1. Linux用户与组管理概述在Linux系统中用户和组管理是系统管理员最基础也是最重要的日常工作之一。想象一下一个公司如果没有完善的人事管理制度所有人都能随意进出任何办公室、查看所有文件那将多么混乱。Linux系统同样如此合理的用户和组管理是系统安全的第一道防线。我管理过的服务器中曾遇到过因为权限设置不当导致数据库被误删的情况。那次教训让我深刻认识到掌握用户和组管理不仅是为了通过认证考试更是保障系统安全的必备技能。本文将分享我在实际工作中总结的用户与组管理经验包括基础概念、常用命令、权限配置技巧以及常见问题排查方法。2. Linux用户管理详解2.1 用户账户基础Linux系统中的每个用户都有一个唯一的用户IDUID。普通用户的UID通常从1000开始分配0是root用户的专属UID1-999通常保留给系统服务使用。这种设计类似于公司中的工号系统不同范围的号码代表不同身份的员工。查看当前用户信息的命令id # 显示当前用户的UID、GID及所属组 whoami # 显示当前登录用户名创建新用户时系统会自动完成以下操作在/etc/passwd文件中添加用户记录在/etc/shadow文件中设置密码信息创建用户家目录通常是/home/用户名复制/etc/skel中的配置文件到新用户家目录2.2 用户管理核心命令创建用户的基本命令格式sudo useradd -m -s /bin/bash username # -m创建家目录-s指定默认shell实际工作中我更喜欢使用adduser命令在Debian系发行版中因为它提供了交互式界面自动处理更多细节sudo adduser newuser # 会提示设置密码等信息修改用户属性的常用选项sudo usermod -aG sudo username # 将用户加入sudo组 sudo usermod -s /bin/zsh username # 修改默认shell sudo usermod -L username # 锁定账户 sudo usermod -U username # 解锁账户重要提示直接编辑/etc/passwd文件虽然可行但不推荐。使用专用命令可以确保相关文件同步更新避免不一致问题。2.3 密码与账户安全设置密码的最佳实践sudo passwd username # 设置密码 sudo chage -l username # 查看密码过期信息 sudo chage -M 90 username # 设置密码90天后过期我强烈建议配置密码复杂度策略编辑/etc/pam.d/common-passwordpassword requisite pam_pwquality.so retry3 minlen10 difok3 ucredit-1 lcredit-1 dcredit-1 ocredit-1这条配置要求密码最少10个字符包含大小写字母、数字和特殊字符与旧密码至少有3个字符不同3. Linux组管理实践3.1 组的基本概念Linux中的组主要有两种类型主组Primary Group用户创建文件时默认所属的组附加组Supplementary Group用于授予用户额外权限查看组信息的命令groups # 查看当前用户所属组 getent group # 查看所有组信息3.2 组管理命令创建新组sudo groupadd developers # 创建名为developers的组将用户加入组sudo usermod -aG developers username # -aG表示追加到附加组修改文件属组sudo chgrp developers filename # 修改文件所属组3.3 组权限的实际应用案例假设我们需要设置一个共享目录允许developers组的成员读写sudo mkdir /opt/project sudo chown :developers /opt/project # 设置组所有者 sudo chmod 2775 /opt/project # 2表示设置SGID775是权限SGID位Set Group ID的特殊作用在该目录下创建的文件会自动继承目录的组所有权这在团队协作环境中非常有用。4. 用户与组配置文件解析4.1 /etc/passwd文件结构典型的passwd条目如下username:x:1001:1001:User Name,,,:/home/username:/bin/bash各字段含义用户名密码占位符x表示密码在shadow文件UID主组GID用户全名和备注家目录路径默认shell4.2 /etc/shadow文件解析shadow条目示例username:$6$rounds656000$saltvalue$hashedpassword:18647:0:99999:7:::关键字段用户名加密后的密码$6表示SHA512加密上次修改密码的天数从1970-1-1开始计算密码最短使用期限0表示可立即修改密码最长使用期限99999表示永不过期密码过期前警告天数4.3 /etc/group文件解读group文件条目developers:x:1002:user1,user2,user3字段说明组名组密码占位符GID组成员列表5. 高级权限管理技巧5.1 sudo权限精细控制编辑/etc/sudoers文件始终使用visudo命令sudo visudo # 安全编辑sudoers文件典型授权示例%developers ALL(ALL:ALL) NOPASSWD: /usr/bin/apt update, /usr/bin/apt upgrade这条规则允许developers组的成员无需密码即可执行apt更新操作。5.2 ACL访问控制列表当标准Unix权限不够灵活时可以使用ACLsudo setfacl -m u:username:rwx filename # 为用户添加权限 sudo setfacl -m g:developers:rx directory # 为组添加权限 sudo getfacl filename # 查看ACL权限5.3 特殊权限位除了常见的rwx权限外还有三个特殊权限位SUID4执行时以文件所有者身份运行chmod us /usr/bin/passwd # 典型例子SGID2执行时以文件所属组身份运行或目录中新建文件继承组Sticky Bit1只有文件所有者才能删除/重命名如/tmp目录chmod t /shared_directory6. 常见问题与解决方案6.1 用户登录问题排查当用户无法登录时检查步骤检查账户是否被锁定sudo passwd -S username检查shell是否有效grep username /etc/passwd检查家目录权限ls -ld /home/username6.2 权限拒绝问题处理典型错误Permission denied的可能原因文件权限不足父目录没有执行(x)权限SELinux/AppArmor限制检查步骤namei -l /path/to/file # 查看完整路径权限 ls -Z /path # 查看SELinux上下文6.3 批量用户管理使用newusers命令批量创建用户准备用户列表文件user1:x:1001:1001:User One:/home/user1:/bin/bash user2:x:1002:1002:User Two:/home/user2:/bin/bash然后执行sudo newusers users.txt批量修改密码使用chpasswdecho username:newpassword | sudo chpasswd7. 最佳实践与安全建议遵循最小权限原则只授予必要的权限定期审计用户和权限sudo awk -F: ($3 1000) {print $1} /etc/passwd # 列出所有普通用户禁用不必要的系统账户sudo usermod -s /sbin/nologin username为不同服务使用独立账户避免共享root权限配置日志监控记录特权操作sudo visudo # 添加 Defaults logfile/var/log/sudo.log我在实际工作中发现很多安全问题都源于粗放的权限管理。曾经有一次一个开发人员误删了生产数据库原因是他被错误地赋予了过高的权限。从那以后我在所有服务器上都实施了严格的权限分级制度关键操作必须通过特定审批流程才能获得临时权限。
Linux用户与组管理：基础命令与安全实践
发布时间：2026/7/26 14:47:27
1. Linux用户与组管理概述在Linux系统中用户和组管理是系统管理员最基础也是最重要的日常工作之一。想象一下一个公司如果没有完善的人事管理制度所有人都能随意进出任何办公室、查看所有文件那将多么混乱。Linux系统同样如此合理的用户和组管理是系统安全的第一道防线。我管理过的服务器中曾遇到过因为权限设置不当导致数据库被误删的情况。那次教训让我深刻认识到掌握用户和组管理不仅是为了通过认证考试更是保障系统安全的必备技能。本文将分享我在实际工作中总结的用户与组管理经验包括基础概念、常用命令、权限配置技巧以及常见问题排查方法。2. Linux用户管理详解2.1 用户账户基础Linux系统中的每个用户都有一个唯一的用户IDUID。普通用户的UID通常从1000开始分配0是root用户的专属UID1-999通常保留给系统服务使用。这种设计类似于公司中的工号系统不同范围的号码代表不同身份的员工。查看当前用户信息的命令id # 显示当前用户的UID、GID及所属组 whoami # 显示当前登录用户名创建新用户时系统会自动完成以下操作在/etc/passwd文件中添加用户记录在/etc/shadow文件中设置密码信息创建用户家目录通常是/home/用户名复制/etc/skel中的配置文件到新用户家目录2.2 用户管理核心命令创建用户的基本命令格式sudo useradd -m -s /bin/bash username # -m创建家目录-s指定默认shell实际工作中我更喜欢使用adduser命令在Debian系发行版中因为它提供了交互式界面自动处理更多细节sudo adduser newuser # 会提示设置密码等信息修改用户属性的常用选项sudo usermod -aG sudo username # 将用户加入sudo组 sudo usermod -s /bin/zsh username # 修改默认shell sudo usermod -L username # 锁定账户 sudo usermod -U username # 解锁账户重要提示直接编辑/etc/passwd文件虽然可行但不推荐。使用专用命令可以确保相关文件同步更新避免不一致问题。2.3 密码与账户安全设置密码的最佳实践sudo passwd username # 设置密码 sudo chage -l username # 查看密码过期信息 sudo chage -M 90 username # 设置密码90天后过期我强烈建议配置密码复杂度策略编辑/etc/pam.d/common-passwordpassword requisite pam_pwquality.so retry3 minlen10 difok3 ucredit-1 lcredit-1 dcredit-1 ocredit-1这条配置要求密码最少10个字符包含大小写字母、数字和特殊字符与旧密码至少有3个字符不同3. Linux组管理实践3.1 组的基本概念Linux中的组主要有两种类型主组Primary Group用户创建文件时默认所属的组附加组Supplementary Group用于授予用户额外权限查看组信息的命令groups # 查看当前用户所属组 getent group # 查看所有组信息3.2 组管理命令创建新组sudo groupadd developers # 创建名为developers的组将用户加入组sudo usermod -aG developers username # -aG表示追加到附加组修改文件属组sudo chgrp developers filename # 修改文件所属组3.3 组权限的实际应用案例假设我们需要设置一个共享目录允许developers组的成员读写sudo mkdir /opt/project sudo chown :developers /opt/project # 设置组所有者 sudo chmod 2775 /opt/project # 2表示设置SGID775是权限SGID位Set Group ID的特殊作用在该目录下创建的文件会自动继承目录的组所有权这在团队协作环境中非常有用。4. 用户与组配置文件解析4.1 /etc/passwd文件结构典型的passwd条目如下username:x:1001:1001:User Name,,,:/home/username:/bin/bash各字段含义用户名密码占位符x表示密码在shadow文件UID主组GID用户全名和备注家目录路径默认shell4.2 /etc/shadow文件解析shadow条目示例username:$6$rounds656000$saltvalue$hashedpassword:18647:0:99999:7:::关键字段用户名加密后的密码$6表示SHA512加密上次修改密码的天数从1970-1-1开始计算密码最短使用期限0表示可立即修改密码最长使用期限99999表示永不过期密码过期前警告天数4.3 /etc/group文件解读group文件条目developers:x:1002:user1,user2,user3字段说明组名组密码占位符GID组成员列表5. 高级权限管理技巧5.1 sudo权限精细控制编辑/etc/sudoers文件始终使用visudo命令sudo visudo # 安全编辑sudoers文件典型授权示例%developers ALL(ALL:ALL) NOPASSWD: /usr/bin/apt update, /usr/bin/apt upgrade这条规则允许developers组的成员无需密码即可执行apt更新操作。5.2 ACL访问控制列表当标准Unix权限不够灵活时可以使用ACLsudo setfacl -m u:username:rwx filename # 为用户添加权限 sudo setfacl -m g:developers:rx directory # 为组添加权限 sudo getfacl filename # 查看ACL权限5.3 特殊权限位除了常见的rwx权限外还有三个特殊权限位SUID4执行时以文件所有者身份运行chmod us /usr/bin/passwd # 典型例子SGID2执行时以文件所属组身份运行或目录中新建文件继承组Sticky Bit1只有文件所有者才能删除/重命名如/tmp目录chmod t /shared_directory6. 常见问题与解决方案6.1 用户登录问题排查当用户无法登录时检查步骤检查账户是否被锁定sudo passwd -S username检查shell是否有效grep username /etc/passwd检查家目录权限ls -ld /home/username6.2 权限拒绝问题处理典型错误Permission denied的可能原因文件权限不足父目录没有执行(x)权限SELinux/AppArmor限制检查步骤namei -l /path/to/file # 查看完整路径权限 ls -Z /path # 查看SELinux上下文6.3 批量用户管理使用newusers命令批量创建用户准备用户列表文件user1:x:1001:1001:User One:/home/user1:/bin/bash user2:x:1002:1002:User Two:/home/user2:/bin/bash然后执行sudo newusers users.txt批量修改密码使用chpasswdecho username:newpassword | sudo chpasswd7. 最佳实践与安全建议遵循最小权限原则只授予必要的权限定期审计用户和权限sudo awk -F: ($3 1000) {print $1} /etc/passwd # 列出所有普通用户禁用不必要的系统账户sudo usermod -s /sbin/nologin username为不同服务使用独立账户避免共享root权限配置日志监控记录特权操作sudo visudo # 添加 Defaults logfile/var/log/sudo.log我在实际工作中发现很多安全问题都源于粗放的权限管理。曾经有一次一个开发人员误删了生产数据库原因是他被错误地赋予了过高的权限。从那以后我在所有服务器上都实施了严格的权限分级制度关键操作必须通过特定审批流程才能获得临时权限。
