Aplica-se a SUSE Linux Enterprise Desktop 15 SP6

6 Gerenciando usuários com o YaST #

Durante a instalação, você pode ter criado um usuário local para o seu sistema. Com o módulo Gerenciamento de Usuários e Grupos do YaST, é possível adicionar usuários ou editar usuários existentes. Ele também permite configurar o sistema para autenticar usuários em um servidor de rede.

6.1 Caixa de diálogo Administração de Usuário e Grupo #

Para administrar usuários ou grupos, inicie o YaST e clique em Segurança e usuários › Administração de Usuário e Grupo. Se preferir, inicie a caixa de diálogo Administração de Usuário e Grupo diretamente executando sudo yast2 users & de uma linha de comando.

Figura 6.1: Administração de Usuário e Grupo do YaST #

Cada usuário recebe um ID de usuário de todo o sistema (UID). Além dos usuários que podem efetuar login na sua máquina, há vários usuários do sistema apenas para uso interno. Cada usuário é atribuído a um ou mais grupos. Parecido com os usuários do sistema, há também os grupos de sistema para uso interno.

A janela principal mostra várias guias, dependendo do conjunto de usuários (locais, de rede ou do sistema) que você seleciona para ver e modificar. As guias permitem que você execute as seguintes tarefas:

Gerenciando contas de usuário: Na guia Usuários, crie, modifique, apague ou desabilite temporariamente as contas do usuário conforme descrito na Seção 6.2, “Gerenciando contas dos usuários”. Conheça as opções avançadas, como uso obrigatório de políticas de senha, uso de diretórios pessoais criptografados ou gerenciamento de cotas de disco na Seção 6.3, “Opções adicionais para contas dos usuários”.
Mudando as configurações padrão: As contas de usuários locais são criadas de acordo com as configurações definidas na guia Padrões para Novos Usuários. Aprenda a mudar a atribuição de grupo padrão ou as permissões de acesso e o caminho padrão de diretórios pessoais na Seção 6.4, “Mudando as configurações padrão para usuários locais”.
Atribuindo usuários a grupos: Aprenda a mudar a atribuição de grupo para usuários individuais na Seção 6.5, “Atribuindo usuários a grupos”.
Gerenciando grupos: Na guia Grupos, você poderá adicionar, modificar ou apagar grupos existentes. Consulte a Seção 6.6, “Gerenciando grupos” para obter informações sobre isso.
Mudando o método de autenticação do usuário: Quando a sua máquina está conectada a uma rede que oferece métodos de autenticação de usuário como NIS ou LDAP, você pode escolher dentre diversos métodos de autenticação na guia Configurações de Autenticação. Para obter mais informações, consulte a Seção 6.7, “Mudando o método de autenticação do usuário”.

Para o gerenciamento de usuários e grupos, a caixa de diálogo fornece uma funcionalidade semelhante. Para alternar facilmente entre a tela de administração de usuários e grupos, escolha a guia apropriada na parte superior da caixa de diálogo.

As opções de filtro permitem definir o conjunto de usuários ou grupos que você deseja modificar: na guia Usuários ou Grupo, clique em Configurar filtro para ver e editar usuários ou grupos. Elas são listadas de acordo com determinadas categorias, como Usuários Locais ou Usuários LDAP, se aplicável. Com Configurar filtro › Personalizar filtro, você também pode configurar e usar um filtro personalizado.

Dependendo do filtro escolhido, nem todas as opções e funções a seguir podem estar disponíveis na caixa de diálogo.

6.2 Gerenciando contas dos usuários #

O YaST permite criar, modificar, apagar ou desabilitar temporariamente as contas de usuários. Não modifique as contas do usuário, a menos que você seja um usuário experiente ou administrador.

Nota: Mudando IDs de usuários existentes

A propriedade do arquivo está vinculada ao ID de usuário, e não ao nome de usuário. Após uma mudança de ID de usuário, os arquivos no diretório pessoal do usuário serão automaticamente ajustados para refletir essa mudança. Entretanto, após uma mudança de ID, o usuário não terá mais posse dos arquivos que ele criou em algum local do sistema de arquivos, a menos que a propriedade desses arquivos seja modificada manualmente.

As instruções a seguir demonstram como configurar contas de usuário padrão. Para ver mais opções, consulte a Seção 6.3, “Opções adicionais para contas dos usuários”.

Procedimento 6.1: Adicionando ou modificando contas de usuários #

Abra a caixa de diálogo Administração de Usuário e Grupo do YaST e clique na guia Usuários.
Com Configurar Filtro, defina o conjunto de usuários que deseja gerenciar. A caixa de diálogo mostra uma lista de usuários no sistema e os grupos aos quais eles pertencem.
Para modificar as opções de um usuário existente, selecione uma entrada e clique em Editar.
Para criar uma nova conta de usuário, clique em Adicionar.
Digite os dados de usuário apropriados na primeira guia, como Nome do usuário (usado para login) e Senha. Esses dados são suficientes para criar um novo usuário. Se você clicar em OK agora, o sistema atribuirá automaticamente um ID de usuário e definirá todos os outros valores como padrão.
Ative Receber mensagens do sistema para que as notificações do sistema sejam enviadas à caixa de correio do usuário. Isso cria um álias de e-mail para root, e o usuário pode ler e-mails do sistema sem ter que primeiro efetuar login como root.
Os e-mails enviados dos serviços do sistema são armazenados em uma caixa de correio local /var/spool/mail/USERNAME, em que USERNAME é o nome de login do usuário selecionado. Para ler e-mails, você pode usar o comando mail.
Para ajustar mais detalhes, como o ID de usuário ou o caminho para o diretório pessoal do usuário, use a guia Detalhes.
Se precisar realocar o diretório pessoal de um usuário existente, digite o caminho do novo diretório pessoal e mova o conteúdo do diretório pessoal atual usando Mover para Nova Localização. Do contrário, um novo diretório pessoal será criado sem nenhum dado existente.
Para forçar os usuários a mudar regularmente a senha ou definir outras opções de senha, alterne para Configurações de Senha e ajuste as opções. Para obter mais detalhes, consulte a Seção 6.3.2, “Assegurando o uso obrigatório de políticas de senha”.
Clique em OK se todas as opções estiverem definidas conforme desejado.
Clique em OK para fechar a caixa de diálogo de administração e gravar as mudanças. Um usuário recém-adicionado agora poderá efetuar login no sistema usando o nome de login e a senha criada.
Se preferir, grave todas as mudanças sem sair da caixa de diálogo Administração de Usuário e Grupo, clique em Opções técnicas › Gravar alterações agora.

Atenção: Não renomear a conta de root

Tecnicamente, é possível renomear a conta de root, mas determinados aplicativos, scripts ou produtos de terceiros podem depender da existência de um usuário chamado root. Essa configuração é sempre destinada a ambientes individuais, mas os ajustes necessários podem ser sobregravados por atualizações do fornecedor, portanto, isso se torna uma tarefa contínua, em vez de uma configuração única. Isso acontece principalmente em configurações complexas que envolvem aplicativos de terceiros, em que é necessário verificar com cada fornecedor envolvido se há suporte para renomeação da conta de root.

Como as implicações da renomeação da conta de root não podem ser previstas, o SUSE não suporta a renomeação da conta de root.

Normalmente, a ideia por trás da renomeação da conta de root é ocultá-la ou torná-la imprevisível. No entanto, /etc/passwd requer permissões 644 para usuários regulares, portanto, qualquer usuário do sistema pode recuperar o nome de login para o ID de usuário 0. Para conhecer as melhores formas de proteger a conta de root, consulte o Section 14.5, “Restricting root logins” e o Section 14.5.3, “Restricting SSH logins”.

Dica: Fazendo a correspondência de IDs de usuário

Convém corresponder o ID de usuário (local) ao ID na rede. Por exemplo, um novo usuário (local) em um laptop deve ser integrado a um ambiente de rede com o mesmo ID de usuário. Esse procedimento garante a mesma propriedade dos arquivos que o usuário cria “offline” daqueles criados diretamente na rede.

Procedimento 6.2: Desabilitando ou apagando contas dos usuários #

Abra a caixa de diálogo Administração de Usuário e Grupo do YaST e clique na guia Usuários.
Para desabilitar uma conta de usuário temporariamente sem apagá-la, selecione o usuário na lista e clique em Editar. Ative Desabilitar Login de Usuário. O usuário não poderá efetuar login em sua máquina até que você habilite a conta novamente.
Para apagar uma conta de usuário, selecione o usuário na lista e clique em Apagar. Escolha se você também deseja apagar o diretório pessoal do usuário ou manter os dados.

6.3 Opções adicionais para contas dos usuários #

Além das configurações para uma conta de usuário padrão, o SUSE® Linux Enterprise Desktop oferece outras opções. Por exemplo, as opções para assegurar o uso obrigatório de políticas de senha, usar diretórios pessoais criptografados ou definir cotas de disco para usuários e grupos.

6.3.1 Login automático e login sem senha #

Se você usar o ambiente de área de trabalho do GNOME, poderá configurar o Auto Login para determinado usuário e também o Login sem Senha para todos os usuários. O login automático faz com que o usuário seja conectado automaticamente ao ambiente de desktop na inicialização. Essa funcionalidade somente poderá ser ativada para um usuário de cada vez. O login sem senha permite que todos os usuários efetuem login no sistema após digitarem seus nomes de usuário no gerenciador de login.

Atenção: Risco de segurança

Habilitar a opção Auto Login ou Login sem Senha em uma máquina que pode ser acessada por mais de um pessoa representa um risco de segurança. Qualquer usuário poderá obter acesso ao seu sistema e aos seus dados sem precisar de autenticação. Se o seu sistema contiver dados confidenciais, não use essa funcionalidade.

Para ativar o login automático ou o login sem senha, acesse essas funções em Administração de Usuário e Grupo no YaST em Opções técnicas › Configurações de login.

6.3.2 Assegurando o uso obrigatório de políticas de senha #

Em qualquer sistema com vários usuários, convém assegurar o uso obrigatório de, no mínimo, as políticas básicas de segurança de senha. Os usuários devem mudar as senhas regularmente e usar senhas fortes que não possam ser exploradas facilmente. Para usuários locais, proceda da seguinte forma:

Procedimento 6.3: Definindo configurações de senha #

Abra a caixa de diálogo Administração de Usuário e Grupo do YaST e selecione a guia Usuários.
Selecione o usuário e clique em Editar.
Alterne para a guia Configurações de Senha. A última mudança de senha do usuário é exibida na guia.
Para que o usuário mude a senha no próximo login, ative Forçar Mudança de Senha.
Para assegurar o uso obrigatório de um rodízio de senhas, defina um Número Máximo de Dias para a Mesma Senha e um Número Mínimo de Dias para a Mesma Senha.
Para lembrar o usuário de mudar a senha antes de sua expiração, defina o número de Dias Antes do Aviso do Vencimento de Senha.
Para restringir o período de login do usuário depois que a senha expirar, mude o valor em Dias Depois do Vencimento da Senha que o Login é Válido.
Você também pode indicar uma data de vencimento específica para a conta completa. Digite a Data de vencimento no formato YYYY-MM-DD. Essa configuração não está relacionada à senha, mas sim à conta propriamente dita.
Para obter mais informações sobre as opções e os valores padrão, clique em Ajuda.
Aplique suas mudanças com OK.

6.3.3 Gerenciando cotas #

Para evitar o esgotamento dos recursos do sistema sem qualquer notificação, os administradores de sistema podem configurar cotas para usuários ou grupos. É possível definir quotas para um ou mais sistemas de arquivos, e restringir a quantidade de espaço em disco que pode ser usada e o número de inodes (nós do índice) que podem ser criados lá. Os inodes são estruturas de dados em um sistema de arquivos que armazenam informações básicas sobre um arquivo um diretório ou outro objeto comum do sistema de arquivos. Eles armazenam todos os atributos de um objeto de sistema de arquivos (como propriedade do usuário e do grupo, permissões de leitura, gravação ou execução), exceto nome de arquivo e conteúdo.

O SUSE Linux Enterprise Desktop permite o uso de cotas soft e hard. Além disso, é possível definir intervalos extras que permitem que usuários ou grupos excedam temporariamente determinada quantidade de suas cotas.

Cota flexível: Define um nível de aviso em que os usuários são informados de que estão atingindo seu limite. Os administradores podem alertar os usuários para limpar e reduzir seus dados na partição. O limite de cota flexível normalmente é menor do que o limite de cota fixa.
Cota fixa: Define o limite em que as solicitações de gravação são negadas. Quando uma cota fixa é atingida, não é possível armazenar mais dados, e os aplicativos podem falhar.
Período extra: Define o período entre o overflow da cota flexível e a emissão do aviso. Normalmente, ele é definido como um valor bem baixo entre uma ou várias horas.

Procedimento 6.4: Habilitando o suporte a quotas para uma partição #

Para configurar cotas para determinados usuários e grupos, habilite primeiro o suporte a cotas para a respectiva partição no Particionador Técnico do YaST.

No YaST, selecione Sistema › Particionador e clique em Sim para continuar.
No Particionador Técnico, selecione a partição para a qual habilitará cotas e clique em Editar.
Clique em Opções do Fstab e ative Habilitar Suporte a Cotas. Se o pacote quota ainda não foi instalado, a instalação é feita assim que você confirma a respectiva mensagem clicando em Sim.
Confirme suas mudanças e saia do Particionador Técnico.
Verifique se o serviço quotaon está em execução digitando o seguinte comando:
```
> sudo systemctl status quotaon.service
```
Ele deve estar marcado como active (ativo). Do contrário, inicie-o com o comando systemctl start quotaon.service.

Procedimento 6.5: Configurando cotas para usuários ou grupos #

Agora, você poderá definir cotas flexíveis ou fixas para usuários ou grupos específicos e especificar os períodos como intervalos extras.

Em Administração de Usuário e Grupo do YaST, selecione o usuário ou grupo para o qual deseja definir as cotas e clique em Editar.
Na guia Plug-ins, selecione a entrada Gerenciar Cotas de Usuário e clique em Iniciar para abrir a caixa de diálogo Configuração de Cota.
Em Sistema de Arquivos, selecione a partição à qual a cota deverá ser aplicada.
Embaixo de Limites de Tamanho, restrinja a quantidade do espaço em disco. Digite o número de blocos de 1 KB que o usuário ou o grupo possa ter nessa partição. Especifique um valor para Limite Flexível e outro para Limite Físico.
Você também pode restringir o número de inodes que o usuário ou o grupo pode ter na partição. Embaixo de Limites de I-node, digite um Limite Flexível e um Limite Físico.
Você só poderá definir intervalos extras se o usuário ou o grupo já tiver excedido o limite flexível especificado para tamanho ou inodes. Do contrário, as caixas de texto relacionadas a tempo não estarão ativadas. Especifique o período para o qual o usuário ou o grupo tem permissão para exceder os limites definidos acima.
Confirme as configurações com OK.
Clique em OK para fechar a caixa de diálogo de administração e gravar as mudanças.
Se preferir, grave todas as mudanças sem sair da caixa de diálogo Administração de Usuário e Grupo, clique em Opções técnicas › Gravar alterações agora.

O SUSE Linux Enterprise Desktop também inclui ferramentas de linha de comando, como repquota ou warnquota. Os administradores de sistema podem usar essas ferramentas para controlar a utilização do disco ou enviar notificações por e-mail aos usuários que excederem a cota. Usando quota_nld, os administradores também podem encaminhar mensagens de kernel sobre as cotas excedidas para D-BUS. Para obter mais informações, consulte a página de manual de repquota, warnquota e quota_nld.

6.4 Mudando as configurações padrão para usuários locais #

Ao criar novos usuários locais, várias configurações padrão são usadas pelo YaST. Elas incluem, por exemplo, o grupo ao qual o usuário pertence ou as permissões de acesso do diretório pessoal do usuário. Você poderá mudar essas configurações padrão de acordo com os seus requisitos:

Abra a caixa de diálogo Administração de Usuário e Grupo do YaST e selecione a guia Padrões para Novos Usuários.
Para mudar o grupo ao qual os novos usuários devem pertencer automaticamente, selecione outro grupo em Grupo padrão.
Se você não deseja usar /home/USERNAME como o caminho padrão dos diretórios pessoais dos novos usuários, modifique o Prefixo de caminho para diretório pessoal.
Para mudar os modos de permissão padrão dos diretórios pessoais recém-criados, ajuste o valor de umask em Umask para o Diretório Pessoal. Para obter mais informações sobre umask, consulte o Chapter 19, Access control lists in Linux e a página de manual de umask.
Para obter informações sobre as opções individuais, clique em Ajuda.
Aplique suas mudanças com OK.

6.5 Atribuindo usuários a grupos #

Os usuários locais são atribuídos a vários grupos de acordo com as configurações padrão, que podem ser acessadas na caixa de diálogo Administração de Usuário e Grupo, na guia Padrões para Novos Usuários. Aprenda a seguir como modificar a atribuição de grupo de um usuário individual. Se precisar mudar as atribuições de grupo padrão para os novos usuários, consulte a Seção 6.4, “Mudando as configurações padrão para usuários locais”.

Procedimento 6.6: Mudando a atribuição de grupo de um usuário #

Abra a caixa de diálogo Administração de Usuário e Grupo do YaST e clique na guia Usuários. Ela lista os usuários e os grupos aos quais os usuários pertencem.
Clique em Editar e alterne para a guia Detalhes.
Para mudar o grupo ao qual o usuário pertence, clique em Grupo padrão e selecione o grupo na lista.
Para atribuir grupos secundários adicionais de usuários, ative as caixas de seleção correspondentes na lista Grupos Adicionais.
Clique em OK para aplicar as mudanças.
Clique em OK para fechar a caixa de diálogo de administração e gravar as mudanças.
Se preferir, grave todas as mudanças sem sair da caixa de diálogo Administração de Usuário e Grupo, clique em Opções técnicas › Gravar alterações agora.

6.6 Gerenciando grupos #

Com o YaST, você também pode adicionar, modificar ou apagar grupos facilmente.

Procedimento 6.7: Criando e modificando grupos #

Abra a caixa de diálogo Gerenciamento de Usuários e Grupos do YaST e clique na guia Grupos.
Com Configurar Filtro, defina o conjunto de grupos a serem gerenciados. A caixa de diálogo lista os grupos no sistema.
Para criar um novo grupo, clique em Adicionar.
Para modificar um grupo existente, selecione o grupo e clique em Editar.
Na caixa de diálogo seguinte, digite ou mude os dados. A lista à direita mostra uma visão geral de todos os usuários e usuários de sistema disponíveis que podem ser membros do grupo.
Para adicionar usuários existentes a um novo grupo, selecione-os na lista de Membros do grupo possíveis, marcando a caixa correspondente. Para removê-los do grupo, desmarque a caixa.
Clique em OK para aplicar as mudanças.
Clique em OK para fechar a caixa de diálogo de administração e gravar as mudanças.
Se preferir, grave todas as mudanças sem sair da caixa de diálogo Administração de Usuário e Grupo, clique em Opções técnicas › Gravar alterações agora.

Para apagar um grupo, ele não deve ter nenhum membro. Para apagar um grupo, selecione-o na lista e clique em Apagar. Clique em OK para fechar a caixa de diálogo de administração e gravar as mudanças. Se preferir, grave todas as mudanças sem sair da caixa de diálogo Administração de Usuário e Grupo, clique em Opções técnicas › Gravar alterações agora.

6.7 Mudando o método de autenticação do usuário #

Com a máquina conectada à rede, você pode mudar o método de autenticação. As seguintes opções estão disponíveis:

NIS: Os usuários são administrados centralmente em um servidor NIS em todos os sistemas da rede. Para obter os detalhes, consulte o Chapter 3, Using NIS.
SSSD: O System Security Services Daemon (SSSD) pode armazenar em cache localmente os dados dos usuários e permitir que eles os utilizem mesmo que o serviço de diretório real esteja (temporariamente) inacessível. Para obter os detalhes, consulte o Section 4.2, “SSSD”.
Samba: A autenticação SMB é geralmente usada em redes com Linux e Windows. Para obter os detalhes, consulte o Chapter 7, Active Directory support.

Para mudar o método de autenticação, faça o seguinte:

Abra a caixa de diálogo Administração de Usuário e Grupo no YaST.
Clique na guia Configurações de Autenticação para mostrar uma visão geral dos métodos de autenticação disponíveis e das configurações atuais.
Para mudar o método de autenticação, clique em Configurar e selecione o método de autenticação que deseja modificar. Isso o levará diretamente para os módulos de configuração de cliente no YaST. Para obter informações sobre a configuração do cliente apropriado, consulte as seguintes seções:
NIS: Section 3.2, “Configuring NIS clients”
LDAP: Section 4.1, “Configuring an authentication client with YaST”
SSSD: Section 4.2, “SSSD”
Após aceitar a configuração, retorne à visão geral de Administração de Usuário e Grupo.
Clique em OK para fechar a caixa de diálogo de administração.

6.8 Usuários do sistema padrão #

Por padrão, o SUSE Linux Enterprise Desktop cria nomes de usuário que não podem ser apagados. Esses usuários normalmente são definidos no Linux Standard Base. A lista a seguir apresenta os nomes comuns de usuário e a finalidade deles:

Nomes comuns de usuários instalados por padrão #

bin, daemon: Usuário legado, incluído para compatibilidade com os aplicativos legados. Os novos aplicativos não devem mais utilizar esse nome de usuário.
gdm: Usado pelo GDM (GNOME Display Manager – Gerenciador de Exibição do Gnome) para fornecer logins gráficos e gerenciar exibições locais e remotas.
lp: Usado pelo daemon Printer para CUPS (Common Unix Printing System).
mail: Reservado pelo usuário para programas de e-mail como sendmail ou postfix.
man: Usado pelo man para acessar páginas de manual.
messagebus: Usado para acessar o D-Bus (barramento de área de trabalho), um barramento de software para comunicação entre processos. O daemon é dbus-daemon.
nobody: Usuário que não tem nenhum arquivo e não está em nenhum grupo privilegiado. Atualmente, seu uso é limitado conforme recomendação do Linux Standard Base para fornecer uma conta do usuário separada para cada daemon.
nscd: Usado pelo Daemon de Cache de Serviço de Nomes. Esse daemon é um serviço de pesquisa que melhora o desempenho com NIS e LDAP. O daemon é nscd.
polkitd: Usado pelo PolicyKit Authorization Framework, que define e administra solicitações de autorização para processos sem privilégio. O daemon é polkitd.
postfix: Usado pelo programa de correio Postfix.
pulse: Usado pelo servidor de som Pulseaudio.
root: Usado pelo administrador do sistema, concedendo todos os privilégios apropriados.
rpc: Usado pelo comando rpcbind, um mapeador de porta RPC.
rtkit: Usado pelo pacote rtkit que fornece um serviço do sistema D-Bus para o modo de programação em tempo real.
salt: Usuário para execução remota paralela fornecido pelo Salt. O daemon é denominado salt-master.
scard: Usuário para comunicação com smart cards e leitores. O daemon é denominado pcscd.
srvGeoClue: Usado pelo serviço GeoClue D-Bus para fornecer informações de localização.
sshd: Usado pelo daemon Secure Shell (SSH) para garantir a comunicação protegida e criptografada em uma rede não segura.
statd: Usado pelo protocolo Network Status Monitor (NSM), implementado no daemon rpc.statd, para escutar notificações de reinicialização.
systemd-coredump: Usado pelo comando /usr/lib/systemd/systemd-coredump para adquirir, gravar e processar dumps de memória.
systemd-timesync: Usado pelo comando /usr/lib/systemd/systemd-timesyncd para sincronizar o relógio do sistema local com um servidor remoto NTP (Network Time Protocol).

6.9 Grupos do sistema padrão #

Por padrão, o SLE cria vários grupos de usuários que são usados pelos serviços do sistema. A lista a seguir descreve exemplos de grupos opcionais comuns e obrigatórios.

root: Grupo administrativo com todos os privilégios.
bin: Incluído para compatibilidade com aplicativos legados. Novos aplicativos não devem usar esse grupo.
daemon: Antes era usado para limitar o acesso de daemons ao sistema. Os daemons devem ser executados com o próprio UID/GID para separar um daemon do outro.
audio: Privilégios para dispositivos de áudio.
gdm: Privilégios para o Gerenciador de Exibição do GNOME.
chrony: Privilégios para o serviço de sincronização de horário.
kvm: Privilégios para o kit de ferramentas do emulador de máquina QEMU.
libvirt: Privilégios para a pilha de virtualização.
lp: Privilégios para a operação da impressora.
mail: Privilégios para serviços de e-mail.
man: Privilégios específicos das páginas de manual e do comando man.
sshd: Privilégios para o daemon do protocolo de comunicação SSH.