Linux 使用者和使用者組管理

阿新 • • 發佈：2019-01-13

1. 使用者相關命令

1.1 useradd：新增使用者

語法：

useradd [選項] 使用者名稱

選項：

-c <comment>：備註。備註會儲存在 passwd 的備註欄中；
-d <家目錄>：指定使用者登陸後進入的目錄；
-D：變更預設值；
-e<有效期限>：指定帳號的有效期限；
-f<緩衝天數>：指定在密碼過期後多少天即關閉該帳號；
-g<使用者組>：指定使用者所屬的使用者組；
-G<使用者組>：指定使用者所屬的附加使用者組；
-m：自動建立使用者的家目錄；
-M：不要自動建立使用者的家目錄；
 
-n：取消建立以使用者名稱稱為名的使用者組；
-r：建立系統帳號；
-s <shell>：指定使用者登入後所使用的 shell；
-u <uid>：指定使用者id。

示例：

useradd -d /home/ftp -M -g ftp -s /sbin/nologin -u 1100 xiaoming
passwd xiaoming

上面例子中設定的使用者名稱是 xiaoming，UID 是 1100，使用 /home/ftp 作為家目錄，屬於 ftp 這個使用者組，登陸後預設的 shell 是 /sbin/nologin（即無法登陸系統）。

1.2 passwd：修改使用者登入密碼

passwd 用於設定使用者的認證資訊，包括使用者密碼、密碼過期時間等。
root 使用者可以通過 passwd 管理所有使用者的密碼，一般使用者只能使用 passwd 修改自己的密碼。
語法：

passwd [選項] [使用者名稱]

選項：

-d：刪除密碼，僅有系統管理者才能使用；
-f：強制執行；
-k：設定只有在密碼過期失效後，方能更新；
-l：鎖住密碼；
-s：列出密碼的相關資訊，僅有系統管理者才能使用；
-u：解開已上鎖的帳號。

/etc/passwd 檔案中，每一行的格式都類似 lihongfeng:x:1000:50::/home/ftp:/bin/bash，用冒號分隔，分別表示“使用者名稱：密碼：UID：GID：描述：家目錄：預設的 shell”。

對於 UID，root 使用者的 UID 是 0，普通使用者從 500 開始（我的 CentOS 7 從 1000 開始）。

示例：

passwd -l xiaoming  // 鎖定使用者 xiaoming，使其不能改密碼
passwd -d xiaoming  // 刪除使用者 xiaoming 的密碼
passwd              // 修改自己的密碼

1.3 userdel：刪除使用者

若不加選項，預設僅刪除使用者帳號，而不刪除相關檔案。

語法：

userdel [選項] 使用者名稱

選項：

-f：強制刪除使用者，即使使用者當前已登入；
-r：刪除使用者的同時，刪除與使用者相關的所有檔案。

1.4 usermod：編輯使用者

usermod 命令不允許改變已經登入的使用者的名稱。

語法：

usermod [選項] 使用者名稱

選項：

-c <comment>：修改使用者帳號的備註；
-d <家目錄>：修改使用者的家目錄；
-e <有效期限>：修改帳號的有效期限；
-f <緩衝天數>：修改在密碼過期後多少天即關閉該帳號；
-g <使用者組>：修改使用者所屬的使用者組；
-G <使用者組>；修改使用者所屬的附加使用者組；
-l <使用者名稱>：修改使用者的使用者名稱；
-L：鎖定使用者密碼，使密碼無效；
-s <shell>：修改使用者登入後所使用的 shell；
-u <uid>：修改使用者ID；
-U：解除密碼鎖定。

示例：
將使用者 xiaowang 新增到 game 使用者組中：

usermod -g game xiaowang

將使用者 xiaowang 的使用者名稱改為 wang：

usermod -l game wang xiaowang

2. 使用者組相關命令

2.1 groupadd：新增使用者組

語法：

groupadd [選項] 新的使用者組名

選項：

-g：指定新建工作組的 GID；
-r：建立系統工作組，系統工作組的 GID 小於 500；
-K：覆蓋配置檔案“/ect/login.defs”；
-o：允許新增 GID 號不唯一的工作組。

示例：

groupadd -g 666 gameboy

2.2 groupdel：刪除使用者組

語法：

groupdel 使用者組名

示例：

groupdel gameboy

2.3 groupmod：編輯使用者組

語法：

groupmod [選項] 使用者組名

選項：

-g<群組識別碼>：設定欲使用的群組識別碼；
-o：重複使用群組識別碼；
-n<新群組名稱>：設定欲使用的群組名稱。

2.4 newgrp：如果使用者屬於多個使用者組，切換使用者組

語法：

newgrp [選項] 使用者組名

選項：

-U：解除密碼鎖定。

3. 使用者和使用者組的相關檔案

使用者資訊存放在：

/etc/passwd
/etc/shadow

使用者組資訊存放在：

/etc/group
/etc/gshadow

3.1 /etc/passwd：存放使用者的所有資訊

3.1.1 解釋

真正加密後的使用者密碼存放到 /etc/shadow 檔案中，而在 /etc/passwd 檔案的密碼欄位中只存放一個特殊的字元“x”或“*”。

UID （User ID）一般與使用者名稱一一對應。如果幾個使用者名稱對應的使用者標識號是一樣的，系統內部將把它們視為同一個使用者，但是它們可以有不同的口令、不同的家目錄以及不同的登入 Shell 等。
通常 UID 的取值範圍是 0~65535。0 是 root 的標識號，1~99 由系統保留，作為管理賬號，普通使用者的標識號從 100 開始。在 Linux 系統中，這個界限是 500。

可以為使用者指定某個 Shell。如果不指定，那麼系統使用 sh 為預設的登入 Shell，即這個欄位的值為 /bin/sh。

可以指定使用者的登入 Shell 為某個特定的程式，從而可以限制使用者只能執行指定的應用程式，在該應用程式執行結束後，使用者自動退出系統。有些 Linux 系統要求只有那些在系統中登記了的程式才能出現在這個欄位中。

3.1.2 偽使用者（psuedo users）

偽使用者在 /etc/passwd 檔案中也佔有一條記錄，但是不能登入，因為它們的登入 Shell 為空。它們的存在主要是方便系統管理，滿足相應的系統程序對檔案屬主的要求。

常見的偽使用者如下所示：

bin：擁有可執行的使用者命令檔案
sys：擁有系統檔案
adm：擁有帳戶檔案
uucp：UUCP 使用
lp：lp 或 lpd 子系統使用
ftp：FTP 使用
nobody：NFS 使用

3.1.3 檔案內容

每個使用者都在 /etc/passwd 檔案中對應一行：

[root@VM_120_242_centos ftp]# cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
sync:x:5:0:sync:/sbin:/bin/sync
shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
avahi-autoipd:x:170:170:Avahi IPv4LL Stack:/var/lib/avahi-autoipd:/sbin/nologin
systemd-bus-proxy:x:999:997:systemd Bus Proxy:/:/sbin/nologin
systemd-network:x:998:996:systemd Network Management:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
polkitd:x:997:995:User for polkitd:/:/sbin/nologin
abrt:x:173:173::/etc/abrt:/sbin/nologin
libstoragemgmt:x:996:994:daemon account for libstoragemgmt:/var/run/lsm:/sbin/nologin
tss:x:59:59:Account used by the trousers package to sandbox the tcsd daemon:/dev/null:/sbin/nologin
ntp:x:38:38::/etc/ntp:/sbin/nologin
postfix:x:89:89::/var/spool/postfix:/sbin/nologin
chrony:x:995:993::/var/lib/chrony:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
tcpdump:x:72:72::/:/sbin/nologin
apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin
nginx:x:994:992:Nginx web server:/var/lib/nginx:/sbin/nologin
mysql:x:27:27:MySQL Server:/var/lib/mysql:/bin/false
lihongfeng:x:1000:50::/home/ftp:/bin/bash
zhangmengfei:x:1001:1001::/home/zhangmengfei:/bin/bash
sambaadmin:x:993:991::/home/sambaadmin:/bin/bash
rpc:x:32:32:Rpcbind Daemon:/var/lib/rpcbind:/sbin/nologin
rpcuser:x:29:29:RPC Service User:/var/lib/nfs:/sbin/nologin
nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
zhanzhiruo:x:1003:50::/home/ftp:/bin/bash
qinyanling:x:1004:50::/home/ftp:/bin/bash
linyushen:x:1005:50::/home/ftp:/sbin/nologin
winyinliang:x:1006:50::/home/ftp:/sbin/nologin
hexiaoyong:x:1007:50::/home/ftp:/sbin/nologin
xuejianglong:x:1008:50::/home/ftp:/sbin/nologin
wenyinliang:x:1009:50::/home/ftp:/sbin/nologin

3.2 /etc/group：存放使用者組的所有資訊

3.2.1 解釋

/etc/group 檔案中，每一行的格式都類似 lihongfeng:x:1000:，用冒號分隔，分別表示“使用者組名：密碼：組標識號：組內使用者列表”。

一般 Linux 系統的使用者組都沒有密碼，這個欄位一般為“x”或“*”。
“組內使用者列表”是屬於這個組（包括主組和附加組）的所有使用者的列表，逗號(,)分隔。

Linux 系統中所有使用者都屬於某個使用者組，是管理及控制訪問許可權的一種手段。

每個使用者都屬於一個或多個使用者組，一個使用者組中可以有一個或多個使用者。

當一個使用者同時是多個組中的成員時，在 /etc/passwd 檔案中記錄的是使用者所屬的主組，也就是登入時所屬的預設組，而其他組稱為附加組。

使用者要訪問屬於附加組的檔案時，必須首先使用 newgrp 命令使自己成為所要訪問的組中的成員。

使用者組的所有資訊都存放在 /etc/group 檔案中。此檔案的格式也類似於 /etc/passwd 檔案，由冒號隔開若干個欄位，這些欄位有：

3.2.2 檔案內容

[[email protected]_120_242_centos ftp]# cat /etc/group
root:x:0:
bin:x:1:
daemon:x:2:
sys:x:3:
adm:x:4:
...
rpc:x:32:
rpcuser:x:29:
nfsnobody:x:65534:
zhanzhiruo:x:1003:
qinyanling:x:1004:

3.3 /etc/shadow：使用者密碼

3.3.1 解釋

/etc/shadow 檔案中，每一行的格式都類似 lihongfeng:$1$rPdIHadL$j6ShuTax.3z3ucN5zNCNZ.:17648:0:99999:7:::，用冒號分隔，分別表示“使用者組名：加密後的密碼：最後一次修改時間:最小時間間隔:最大時間間隔:警告時間:不活動時間:失效時間:標誌”。

“最後一次修改時間”表示的是從某個時刻起，到使用者最後一次修改口令時的天數。時間起點對不同的系統可能不一樣，一般是 1970 年 1 月 1 日。
“最小時間間隔”指的是兩次修改口令之間所需的最小天數。
“最大時間間隔”指的是口令保持有效的最大天數。
“警告時間”欄位表示的是從系統開始警告使用者到使用者密碼正式失效之間的天數。
“不活動時間”表示的是使用者沒有登入活動但賬號仍能保持有效的最大天數。
“失效時間”欄位給出的是一個絕對的天數，如果使用了這個欄位，那麼就給出相應賬號的生存期。期滿後，該賬號就不再是一個合法的賬號，也就不能再用來登入了。

/etc/shadow 中的記錄行與 /etc/passwd 中的一一對應，它由 pwconv 命令根據 /etc/passwd 中的資料自動產生。

3.3.2 檔案內容

[root@VM_120_242_centos ftp]# cat /etc/shadow
root:$1$dfncWgpJ$CRV0AzEgxz250fVrEmXfSu1::0:99999:7:::
bin:*:16659:0:99999:7:::
daemon:*:16659:0:99999:7:::
adm:*:16659:0:99999:7:::
...
hexiaoyong:$1$SYyC3AOQ$6kzvHQQc2X0VMyGOwxiC630:17648:0:99999:7:::
xuejianglong:$1$tMrO2qpF$zAMb1m2yONzIE45VIVMY.M0:17648:0:99999:7:::
wenyinliang:$1$kiI..khU$QLR/RoEX2aV9Wy/mdZekZfn/:17648:0:99999:7:::

3.4 /etc/gshadow：使用者組的密碼

[[email protected]_120_242_centos ftp]# cat /etc/gshadow
root:::
bin:::
daemon:::
sys:::
...
nfsnobody:!::
zhanzhiruo:!::
qinyanling:!::