
##### 资源准备以及服务器初始化

所有服务器执行一下脚本进行配置信息初始化：

```shell
Copy#!/bin/bash
cd `dirname $0`
 
# 关闭selinux
setenforce 0
sed -i '/SELINUX/s/enforcing/disabled/g' /etc/selinux/config
# 禁用NetworkManager
systemctl stop NetworkManager
systemctl disable NetworkManager
# 调整log级别
#sed -i 's/\#LogLevel=info/LogLevel=notice/g' /etc/systemd/system.conf
#systemctl daemon-reexec
# 配置ssh
sed -i -e "/GSSAPIAuthentication/s/yes/no/g" -e "/GSSAPICleanupCredentials/s/yes/no/g" -e"s/^#UseDNS\ no/UseDNS\ no/" -e"s/^#UseDNS\ yes/UseDNS\ no/" /etc/ssh/sshd_config
echo -ne "ClientAliveInterval 60\nClientAliveCountMax 10" >> /etc/ssh/sshd_config
systemctl restart sshd
 
cat >> /etc/ssh/ssh_config <<'EOF'
Host *
   StrictHostKeyChecking no
   UserKnownHostsFile=/dev/null
EOF
 
# 阿里源
rm -f /etc/yum.repos.d/CentOS-Base.repo
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
# 阿里epel源
rm -f /etc/yum.repos.d/epel.repo
rm -f /etc/yum.repos.d/epel-testing.repo
curl -o /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
 
# 安装软件
yum clean all
yum update -y
yum install -y iptables-services vim wget net-tools iperf3 telnet lvm2 tree screen tmux rsync lrzsz zip unzip xz ntpdate zlib sysstat hdparm htop iotop iftop dstat nmap mtr mlocate bind-utils ipmitool pciutils parted acpid man bash-completion* lsof bc ncdu
 
systemctl start acpid && systemctl enable acpid
systemctl stop firewalld && systemctl disable firewalld
# iptables设置
iptables -F
service iptables save
systemctl enable iptables
 
chmod +x /etc/rc.d/rc.local
 
# custom
cat >> /etc/bashrc <<'EOF'
export PATH=/usr/local/bin:$PATH
export TERM=xterm-256color
export EDITOR=/usr/bin/vim
# man page
export LESS_TERMCAP_mb=$(printf '\e[01;31m')
export LESS_TERMCAP_md=$(printf '\e[01;35m')
export LESS_TERMCAP_me=$(printf '\e[0m')
export LESS_TERMCAP_se=$(printf '\e[0m')
export LESS_TERMCAP_so=$(printf '\e[1;31;46m')
export LESS_TERMCAP_ue=$(printf '\e[0m')
export LESS_TERMCAP_us=$(printf '\e[04;36m')
# history tune
shopt -s histappend
export HISTTIMEFORMAT="%F %T "
export HISTCONTROL=ignoredups:erasedups
export HISTSIZE=100000
export HISTFILESIZE=100000
export PROMPT_COMMAND="history -a"
# PS1
export PS1="\[\e[36m\]\u\[\e[m\]\[\e[37m\]@\[\033[01;32m\]\h\[\033[00m\]:\[\033[01;34m\]\W\[\033[00m\]\\$ "
EOF
# 抑制systemd session的log
echo 'if $programname == "systemd" and ($msg contains "Starting Session" or $msg contains "Started Session" or $msg contains "Created slice" or $msg contains "Starting user-" or $msg contains "Starting User Slice of" or $msg contains "Removed session" or $msg contains "Removed slice User Slice of" or $msg contains "Stopping User Slice of") then stop' > /etc/rsyslog.d/ignore-systemd-session-slice.conf
systemctl restart rsyslog.service
# vim 
cat >> /etc/vimrc <<'EOF'
set ts=4
set paste
set encoding=utf-8
set nocompatible
syntax on
EOF
 
# 禁用ipv6
cat >> /etc/sysctl.d/99-sysctl.conf <<'EOF'
# disable ipv6
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1
EOF
 
# 优化
cat >> /etc/sysctl.conf <<'EOF'
sunrpc.tcp_slot_table_entries = 128
net.core.rmem_default = 4194304
net.core.wmem_default = 4194304
net.core.rmem_max = 4194304
net.core.wmem_max = 4194304
net.ipv4.tcp_rmem = 4096 1048576 4194304
net.ipv4.tcp_wmem = 4096 1048576 4194304
net.ipv4.tcp_timestamps = 0
net.ipv4.tcp_syncookies = 1
net.core.netdev_max_backlog = 300000
vm.swappiness = 0
EOF
 
sysctl -p
 
# ulimit 相关
cat > /etc/security/limits.d/20-nproc.conf <<'EOF'
# Default limit for number of user's processes to prevent
# accidental fork bombs.
# See rhbz #432903 for reasoning.
 
# nproc
root       soft    nproc     unlimited
root       hard    nproc     unlimited
*          hard    nproc     65535
*          soft    nproc     65535
# nofile
*          soft    nofile     65535
*          hard    nofile     65535
EOF
 
# 修改systemd系统ulimit
cat >> /etc/systemd/system.conf <<'EOF'
DefaultLimitCORE=infinity
DefaultLimitNOFILE=100000
DefaultLimitNPROC=100000
EOF
 
# 修改systemd用户ulimit
cat >>  /etc/systemd/user.conf <<'EOF'
DefaultLimitCORE=infinity
DefaultLimitNOFILE=100000
DefaultLimitNPROC=100000
EOF

#关闭swap分区
swapoff -a

systemctl daemon-reload
```

按需对服务器改名：

```shell
Copy# 临时修改
hostnamectl set-hostname k8s-centos-node-01
# 需要重启
cat >> /etc/sysconfig/network <<'EOF'
hostname=k8s-centos-node-01
EOF
```

按需对服务器更新HOST(vim /etc/hosts)：

```shell
Copycat >> /etc/hosts <<'EOF'
192.168.83.137 k8s-centos-node-01
192.168.83.138 k8s-centos-node-02
EOF
```

| 主机名             | 服务器IP       | 角色   | 资源要求    |
| ------------------ | -------------- | ------ | ----------- |
| k8s-centos-node-01 | 192.168.83.137 | Master | 2cpu,4G内存 |
| k8s-centos-node-02 | 192.168.83.138 | Worker | 2cpu,4G内存 |

##### 统一K8S环境安装

所有服务器运行一下脚本进行安装Docker，K8S：

```shell
Copysystemctl stop firewalld
systemctl disable firewalld
# vi /etc/fstab
swapoff -a
sudo yum install -y yum-utils device-mapper-persistent-data lvm2
# sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
sudo yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
sudo yum makecache fast
sudo yum -y install docker-ce
sudo service docker start
systemctl enable docker
systemctl start docker
docker -v
sudo mkdir -p /etc/docker
sudo tee /etc/docker/daemon.json <<-'EOF'
{
  "registry-mirrors": ["https://n3jwp4vw.mirror.aliyuncs.com"]
}
EOF
sudo systemctl daemon-reload
sudo systemctl restart docker
cat>>/etc/yum.repos.d/kubrenetes.repo<<EOF
[kubernetes]
name=Kubernetes Repo
baseurl=https://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64/
gpgcheck=0
gpgkey=https://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg
EOF
yum install -y kubeadm kubelet kubectl
systemctl start docker.service
systemctl enable docker.service
```

##### 部署K8S Master节点

**首先：vim /etc/sysconfig/kubelet 加入KUBELET_EXTRA_ARGS="--fail-swap-on=false"**

对Master节点进行初始化：

```shell
Copykubeadm init --image-repository registry.aliyuncs.com/google_containers --pod-network-cidr=10.244.0.0/16 --ignore-preflight-errors=cri
```

初始化完成后需要配置环境变量执行：

```shell
Copymkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config

export KUBECONFIG=/etc/kubernetes/admin.conf
# 重启Docker 中所有容器
docker restart $(docker ps -a -q)
```

初始化完成后需要记录加入集群信息（下面命令是工作节点加入集群使用的）：

```shell
Copykubeadm join 192.168.83.137:6443 --token 1hgysy.4tzn3t9wm2uekcnc \
    --discovery-token-ca-cert-hash sha256:93fcf52fcb5151d55e8a9ab44c8d6061f2364c3e570e0fa986e4f4a84d159f84
```

运行成功后就可以查节点了

```shell
Copyroot@k8s-centos-node-01:~# kubectl get node
NAME                 STATUS     ROLES                  AGE     VERSION
k8s-centos-node-01   NotReady   control-plane,master   2m35s   v1.20.5
```

节点装未NotReady，需要安装网络组件，执行以下命令：

```shell
Copykubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml
```

再次查看节点信息未Ready状态

```shell
Copyroot@k8s-centos-node-01:~# kubectl get node
NAME                 STATUS   ROLES                  AGE     VERSION
k8s-centos-node-01   Ready    control-plane,master   5m17s   v1.20.5
```

到此为止Master节点即部署完成。

##### K8S集群增加工作节点

在工作节点机器中导入集群Master节点配置信息：

```shell
Copymkdir /root/.kube
cd /root/.kube
#然后新建一个文件config，将master节点中/root/.kube/config 文件下的内容复制到节点中config文件中。
```

加入工作节点：

```shell
Copykubeadm join 192.168.83.137:6443 --token ch7d4g.ck77q6p4uhtsmogn --discovery-token-ca-cert-hash sha256:93fcf52fcb5151d55e8a9ab44c8d6061f2364c3e570e0fa986e4f4a84d159f84  --ignore-preflight-errors=Swap
```

如果忘记之前主节点的token，再master上执行一下命令查看：

```shell
Copyroot@k8s-centos-node-01:~# kubeadm token list
TOKEN                     TTL         EXPIRES                     USAGES                   DESCRIPTION                                                EXTRA GROUPS
1hgysy.4tzn3t9wm2uekcnc   23h         2021-03-21T16:24:28+08:00   authentication,signing   The default bootstrap token generated by 'kubeadm init'.   system:bootstrappers:kubeadm:default-node-token
```

或者我们也可以在master节点新建token:

```shell
Copykubeadm create token
```

但是需要注意的是默认情况下，通过 kubeadm create token 创建的 token ，过期时间是24小时，这就是为什么过了一天无法再次使用之前记录的 kube join 原生脚本的原因，也可以运行 `kubeadm token create --ttl 0`生成一个永不过期的 token然后通过kubectl get node命令就可以看到Node的节点信息了。

```shell
Copyroot@k8s-centos-node-01:~# kubectl get nodes
NAME                 STATUS   ROLES                  AGE   VERSION
k8s-centos-node-01   Ready    control-plane,master   16m   v1.20.5
k8s-centos-node-02   Ready    <none>                 65s   v1.20.5
```

给从节点修改ROELS：

```shell
Copykubectl label node k8s-centos-node-02 node-role.kubernetes.io/worker=worker

root@k8s-centos-node-01:~# kubectl get nodes
NAME                 STATUS   ROLES                  AGE     VERSION
k8s-centos-node-01   Ready    control-plane,master   19m     v1.20.5
k8s-centos-node-02   Ready    worker                 4m25s   v1.20.5
```

到此为止K8S工作节点部署就完成了。

##### 部署K8S控制台

通过官方yaml进行部署：

```yaml
Copykubectl apply -f https://raw.githubusercontent.com/kubernetes/dashboard/v2.0.0/aio/deploy/recommended.yaml
```

查看pod：

```shell
Copyroot@k8s-centos-node-01:src# kubectl -n kubernetes-dashboard get pods
NAME                                         READY   STATUS    RESTARTS   AGE
dashboard-metrics-scraper-7b59f7d4df-d5xqx   1/1     Running   0          54s
kubernetes-dashboard-74d688b6bc-6jdvn        1/1     Running   0          54s
```

查看服务:

```shell
Copyroot@k8s-centos-node-01:src# kubectl -n kubernetes-dashboard get svc 
NAME                        TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
dashboard-metrics-scraper   ClusterIP   10.107.209.252   <none>        8000/TCP   84s
kubernetes-dashboard        ClusterIP   10.99.183.21     <none>        443/TCP    85s
```

这里作为演示，使用nodeport方式将dashboard服务暴露在集群外，指定使用30443端口，可自定义：

```shell
Copykubectl  patch svc kubernetes-dashboard -n kubernetes-dashboard \
-p '{"spec":{"type":"NodePort","ports":[{"port":443,"targetPort":8443,"nodePort":30443}]}}'
```

通过nodeip进行访问:https://192.168.83.138:30443/#/login

Dashboard 支持 Kubeconfig 和 Token 两种认证方式，我们这里选择Token认证方式登录。:

```yaml
Copy#创建部署文件
touch dashboard-adminuser.yaml

cat > dashboard-adminuser.yaml << EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: admin-user
  namespace: kubernetes-dashboard

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: admin-user
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: admin-user
  namespace: kubernetes-dashboard  
EOF

#创建登陆用户
kubectl apply -f dashboard-adminuser.yaml
```

查看账号token:

```shell
Copyroot@k8s-centos-node-01:src# kubectl -n kubernetes-dashboard describe secret $(kubectl -n kubernetes-dashboard get secret | grep admin-user | awk '{print $1}')
Name:         admin-user-token-x8n9p
Namespace:    kubernetes-dashboard
Labels:       <none>
Annotations:  kubernetes.io/service-account.name: admin-user
              kubernetes.io/service-account.uid: 034a32c2-dcc2-48a3-b11a-ab9af557d312

Type:  kubernetes.io/service-account-token

Data
====
ca.crt:     1066 bytes
namespace:  20 bytes
token:      eyJhbGciOiJSUzI1NiIsImtpZCI6InNKTVRfcUFES1M2Mzh4YW9zSVEyaXFidDJoUTJGRnN0RDVmOXRpZDV4cUUifQ.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.Hx-zaeX2VyWR0fz-XRiyBMycm0MeYw2EBkUiWdfi46SbGKr_MqB0oMP3n1uxFA1yVShXrdG4-ukH3cPytXxeDr-0Smyg2b9H3zC1Ikv_pY8ULtzwJRSpdjApKj3W_2eLCIXzW47TBIzr1IbSQu9Vz-UOLxhsOOsKnfIahRpVJRLm2GsHrpufumRZkcYG-7PdIVctrTMR0UK-VRHF-zQiwuq-R6wWlviJI3pxWnZsjQuqNn5bFMtrjYc0idKQfrS3JdhQ8Yu6h2JzY4q5qFLL-7b96JYnTiuUfDuC0c1--u9lCXyb0d2Vgz72k2eTbh79DiR3BApyuqy2OSuSJT05OQ
```

在Web Ui中输入上面的token即可完成登陆。

![image-20210320171454444](http://pic.nexopera.tech/o_210320092710image-20210320171454444.png)

![image-20210320171506871](http://pic.nexopera.tech/o_210320092716image-20210320171506871.png)

K8s集群环境搭建过程

## 准备工作

192.168.16.128

192.168.16.129

两台虚拟机。安装好Nginx

## 安装Nginx

更新yum源文件：

```
rpm -ivh http://nginx.org/packages/centos/7/noarch/RPMS/nginx-release-centos-7-0.el7.ngx.noarch.rpm
wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
```

安装Nginx:

```
yum -y install  nginx
```

操作命令：

```
systemctl start nginx; #启动Nginx
systemctl stop nginx; #停止Nginx
```

## 什么是高可用？

高可用HA（High Availability）是分布式系统架构设计中必须考虑的因素之一，它通常是指，通过设计减少系统不能提供服务的时间。如果一个系统能够一直提供服务，那么这个可用性则是百分之百，但是天有不测风云。所以我们只能尽可能的去减少服务的故障。

## 解决的问题？

在生产环境上很多时候是以Nginx做反向代理对外提供服务，但是一天Nginx难免遇见故障，如：服务器宕机。当Nginx宕机那么所有对外提供的接口都将导致无法访问。

虽然我们无法保证服务器百分之百可用，但是也得想办法避免这种悲剧，今天我们使用keepalived来实现Nginx的高可用。

## 双机热备方案

这种方案是国内企业中最为普遍的一种高可用方案，双机热备其实就是指一台服务器在提供服务，另一台为某服务的备用状态，当一台服务器不可用另外一台就会顶替上去。

### keepalived是什么？

Keepalived软件起初是专为LVS负载均衡软件设计的，用来管理并监控LVS集群系统中各个服务节点的状态，后来又加入了可以实现高可用的VRRP (Virtual Router Redundancy Protocol ,虚拟路由器冗余协议）功能。因此，Keepalived除了能够管理LVS软件外，还可以作为其他服务（例如：Nginx、Haproxy、MySQL等）的高可用解决方案软件

![wdawdadawdqdwda](http://pic.nexopera.tech/wdawdadawdqdwda.png)

### 故障转移机制

Keepalived高可用服务之间的故障切换转移，是通过VRRP 来实现的。在 Keepalived服务正常工作时，主 Master节点会不断地向备节点发送（多播的方式）心跳消息，用以告诉备Backup节点自己还活着，当主 Master节点发生故障时，就无法发送心跳消息，备节点也就因此无法继续检测到来自主 Master节点的心跳了，于是调用自身的接管程序，接管主Master节点的 IP资源及服务。而当主 Master节点恢复时，备Backup节点又会释放主节点故障时自身接管的IP资源及服务，恢复到原来的备用角色。

## 实现过程

### 安装keepalived

yum方式直接安装即可，该方式会自动安装依赖：

```
yum -y install keepalived
```

修改主机（192.168.16.128）keepalived配置文件

yum方式安装的会生产配置文件在/etc/keepalived下：

keepalived.conf:

```
#检测脚本
vrrp_script chk_http_port {
    script "/usr/local/src/check_nginx_pid.sh" #心跳执行的脚本，检测nginx是否启动
    interval 2                          #（检测脚本执行的间隔，单位是秒）
    weight 2                            #权重
}
#vrrp 实例定义部分
vrrp_instance VI_1 {
    state MASTER            # 指定keepalived的角色，MASTER为主，BACKUP为备
    interface ens33         # 当前进行vrrp通讯的网络接口卡(当前centos的网卡) 用ifconfig查看你具体的网卡
    virtual_router_id 66    # 虚拟路由编号，主从要一直
    priority 100            # 优先级，数值越大，获取处理请求的优先级越高
    advert_int 1            # 检查间隔，默认为1s(vrrp组播周期秒数)
    #授权访问
    authentication {
        auth_type PASS #设置验证类型和密码，MASTER和BACKUP必须使用相同的密码才能正常通信
        auth_pass 1111
    }
    track_script {
        chk_http_port            #（调用检测脚本）
    }
    virtual_ipaddress {
        192.168.16.130            # 定义虚拟ip(VIP)，可多设，每行一个
    }
}
```

virtual_ipaddress 里面可以配置vip,在线上通过vip来访问服务。

interface需要根据服务器网卡进行设置通常查看方式ip addr

authentication配置授权访问后备机也需要相同配置

修改备机（192.168.16.129）keepalived配置文件

keepalived.conf:

```
#检测脚本
vrrp_script chk_http_port {
    script "/usr/local/src/check_nginx_pid.sh" #心跳执行的脚本，检测nginx是否启动
    interval 2                          #（检测脚本执行的间隔）
    weight 2                            #权重
}
#vrrp 实例定义部分
vrrp_instance VI_1 {
    state BACKUP                        # 指定keepalived的角色，MASTER为主，BACKUP为备
    interface ens33                      # 当前进行vrrp通讯的网络接口卡(当前centos的网卡) 用ifconfig查看你具体的网卡
    virtual_router_id 66                # 虚拟路由编号，主从要一直
    priority 99                         # 优先级，数值越大，获取处理请求的优先级越高
    advert_int 1                        # 检查间隔，默认为1s(vrrp组播周期秒数)
    #授权访问
    authentication {
        auth_type PASS #设置验证类型和密码，MASTER和BACKUP必须使用相同的密码才能正常通信
        auth_pass 1111
    }
    track_script {
        chk_http_port                   #（调用检测脚本）
    }
    virtual_ipaddress {
        192.168.16.130                   # 定义虚拟ip(VIP)，可多设，每行一个
    }
}
```

检测脚本：

```
#!/bin/bash
#检测nginx是否启动了
A=`ps -C nginx --no-header |wc -l`        
if [ $A -eq 0 ];then    #如果nginx没有启动就启动nginx                        
      systemctl start nginx                #重启nginx
      if [ `ps -C nginx --no-header |wc -l` -eq 0 ];then    #nginx重启失败，则停掉keepalived服务，进行VIP转移
              killall keepalived                    
      fi
fi
```

脚本授权:chmod 775 check_nginx_pid.sh

说明：脚本必须通过授权，不然没权限访问啊，在这里我们两条服务器执行、VIP(virtual_ipaddress:192.168.16.130),我们在生产环境是直接通过vip来访问服务。

模拟nginx故障：

修改两个服务器默认访问的Nginx的html页面作为区别。

首先访问192.168.16.130,通过vip进行访问，页面显示192.168.16.128；说明当前是主服务器提供的服务。

这个时候192.168.16.128主服务器执行命令：

```
systemctl stop nginx; #停止nginx
```

再次访问vip(192.168.16.130)发现这个时候页面显示的还是：192.168.16.128，这是脚本里面自动重启。

现在直接将192.168.16.128服务器关闭，在此访问vip(192.168.16.130)现在发现页面显示192.168.16.129这个时候keepalived就自动故障转移了，一套企业级生产环境的高可用方案就搭建好了。

Nginx高可用方案

### Linux 磁盘分区和挂载

#### linux 分区

**原理介绍**

- 1.Linux 来说 wulun 有几个分区，分给哪一目录使用，他归根结底只有一个根目录，一个独立且唯一的文件结构，Linux 中每个分区都是用来组成整个文件系统的一部分。
- 2.Linux 采用了一种叫 "载入" 的处理方法，它的整个文件系统中包含了一整套的文件和目录，且将一个分区和一个目录联系起来，这是要载入的一个分区将使它的存储空间在一个，目录下获得。

分区和文件关系示意图：

![image-20230309084156756](http://pic.nexopera.tech/image-20230309084156756.png)

**硬盘说明**

- 1.Linux 硬盘分 IDE 硬盘和 SCSI 硬盘，目前基本上是 SCSI 硬盘
- 2.对于**IDE 硬盘**，驱动器标识符为 "hdx~"，其中 "hd" 表明分区所在设备的类型，这里是指 IDE 硬盘了。"x" 为盘号 (a 为基本盘，b 为基本从属盘，c 为辅助主盘，d 为辅助从属盘)，"~" 代表分区，前四个分区用数字 1 到 4 表示，它们是主分区或扩展分区，从 5 开始就是逻辑分区。例，hda3 表示为第一个 IDE 硬盘上的第三个主分区或扩展分区，hdb2 表示为第二个 IDE 硬盘上的第二个主分区或扩展分区。
- 3.对于**SCSI 硬盘**则标识为 "sdx~"，SCSI 硬盘是用 "sd" 来表示分区所在设备的类型的，其余则和 IDE 硬盘的表示方法一样（x 可以为 abcd 分别对应第 1、2、3、4 块硬盘）。

#### 查看所有设备挂载情况

> 指令：**lsblk 或者 lsblk -f**

```
[root@kongchao03 ~]# lsblk
NAME   MAJ:MIN RM   SIZE RO TYPE MOUNTPOINT
sda      8:0    0    20G  0 disk 
├─sda1   8:1    0  1023M  0 part /boot
├─sda2   8:2    0    17G  0 part /
└─sda3   8:3    0     2G  0 part [SWAP]
sr0     11:0    1 729.9M  0 rom  /run/media/root/20210907_143734
[root@kongchao03 ~]#
```

![image-20230309084214451](http://pic.nexopera.tech/image-20230309084214451.png)

![image-20230309084222849](http://pic.nexopera.tech/image-20230309084222849.png)

> 这里 sda1、2、3 分别代表第一块硬盘的第一分区第二分区...

#### 挂载案例

### 步骤 1：新建一块硬盘

在虚拟机菜单中，设置增加一块硬盘，完成后**重启**可以生效识别

![image-20230309084229352](http://pic.nexopera.tech/image-20230309084229352.png)

使用 lsblk 命令查看

![image-20230309084234269](http://pic.nexopera.tech/image-20230309084234269.png)

### 操作步骤 2： 虚拟机硬盘分区

> 分区指令：**fdisk  /dev/sdb**

开始对 sdb 分区

- m 显示命令列表
- p 显示磁盘分区同 fdisk -l
- n 新增分区
- d 删除分区
- w 写入并退出

> 说明：开始分区后输入 n，新增分区，然后选择 p，分区类型为主分区。两次回车默认剩余全部空间，最后输入 w 写入分区并退出，若不保存退出输入 q

```
[root@kongchao03 ~]# fdisk /dev/sdb
欢迎使用 fdisk (util-linux 2.23.2)。
 
> 更改将停留在内存中，直到您决定将更改写入磁盘。使用写入命令前请三思。
 
> Device does not contain a recognized partition table
>> 使用磁盘标识符 0xdf03b737 创建新的 DOS 磁盘标签。
 
命令(输入 m 获取帮助)：m            
命令操作
   a   toggle a bootable flag
   b   edit bsd disklabel
   c   toggle the dos compatibility flag
   d   delete a partition
   g   create a new empty GPT partition table
   G   create an IRIX (SGI) partition table
   l   list known partition types
   m   print this menu
   n   add a new partition
   o   create a new empty DOS partition table
   p   print the partition table
   q   quit without saving changes
   s   create a new empty Sun disklabel
   t   change a partition's system id
   u   change display/entry units
   v   verify the partition table
   w   write table to disk and exit
   x   extra functionality (experts only)
命令(输入 m 获取帮助)：n
Partition type:
   p   primary (0 primary, 0 extended, 4 free)
   e   extended
Select (default p): p
分区号 (1-4，默认 1)：1
起始 扇区 (2048-2097151，默认为 2048)：
将使用默认值 2048
Last 扇区, +扇区 or +size{K,M,G} (2048-2097151，默认为 2097151)：
将使用默认值 2097151
分区 1 已设置为 Linux 类型，大小设为 1023 MiB
命令(输入 m 获取帮助)：w
The partition table has been altered!
Calling ioctl() to re-read partition table.
正在同步磁盘。
[root@kongchao03 ~]#
```

![image-20230309084241700](http://pic.nexopera.tech/image-20230309084241700.png)

### 步骤 3：虚拟机硬盘分区格式化

格式化磁盘，格式化之后才会分配 UUID

> 格式化指令：**mkfs -t ext4   /dev/sdb1**

其中 ext4 是分区类型

```
mkfs -t ext4 /dev/sdb1
lsblk -f
```

![image-20230309084249672](http://pic.nexopera.tech/image-20230309084249672.png)

### 步骤 4：将磁盘挂载到根目录下 newdisk 目录下

> 也可以到其他目录下挂载：将一个分区与一个目录联系起来，

#### mount 挂载

> 挂载语法：**mount  设备名称  挂载目录** （挂载目录是任意的）

```
[root@kongchao03 ~]# cd /
[root@kongchao03 /]# mkdir newdisk
[root@kongchao03 /]# mount /dev/sdb1 /newdisk
[root@kongchao03 /]# lsblk -f
```

![image-20230309084258715](http://pic.nexopera.tech/image-20230309084258715.png)

> cd 进入挂载点，在其中创建文件，实则是在分区上新建了一个文件

> linux 根下的存放只是目录，真正存放数据还是在硬盘中的分区

#### umount 取消挂载

**语法:umount 挂载点或 umount 设备名**

```
umount /dev/sdb1
 
lsblk -f
```

![image-20230309084304996](http://pic.nexopera.tech/image-20230309084304996.png)

**用命令行挂载（mount /dev...），重启后会失效, 即重启后挂载点消失**

### 步骤 5：实现永久挂载（即重启不消失）

永久挂载的本质是自动挂载上

> 永久挂载：通过修改/etc/fstab 实现挂载

> 添加完成后执行**mount -a 或 reboot** 即可生效

```
[root@kongchao03 /]# vim /etc/fstab 
[root@kongchao03 /]# mount -a
```

![image-20230309084311992](http://pic.nexopera.tech/image-20230309084311992.png)

#### df -h 查询磁盘使用情况

```
[root@kongchao03 ~]# df -h
文件系统        容量  已用  可用 已用% 挂载点
/dev/sda2        17G  5.8G   11G   37% /
devtmpfs        978M     0  978M    0% /dev
tmpfs           993M     0  993M    0% /dev/shm
tmpfs           993M  9.0M  984M    1% /run
tmpfs           993M     0  993M    0% /sys/fs/cgroup
/dev/sdb1       991M  2.6M  922M    1% /newdisk
/dev/sda1       991M  128M  797M   14% /boot
tmpfs           199M   20K  199M    1% /run/user/0
/dev/sr0        730M  730M     0  100% /run/media/root/20210907_143734
[root@kongchao03 ~]#
```

![image-20230309084319875](http://pic.nexopera.tech/image-20230309084319875.png)

**du -h 查询指定目录磁盘占用情况**

> 指令：du [参数]  / 目录 (查询指定目录的磁盘占用情况，默认为当前目录)

参数选项：

| 参数          | 含义                       |
| ------------- | -------------------------- |
| -s            | 指定目录占用大小汇总       |
| -h            | 带计量单位                 |
| -a            | 含文件                     |
| --max-depth=1 | 子目录的深度               |
| -c            | 列出明细的同时，增加汇总值 |

> 参数可以联合使用示例：查询 / opt 目录的磁盘占用情况，深度为 1

```
[root@kongchao03 /]# cd /opt
[root@kongchao03 opt]# ls
rh
[root@kongchao03 opt]# du -h --max-depth=1 /opt
4.0K /opt/rh
8.0K /opt
[root@kongchao03 opt]#
```

![image-20230309084325592](http://pic.nexopera.tech/image-20230309084325592.png)

**参数联合起来使用:**

```
[root@kongchao03 opt]# du -hac --max-depth=1 /opt
4.0K /opt/rh
8.0K /opt
8.0K 总用量
```

![image-20230309084331271](http://pic.nexopera.tech/image-20230309084331271.png)

Linux磁盘分区和挂载


### 用户身份与能力

Linux系统中，用户身份有如下：
管理员 UID 为 0：系统的管理员用户。
系统用户 UID 为 1～999： Linux 系统为了避免因某个服务程序出现漏洞而被黑客提权至整台服务器，默认服务程序会有独立的系统用户负责运行，进而有效控制被破坏范围。
普通用户 UID 从 1000 开始：是由管理员创建的用于日常工作的用户。  

需要注意的是， UID 是不能冲突的，而且管理员创建的普通用户的 UID **默认是从 1000**开始的（即使前面有闲置的号码）。  为了方便管理属于同一组的用户， Linux 系统中还引入了用户组的概念。通过使用用
户组号码（ GID， Group IDentification），我们可以把多个用户加入到同一个组中，从而方便为组中的用户统一规划权限或指定任务。另外，在 Linux 系统中创建每个用户时，将自动创建一个与其同名的**基本用户组**，而且这个基本用户组**只有该用户一个人**。如果该用户以后被归纳入其他用户组，则这个**其他用户组称之为扩展用户组**。**一个用户只有一个基本用户组，但是可以有多个扩展用户组**，从而满足日常的工作需要。  

#### useradd命令

useradd 命令用于创建新的用户，格式为“useradd [选项] 用户名”。  

| 参数 | 作用                                     |
| ---- | ---------------------------------------- |
| -d   | 指定用户的家目录（默认为/home/username） |
| -e   | 账户的到期时间，格式为 YYYY-MM-DD.       |
| -u   | 指定该用户的默认 UID                     |
| -g   | 指定一个初始的用户基本组（必须已存在）   |
| -G   | 指定一个或多个扩展用户组                 |
| -N   | 不创建与用户同名的基本用户组             |
| -s   | 指定该用户的默认 Shell 解释器            |

默认存放至/home目录，默认Shell解释器为/bin/bash，默认创建一个同名的基本用户组。

```
[root@linuxprobe ~]# useradd -d /home/linux -u 8888 -s /sbin/nologin linuxprobe
[root@linuxprobe ~]# id linuxprobe
uid=8888(linuxprobe) gid=8888(linuxprobe) groups=8888(linuxprobe)  
```

上述示例代码，解释器为/sbin/nologin，该解释器是终端解释器的一员，一旦用户的解释器被设置为nologin，则代表该用户不能登录到系统中。

#### groupadd命令

groupadd 命令用于创建用户组，格式为“groupadd [选项] 群组名”。  

```
[root@linuxprobe ~]# groupadd ronny     #ronny为群组名
```

#### usemod命令

usermod 命令用于修改用户的属性，格式为“usermod [选项] 用户名”。  

| 参数  | 作用                                                         |
| ----- | ------------------------------------------------------------ |
| -c    | 填写用户账户的备注信息                                       |
| -d -m | 参数-m 与参数-d 连用，可重新指定用户的家目录并自动把旧的数据转移过去 |
| -e    | 账户的到期时间，格式为 YYYY-MM-DD                            |
| -g    | 变更所属用户组                                               |
| -G    | 变更扩展用户组                                               |
| -L    | 锁定用户禁止其登录系统                                       |
| -U    | 解锁用户，允许其登录系统                                     |
| -s    | 变更默认终端                                                 |
| -u    | 修改用户的 UID                                               |

可通过如下命令，查看用户属性。

```
[root@linuxprobe ~]# id linuxprobe
uid=1000(linuxprobe) gid=1000(linuxprobe) groups=1000(linuxprobe)  
```

注：用户的信息保存在/etc/passwd 文件中，除上述方法外，还可以直接用文本编辑器来修改其中的用户参数项目  。 

#### passwd命令  

passwd 命令用于修改用户密码、过期时间、认证信息等，格式为“passwd [选项] [用户名]”。  

| 参数    | 作用                                                         |
| ------- | ------------------------------------------------------------ |
| -l      | 锁定用户，禁止其登录                                         |
| -u      | 解除锁定，允许用户登录                                       |
| --stdin | 允许通过标准输入修改用户密码， 如echo "NewPassWord" l passwd --stdin Username |
| -d      | 使该用户可用空密码登录系统                                   |
| -e      | 强制用户在下次登录时修改密码                                 |
| -S      | 显示用户的密码是否被锁定，以及密码所采用的加密算法名称       |

注：普通用户只能使用 passwd 命令修改自身的系统密码， 而 root 管理员则有权限修改其他所有人的密码。  

#### userdel命令  

userdel 命令用于删除用户，格式为“userdel [选项] 用户名”。  

| 参数 | 作用                     |
| ---- | ------------------------ |
| -f   | 强制删除用户             |
| -r   | 同时删除用户及用户家目录 |

### 文件权限与归属

Linux 系统使用了不同的字符来加以区分文件的类型  ，常见的字符如下所示。
-：普通文件
d：目录文件
l：链接文件
b：块设备文件
c：字符设备文件
p：管道文件

文件的读、写、执行权限可以简写为 rwx，亦可分别用数字 4、 2、 1 来表示，文件所有者，所属组及其他用户权限之间无关联。

某个文件的权限为 7 则代表可读、可写、可执行（ 4+2+1）；权限为 6 则代表可读、可写（ 4+2）

现在有这样一个文件，其所有者拥有可读、可写、可执行的权限，其文件所属组拥有可读、可写的权限；而且其他人只有可读的权限。那么，这个文件的权限就是 rwxrw-r--，数字法表示即为 764。

上述权限rwxrw-r--分解为三个部分，rwx为所有者权限可读、可写、可执行；rw-为文件所属组拥有可读、可写的权限；r--为其他人只有可读的权限。

注：查看文件属性信息：ls -l install.log

```
[root@linuxprobe ~]# ls -l install.log
-rw-r--r-- 1 root root 34298 04-02 00:23 install.log
#“ - ”代表文件类型；“rw-r--r--”代表访问权限；“1”代表链接数；第一个“root”为所有者，第二个为所属组；“34298”为磁盘占用34298字节；“04-02 00:23”为最近一次修改时间；“install.log”为文件名。

```

### 文件的特殊权限

SUID、 SGID 与 SBIT 为特殊权限位。这是一种对文件权限进行设置的特殊功能，可以与一般权限同时使用，以弥补一般权限不能实现的功能。  

如果rwx(读 写 执行)第三位有x权限，则rwx(读 写 执行)中的x变为s或者t（SUID,SGID,是s,SBIT是t）
如果rwx(读 写 执行)第三位没有x权限，则rwx(读 写 执行)中的x变为S或者T (SUID,SGID是S，SBIT是T)
SUID：u+s
SGID：g+s
SBIT：o+t

#### SUID

SUID 是一种对二进制程序进行设置的特殊权限， 可以让二进制程序的执行者**临时拥有属主**的权限（仅对拥有执行权限的二进制程序有效）。

问：passwd文件的属组是root,表示只有root用户可以访问的文件，为什么普通用户依然可以使用该命令更改自己的密码？
答：当普通用户[omd]使用``passwd``命令的时候，系统看到``passwd``命令文件的属性有大写s后，表示这个命令的属主权限被omd用户获得,也就是omd用户获得文件``/etc/shadow``的root的rwx权限

#### SGID 

SGID主要实现如下两种功能：
让执行者临时拥有属组的权限（对拥有执行权限的二进制程序进行设置）；
在某个目录中创建的文件自动继承该目录的用户组（只可以对目录进行设置）。  

#### SBIT  

SBIT（ Sticky Bit）特殊权限位（也可以称之为特殊权限位之粘滞位）。 SBIT 特殊权限位可确保用户只能删除自己的文件，而不能删除其他用户的文件。 

#### 总结

用户如何添加特殊权限：

setuid(suid)： 针对命令和二进制程序的：

```
chmod u+s h.txt   -->添加suid
chmod 4777 h.txt  -->添加suid      #4表示s位
chmod u-s h.txt   -->取消suid
```

setgid(sgid)：希望一个目录被多个用户(同属于一个组)共享，同一个组的用户可以处理：

```
chmod g+s /home/omd/h  -->添加sgid
chmod 2755 /home/omd/h  -->添加sgid   #4表示s位
chmod g-s /home/omd/h   -->取消sgid
```

粘滞位(t)：作用把一个文件夹的权限都打开，然后共享文件：

```
chmod o+s h.txt       --> 添加粘滞位
chmod o-s h.txt        --> 取消粘滞位   
chmod 1777 /home/omd  –>添加粘滞位      #1表示t位
```

### 文件的隐藏属性

#### chattr命令

chattr 命令用于设置文件的隐藏权限，格式为“chattr [参数] 文件”。

如果想要把某个隐藏功能添加到文件上，则需要在命令后面追加“+参数”，如果想要把某个隐藏功能移出文件，则需要追加“-参数”。

| 参数 | 作用                                                         |
| ---- | ------------------------------------------------------------ |
| i    | 无法对文件进行修改；若对目录设置了该参数，则仅能修改其中的子文件内容而 不能新建或删除文件 |
| a    | 仅允许补充（追加）内容，无法覆盖/删除内容（ Append Only）    |
| S    | 文件内容在变更后立即同步到硬盘（ sync）                      |
| s    | 彻底从硬盘中删除，不可恢复（用 0 填充原文件所在硬盘区域）    |
| A    | 不再修改这个文件或目录的最后访问时间（ atime）               |
| b    | 不再修改文件或目录的存取时间                                 |
| D    | 检查压缩文件中的错误                                         |
| d    | 使用 dump 命令备份时忽略本文件/目录                          |
| c    | 默认将文件或目录进行压缩                                     |
| u    | 当删除该文件后依然保留其在硬盘中的数据，方便日后恢复         |
| t    | 让文件系统支持尾部合并（ tail-merging）                      |
| X    | 可以直接访问压缩文件中的内容                                 |

例：`chattr +a linuxprobe`  

#### lsattr命令

lsattr 命令用于显示文件的隐藏权限，格式为“lsattr [参数] 文件”。  

### 文件访问控制列表（ACL）

基于普通文件或目录设置 ACL 其实就是针对指定的用户或用户组设置文件或目录的操作权限。如果针对某个目录设置了 ACL，则目录中的文件会继承其 ACL；**若针对文件设置了 ACL，则文件不再继承其所在目录的 ACL。**  

#### setfacl 命令  

setfacl 命令用于管理文件的 ACL 规则，格式为“setfacl [参数] 文件名称”。  

文件的 ACL提供的是在所有者、所属组、其他人的读/写/执行权限之外的特殊权限控制，使用 setfacl 命令
可以针对单一用户或用户组、单一文件或目录来进行读/写/执行权限的控制。其中，针**对目录文件需要使用-R 递归参数；针对普通文件则使用-m 参数；如果想要删除某个文件的 ACL，则可以使用-b 参数。**  

如何查看有否设置ACL？

常用的 ls 命令是看不到 ACL 表信息的，但是却可以看到文件的权限最后一个点（ .）变成了加号（ +） ,这就意味着该文件已经设置了 ACL 了。

例：`setfacl -Rm u:linuxprobe:rwx /root`

#### getfacl 命令  

getfacl 命令用于显示文件上设置的 ACL 信息，格式为“getfacl 文件名称”。  

### su命令与sudo服务

su 命令与用户名之间有一个减号（ -），这意味着完全切换到新的用户，即把环境变量信息也变更为新用户的相应信息。

例：

```
[root@linuxprobe ~]# su - linuxprobe
Last login: Mon Aug 24 19:27:09 CST 2017 on pts/0  
```

sudo 命令用于给普通用户提供额外的权限来完成原本 root 管理员才能完成的任务，格式为“sudo [参数] 命令名称”。   

| 参数               | 作用                                                     |
| ------------------ | -------------------------------------------------------- |
| -h                 | 列出帮助信息                                             |
| -l                 | 列出当前用户可执行的命令                                 |
| -u 用户名或 UID 值 | 以指定的用户身份执行命令                                 |
| -k                 | 清空密码的有效时间，下次执行 sudo 时需要再次进行密码验证 |
| -b                 | 在后台执行指定的命令                                     |
| -p                 | 更改询问密码的提示语                                     |

sudo 命令具有如下功能：

- 限制用户执行指定的命令：
- 记录用户执行的每一条命令；
- 配置文件（ /etc/sudoers）提供集中的用户管理、权限与主机等参数；
- 验证密码的后 5 分钟内（默认值）无须再让用户再次验证密码。  

当然，如果担心直接修改配置文件会出现问题，则可以使用 sudo 命令提供的 visudo 命令（仅rott用户才可使用）来配置用户权限。这条命令在配置用户权限时将禁止多个用户同时修改 sudoers 配置文件，还可以对配置文件内的参数进行语法检查，并在发现参数错误时进行报错。  

在 sudo 命令的配置文件中，按照下面的格式将第 99 行（大约）填写上指定的信息：

格式：谁可以使用 允许使用的主机=（以谁的身份） 可执行命令的列表  

```
[root@linuxprobe ~]# visudo
96 ##
97 ## Allow root to run any commands anywhere
98 root ALL=(ALL) ALL
99 linuxprobe ALL=(ALL) ALL  
```

在填写完毕后记得要先保存再退出， 然后切换至指定的普通用户身份， 此时就可以用 sudo-l 命令查看到所有可执行的命令了（下面的命令中，验证的是该普通用户的密码，而不是 root管理员的密码），此时linuxprobe用户即可通过sudo 命令执行所有命令。

注：是每次执行 sudo 命令都要输入一次密码其实也挺麻烦的，这时可以添加 NOPASSWD 参数，使得用户执行 sudo 命令时不再需要密码验证：  

例：

```
[linuxprobe@linuxprobe ~]$ exit
logout
[root@linuxprobe ~]# whereis poweroff
poweroff: /usr/sbin/poweroff /usr/share/man/man8/poweroff.8.gz
[root@linuxprobe ~]# visudo
………………省略部分文件内容………………
96 ##
97 ## Allow root to run any commands anywhere
98 root ALL=(ALL) ALL
99 linuxprobe ALL=NOPASSWD: /usr/sbin/poweroff
………………省略部分文件内容………………  
```




用户身份与文件权限

Linux 命令总结

Nexopera是一个专注于Linux、网络和运维等领域的博客网站。将为读者提供广泛的相关文章，涵盖操作系统、服务器管理、网络配置、安全性等多个主题。如果你是初学者，希望这里有适合你的内容。

资源准备以及服务器初始化

准备工作

Linux 磁盘分区和挂载

linux 分区

用户身份与能力

Linux 基础

操作系统