Guia v5/Gestión de usuarios

De Guadapedia, la enciclopedia libre.

Tabla de contenidos

Gestión de usuarios

Para entrar en el escritorio utilizamos nuestro identificador de usuario y contraseña, como ya hemos comentado. Si somos los únicos utilizando el ordenador es suficiente, pero si lo compartimos con otras personas, es casi obligado tener un usuario diferente para cada una de ellas. Incluso si tenemos visitas esporádicas es bueno prepararles un usuario tipo "invitado". Esta decisión irá en beneficio de todos.

Veamos por qué.


Un tema de permisos

Cada usuario tiene poderes plenos en su carpeta personal y, la verdad, pocos poderes decisivos más allá de ella. El primer usuario de un sistema tiene importantes privilegios, pero el resto de usuarios sólo tendrán los permisos que éste decida conceder, a menos que delegue poderes.

Vamos a ver un ejemplo práctico de nuestro poder en el escritorio propio:

  1. Creamos en nuestro escritorio una carpeta con un nombre cualquiera.
  2. La seleccionamos con la tecla izquierda del ratón.
  3. Le damos a la tecla Supr del teclado.
  4. La carpeta desaparece.

De hecho no ha desaparecido del todo, está en la Papelera. Pero la podemos borrar definitivamente, sin remedio. También podemos cargarnos elementos y datos de nuestra carpeta personal, editando textos o gráficos, limpiando el buzón de correo, reubicando ciertas carpetas sin ton ni son... La buena noticia es que aunque nosotros pagemos el pato, nada de esto afecta al funcionamiento del sistema en sí. Es decir, el sistema nos deja hacer lo que queramos en nuestra parcela, fuera de sus zonas sensibles.

Vaya, no podemos borrar a la primera...
Enlarge
Vaya, no podemos borrar a la primera...
... ni a la segunda ni de ninguna manera
Enlarge
... ni a la segunda ni de ninguna manera

En cambio:

  1. Vamos al menú de Lugares del panel superior.
  2. Seleccionamos Carpeta personal. Se abre el Administrador de archivos y nos muestra los elementos que, como hemos dicho, podemos manipular y borrar.
  3. Pero vayamos a otro sitio. Clicamos a Subir en la barra principal, llegando a la carpeta Home. Veremos nuestra carpeta personal identificada con nuestro usuario y las carpetas de otros usuarios si los hay.
  4. Subimos otro piso más clicando Subir, llegando a la raiz del árbol. Vemos muchas carpetas con nombres extraños.
  5. Seleccionamos la carpeta lib, que contiene buena parte de la materia gris requerida por el sistema para funcionar. Vamos a darle a la tecla Supr del teclado, aun sabiendo que borrar esa carpeta implica matar el sistema.

Pues bien, no pasa nada. Primero nos aparece una pantalla avisando de que no puede enviar la carpeta a la papelera y preguntando si queremos borrarla inmediatamente. Clicamos a Borrar, y aparece una segunda pantalla avisando que no podemos borrar tal fichero. Por más que lo intentemos de allí no pasaremos, y nuestro sistema seguirá intacto.

Si hay varios usuarios en un sistema, cada uno podrá manipular a voluntad su propia carpeta personal pero no podrá tocar ni las carpetas que tenga por encima ni las de los otros usuarios. De hecho, el administrador del sistema puede limitar incluso el acceso -la visión- de otras carpetas que no sean la propia personal, garantizando así la privacidad de cada usuario.

Este comportamiento es el habitual en sistemas GNU/Linux y evita ante todo que los usuarios toquen lo que no deben. Hasta hace relativamente poco los usuarios de MS Windows podían acceder, modificar y borrar casi cualquier archivo y carpeta de su ordenador. Nunca sabremos qué porcentaje de los que se quejaban de que tal o cual cosa no funcionaba en su Windows eran de hecho corresponsables del fallo, por haber tocado inconsciente o deliberadamente archivos que debieron estar protegidos de los usuarios corrientes.

Quién y cómo obtiene los máximos permisos

Pero alguien tiene que hacer el trabajo sucio: las tareas de administración del sistema que la mayoria de las veces requieren modificaciones directas o indirectas de archivos ubicados fuera de cualquier carpeta personal, cerca de la raiz. Tradicionalmente este trabajo era desempeñado por el usuario root (raiz, en español). Pero nuestro sistema no tiene operativo ningún usuario root, aunque sí permite a los usuarios con permisos el poder realizar tareas propias de root de forma temporal.

En la jerga se habla de hacer sudo (del inglés su, superuser y do, hacer), ya que en la línea de comandos la instrucción que nos permite desarrollar estas tareas especiales es sudo. Pero por suerte GNOME nos permite realizar dichas tareas sobre el propio escritorio, a menos que seamos un administrador completo o un usuario de necesidades avanzadas. Paseando sobre todo por el menú de Sistema veremos que algunas aplicaciones nos piden nuestra contraseña antes de ejecutarse, y que sólo se pondrán en funcionamiento si introducimos la contraseña correcta y nuestro usuario tiene los permisos necesarios. Cuando en estas situaciones estamos entrando nuestra contraseña estamos, de hecho, haciendo sudo.

Una vez introducida la contraseña podremos ejecutar la aplicación con permisos de root durante quince minutos, luego volveremos a ser un usuario corriente. Como PacMan cuando se come las bolas gordas. Como Astérix con la poción mágica. Como Cenicienta antes de tocar las doce. Este pequeño trámite nos salva de múltiples posibles ataques a la seguridad del sistema, aparte del no menos peligroso riesgo de estropear algo accidentalmente, incluso inadvertidamente. Desde el punto de vista de un administrador de sistemas, el propio administrador (humano, con sus errores) es un riesgo, por lo tanto es bueno tenerlo con poderes administrativos el tiempo mínimo necesario.

El primer usuario creado en un sistema, durante el proceso de instalación, obtiene automáticamente permisos de administración mediante sudo. Los usuarios que se crean a continuación tienen por defecto esta opción desactivada, aunque activarla es sencillo. Cada usuario con permisos hará sudo con su propia contraseña, lo que garantiza una mayor seguridad del sistema.

Crear nuevos usuarios

Creando un usuario para huéspedes
Enlarge
Creando un usuario para huéspedes

Podemos crear nuevos usuarios si somos el único habitante de nuestro sistema o tenemos los permisos de acceso a las tareas de administración del sistema.

Vamos a crear un usuario para quienes, de tanto en cuanto, nos visitan y nos piden el ordenador para chequear correo, grabar un CD, jugar un rato...

  1. Clicamos el menú de Sistema en el panel superior.
  2. Seleccionamos Administración.
  3. Seleccionamos Usuarios y grupos.
  4. Clicar en Desbloquear y nos pedirá la contraseña.
  5. En la ventana de diálogo clicamos a Añadir usuario....
  6. Tenemos varios campos para rellenar, veamos los requeridos:
    • Nombre de usuario es una sola palabra en minúsculas y sin acentos, por ejemplo una combinación de nombre y apellido tipo jcarranza, o un apodo tipo telemaco. Este campo es requerido, pero los siguientes son opcionales.
    • Contraseña es otra combinación de caracteres, pero ésta debe ser secreta y a ser posible un término inventado que no aparezca en diccionario alguno. El sistema ofrece una contraseña aleatoria si no se nos ocurre nada. Un sistema como cualquier otro para recordar fácilmente contraseñas complejas es tomar la primera letra del estribillo de alguna canción inolvidable. Por ejemplo, un casi agotado Ese toro enamorado de la Luna genera una nada desdeñable contraseña EtedlL (ojo que mayúsculas y minúsculas son diferentes).
  7. Una vez completados los campos clicamos Aceptar.

Ya se ha creado el nuevo usuario. Si clicamos en sus Propiedades y luego en la pestaña Privilegios del usuario veremos que la opción Administrar el sistema no está activada. Esto implica que el nuevo usuario no podrá hacer sudo. Si seleccionamos está opción le daremos la opción de ejectutar tareas como root.

Grupos de usuarios

Cómo marginar digitalmente a los hijos
Enlarge
Cómo marginar digitalmente a los hijos

Si clicamos Gestionar Grupos en la ventana de opciones de Usuarios y grupos veremos una lista bastante críptica a los ojos de un no iniciado. Cada usuario es asignado a varios grupos, y cada grupo obtiene permisos para realizar tareas determinadas. El sistema crea automáticamente grupos para regular el acceso de los usuarios a acciones como utilizar un disquete, la unidad de CD-Rom, tener acceso al audio, etc.

El primer usuario, creado durante el proceso de instalación, es asignado automáticamente al grupo users. Los nuevos usuarios que vamos creando son asignados automáticamente a un grupo con el mismo nombre que su identificador de usuario. Como veremos, esto tiene como consecuencia que por defecto los usuarios no pueden acceder a las carpetas de otros usuarios, garantizando así su privacidad.

Podemos crear nuevos grupos manualmente. Esto nos sirve para dar los mismos permisos a todos los integrantes de un grupo. Por ejemplo, una familia compartiendo un ordenador puede tener una carpeta sólo accesible al grupo mamaypapa (integrado por dos obvios usuarios) donde almacenar todo lo que no se quiera dejar a la vista de los hijos. Con esta carpeta bien protegida, podrían dejar el resto de sus carpetas personales accesibles.

La forma de crear grupos es bastante similar que la que hemos visto para crear usuarios. A la hora de crear un grupo podemos añadir los usuarios que los integran. Siempre podemos editar los grupos y sumar o extraer usuarios.

Repartir accesos

Como hemos comentado, por defecto los usuarios no pueden acceder a las carpetas de los demás por una cuestión de privacidad. Aunque acabemos de crear a esos usuarios, no podremos acceder a sus carpetas personales. Recordemos que hemos accedido a la herramienta de Usuarios y grupos tras introducir nuestra contraseña, con privilegios temporales de root. Por tanto sólo podremos acceder a sus carpetas como usuario root, o iniciando una nueva sesión e introduciendo su identificador y contraseña, claro.

La principal manera de acceder a las carpetas de otros es añadir los usuarios que desean compartir acceso a un mismo grupo (ej: users) y modificar las propiedades de cada carpeta de usuario para que se sean accesibles a los integramtes de ese grupo.

El primer paso es sumar usuarios al grupo. Para ello es recomendable utilizar el grupo users, aunque también podemos crear uno nuevo. En la ventana de opciones de Usuarios y grupos seleccionamos la pestaña Grupos y el grupo a modificar. Clicamos en Propiedades y buscamos en la lista de usuarios de la izquierda los que vayamos a añadir al listado del grupo, en la derecha. Al final clicamos Aceptar para guardar los cambios.

A punto de tomar la pócima
Enlarge
A punto de tomar la pócima
Muy delicado: el reparto de permisos
Enlarge
Muy delicado: el reparto de permisos

Vamos al segundo paso: cambiar los permisos de las carpetas personales.

  1. Pulsamos <Alt> + F2, lo que nos abrirá un diálogo para ejecutar programas.
  2. En el campo Ejecutar escribimos gksudo nautilus (el nombre del programa Administrador de archivos, ejecutado como root).
  3. Se nos abrirá el conocido Administrador de archivos pero, ojo, teniendo nosotros permisos de root: somos un riesgo para el sistema. Sin entretenernos por el camino, buscamos la carpeta personal del usuario bajo el directorio /home.
  4. Clicamos la carpeta personal del usuario con la tecla derecha del ratón.
  5. En el menú contextual selecionamos Propiedades.
  6. Seleccionamos la pestaña Permisos.
  7. Asignamos el Grupo del archivo a users.

Debemos comprobar que el detalle de permisos está a nuestro gusto:

  • Los permisos de Lectura implican el acceso a las carpetas y archivos.
  • Los de Escritura implican la posibilidad de hacer cambios.
  • En este caso los de Ejecución deben ir parejos a los de Lectura.

Por otro lado:

  • El Propietario es el usuario a quien pertenece la carpeta. En principio debe tener permisos de lectura, escritura y ejecución.
  • El Grupo se refiere al Grupo del archivo que hemos seleccionado. Lo normal es tener activado sólo Lectura y Ejecución, permitiendo que un usuario pueda acceder a los archivos de otro usuario pero no modificarlos.
  • Otros se refiere al resto de usuarios que no figuran en el grupo. Si les damos acceso lo lógico es hacerlo sólo con permisos de Lectura y Ejecución. A los administradores serios no les hace ninguna gracia dar permisos de escritura a todos los usuarios, ya que esta es una posible entrada de inseguridad en el sistema.

Nada de esto es complicado, pero es un proceso con el que debemos ir con cuidado.

Explicamos cómo compartir carpetas y recursos entre usuarios de diferentes ordenadores en el apartado La red doméstica del capítulo 5. Conecta (a) tu ordenador.

Y ahora sigamos profundizando.


   Sigue: Viaje a las entrañas del sistema