newgrp 명령을 사용하여 이 그룹에 가입할 수 없습니다. !!는 !와 마찬가지이지만, 한가지 차이점은 암호가 이전에 설정된 적이 없다는 것을 의미합니다. 이 칸에 아무런 값도 나타나지 않은 경우에는 그룹 구성원만 그룹으로 로그인할 수 있습니다.

  • 그룹 관리자 — gpasswd 명령을 이용하여 그룹 구성원을 추가하거나 삭제할 수 있는 그룹 관리자 목록 (각 관리자는 콤마로 구분됨)

  • 그룹 구성원 — 관리자가 아닌 일반 그룹 구성원 목록. (각 구성원은 콤마로 구분됨)

/etc/gshadow 파일 예시:

general:!!:shelley:juan,bob

이 예시에서는 general 그룹에는 암호가 설정되어 있지 않으므로 그룹에 속하지 않는 사용자가 newgrp 명령을 사용하여 그룹에 가입할 수 없다는 사실을 알 수 있습니다. 또한 shelley는 그룹 관리자이며, juan과 bob은 일반 그룹 구성원 임을 알 수 있습니다.

이러한 파일을 직접 수정할 경우 구문 오류가 발생할 확률이 높습니다. 따라서 Red Hat Enterprise Linux의 응용 프로그램을 사용하여 이 파일을 수정하시기 바랍니다. 다음 부분에서는 이러한 작업을 수행하는 주요 응용 프로그램에 대하여 살펴보겠습니다.

6.3.3. 사용자 계정 및 그룹 관리 프로그램

Red Hat Enterprise Linux 시스템에서 사용자 계정 및 그룹을 관리하기 위해서는 다음과 같은 두가지 응용 프로그램을 사용 가능합니다:

사용자 관리 도구 사용법에 대한 자세한 설명은 Red Hat Enterprise Linux 시스템 관리 가이드의 사용자 및 그룹 설정 장에서 찾으실 수 있습니다.

사용자 관리 도구 응용 프로그램과 명령행 도구는 기본적으로 동일한 작업을 수행하지만, 명령행 도구를 사용할 경우 스크립트로 짜서 실행할 수 있므로 보다 쉽게 작업을 자동화할 수 있다는 장점이 있습니다.

다음 표는 사용자 계정 및 그룹을 생성하고 관리하는데 자주 사용되는 명령행 도구를 보여줍니다:

응용 프로그램기능
/usr/sbin/useradd사용자 계정을 추가합니다. 이 도구는 또한 일차 그룹 및 이차 그룹을 지정하는데도 사용됩니다.
/usr/sbin/userdel사용자 계정을 삭제합니다.
/usr/sbin/usermod암호 기한 만료 기한과 같은 사용자 계정의 속성을 변경하는데 사용됩니다. 보다 상세한 설정을 위해서는 passwd 명령을 사용하십시오. usermod 명령은 일차 그룹 및 이차 그룹을 지정하는데도 사용됩니다.
passwd암호를 지정합니다. 사용자의 암호를 변경하는데 주로 사용되지만, 암호 기한 만료 설정에도 사용됩니다.
/usr/sbin/chpasswd사용자명과 암호로 구성된 파일을 읽은 후 이 파일에 따라서 각 사용자의 암호를 업데이트합니다.
chage사용자의 암호 기한 만료 정책을 변경합니다. passwd도 이 용도로 사용할 수 있습니다.
chfn사용자의 GECOS 정보를 변경합니다.
chsh사용자의 기본 쉘을 변경합니다.

표 6-2. 사용자 관리 명령행 도구

다음 표는 그룹을 생성하고 관리하는데 자주 사용되는 명령행 도구를 보여줍니다:

응용 프로그램기능
/usr/sbin/groupadd그룹을 추가합니다. 그러나 사용자를 그룹에 추가하는 기능은 하지 않습니다. 주어진 그룹에 사용자를 추가하시려면 useradd와 usermod 명령을 사용하셔야 합니다.
/usr/sbin/groupdel그룹을 삭제함.
/usr/sbin/groupmod그룹 이름이나 GID를 변경합니다. 그러나 그룹 구성원을 변경하지는 않습니다. 주어진 그룹의 구성원을 변경하시려면 useradd와 usermod 명령을 사용하셔야 합니다.
gpasswd그룹 구성원을 변경하고 비구성원도 그룹에 가입할 수 있도록 그룹 암호를 설정합니다. 그룹 관리자를 지정하는데도 사용됩니다.
/usr/sbin/grpck/etc/group 파일과 /etc/gshadow 파일의 무결성을 확인합니다.

표 6-3. 그룹 관리 명령행 도구

시스템 관리자는 지금까지 설명된 도구를 사용하여 사용자 계정 및 그룹을 모두 관리할 수 있습니다. 이 도구를 사용하는 방법을 더 자세히 알고 싶으시면, 각 도구의 맨페이지를 참조하시기 바랍니다.

그러나 이러한 응용 프로그램은 이 사용자와 그룹이 어떠한 자원을 사용할 수 있는지 결정하지 않습니다. 이러한 작업을 위해서는 시스템 관리자는 파일 사용 권한을 설정하는 응용 프로그램을 사용하셔야 합니다.

6.3.3.1. 파일 사용 권한 응용 프로그램

파일 사용 권한은 기업 내에서 자원을 관리하는데 가장 중요한 부분입니다. 다음 표는 파일 사용 권한을 설정하는데 자주 사용되는 명령행 도구를 보여줍니다:

응용 프로그램기능
chgrp주어진 파일을 소유한 그룹을 변경합니다.
chmod주어진 파일의 사용 권한을 변경합니다. 이 명령을 사용하여 특수 사용 권한도 지정 가능합니다.
chown파일의 소유자 (및 그룹)을 변경합니다.

표 6-4. 파일 사용 권한 관리 명령행 도구

이러한 속성을 GNOME 및 KDE 그래픽 환경에서 변경하는 것도 가능합니다. 그래픽 파일 관리자나 데스크탑에 표시된 파일의 아이콘에 오른쪽 클릭하신 후 메뉴에서 등록 정보를 선택하시면 됩니다.

주석

[1]

GECOS는 General Electric Comprehensive Operating Supervisor의 줄임말로서, Bell Labs의 유닉스 시스템에서 사용되었습니다. 이 랩에는 GECOS를 실행하는 컴퓨터를 포함한 여러 가지 컴퓨터가 사용되었습니다. 따라서 이 항은 UNIX 시스템에서 GECOS 시스템에 작업을 보낼때 정보를 저장하는 장소로 사용되었습니다.

이전처음으로다음
사용자 자원 관리위로추가 자료