Linux 账号体系与权限管理实战

/etc/shadow：用户密码信息文件

这个文件是 /etc/passwd 的安全升级版，保存了用户的加密密码、密码有效期等敏感信息，只有 root 用户才能读取。每一行同样用冒号分隔，包含 9 个字段，其中最关键的是：

• 第 2 个字段：经过 SHA-512 加密的密码字符串，如果是 !! 或 * 则表示该用户没有密码，无法登录。
• 第 5 个字段：密码的最长有效天数，默认是 99999，表示不限制。
• 第 7 个字段：密码过期后多少天内禁用该用户。

/etc/group：组信息文件

这个文件保存了所有组的信息，包括组名、GID、组成员等，每一行用冒号分隔成 4 个字段：

1. 组名：组的名称，比如 root、tech。
2. 组密码占位符：通常显示 x，组密码保存在 /etc/gshadow 中（很少使用）。
3. GID：组的唯一标识号。
4. 组成员：属于这个组的用户列表，多个用户用逗号分隔。

比如 root:x:0:root 这一行表示：组名是 root，GID 是 0，组成员是 root 用户。

用户账号管理：创建、修改与删除

了解了基本概念和配置文件，我们就可以动手管理用户账号了。Linux 提供了一系列命令来完成这些操作，下面是最常用的实战命令。

创建用户：useradd

这是创建用户的核心命令，最简单的用法就是直接跟用户名：

useradd zhangsan

执行这个命令后，系统会自动完成以下操作：

• 在 /etc/passwd 和 /etc/shadow 文件末尾添加该用户的记录。
• 创建一个和用户名同名的基本组。
• 在 /home 目录下创建用户的家目录 /home/zhangsan，并复制初始配置文件（比如 .bashrc）。

如果需要自定义用户属性，可以添加各种选项：

• -u：指定用户的 UID，比如 useradd -u 1005 lisi。
• -d：指定用户的家目录，比如 useradd -d /opt/wangwu wangwu。
• -e：指定用户的失效日期，格式为 YYYY-MM-DD，比如 useradd -e 2026-12-31 ftpuser。
• -g：指定用户的基本组，比如 useradd -g tech zhaoliu。
• -G：指定用户的附加组，多个组用逗号分隔，比如 useradd -G tech,mailadm sunqi。
• -s：指定用户的登录 Shell，比如 useradd -s /sbin/nologin mysql（创建程序用户）。

举个例子，创建一个管理员账号 admin，基本组为 wheel，附加组为 root，家目录为 /admin：

useradd -d /admin -g wheel -G root admin

设置密码：passwd

创建用户后，必须设置密码才能登录，使用 passwd 命令：

passwd zhangsan

执行后会提示你输入两次密码，输入时不会显示任何字符，这是正常的安全机制。如果是 root 用户，可以直接修改其他用户的密码，不需要验证旧密码。

修改用户：usermod

如果需要修改已存在用户的属性，使用 usermod 命令，选项和 useradd 基本一致：

• 修改用户的附加组：usermod -G tech,dev zhangsan。
• 锁定用户账号（禁止登录）：usermod -L zhangsan。
• 解锁用户账号：usermod -U zhangsan。

删除用户：userdel

删除用户的命令是 userdel，加上 -r 选项可以同时删除用户的家目录和邮件文件：

userdel -r zhangsan

⚠️ 注意：如果用户当前正在登录系统，无法直接删除，需要先让用户退出登录。

组账号管理：批量权限的高效配置

组账号的管理命令和用户账号类似，下面是核心操作：

创建组：groupadd

创建一个新组的命令很简单：

groupadd tech

如果需要指定 GID，可以用 -g 选项：

groupadd -g 1008 dev

修改组：groupmod

修改组的名称或 GID：

• 修改组名：groupmod -n department tech（把 tech 组改名为 department）。
• 修改 GID：groupmod -g 1009 dev。

删除组：groupdel

删除一个空组（组里没有用户）：

groupdel tech

⚠️ 注意：如果组是某个用户的基本组，无法直接删除，需要先删除该用户或修改用户的基本组。

添加组成员：gpasswd

把用户加入组或从组中移除：

• 把用户加入组：gpasswd -a zhangsan tech（把 zhangsan 加入 tech 组）。
• 把用户从组中移除：gpasswd -d zhangsan tech。
• 设置组管理员：gpasswd -A zhangsan tech（让 zhangsan 管理 tech 组，可以添加/删除成员）。

账号信息查询：快速定位用户与组

有时候我们需要快速查询用户或组的信息，下面几个命令可以帮你高效完成：

groups：查询用户所属的组

比如查询 zhangsan 属于哪些组：

groups zhangsan

输出结果会显示该用户的基本组和附加组，比如 zhangsan : tech mailadm。

id：查询用户的 UID、GID 和组信息

查询 root 用户的标识信息：

id root

输出结果会显示 UID、GID 以及所属的所有组，比如 uid=0(root) gid=0(root) groups=0(root),1(daemon)。

w：查询当前登录的用户信息

这个命令可以查看当前有哪些用户登录了系统，以及他们的操作：

w

输出结果会包含用户名、登录终端、登录时间、来源 IP 以及当前正在执行的命令。

grep：从配置文件中筛选信息

比如从 /etc/group 中查询包含 root 的组：

grep "root" /etc/group

这在排查用户组归属时非常有用。

新手避坑指南：常见问题与解决思路

创建用户时提示'UID 已被使用'

这是因为指定的 UID 已经被其他用户占用了，解决方法是换一个未被使用的 UID，或者不指定 UID 让系统自动分配。

普通用户无法执行管理员命令

普通用户需要在命令前加 sudo 来临时获取 root 权限，比如：

sudo useradd lisi

执行后需要输入当前用户的密码，验证通过后就能以 root 权限执行命令。

删除用户时提示'用户已登录'

可以用 pkill -u 用户名 强制终止该用户的所有进程，然后再删除用户：

pkill -u zhangsan
userdel -r zhangsan

忘记 root 密码怎么办

重启系统，在开机引导界面按 e 进入编辑模式，找到以 linux16 开头的行，在末尾添加 init=/bin/bash，然后按 Ctrl+X 启动系统，进入单用户模式后，用 passwd root 重置密码。

总结：账号与权限管理的核心原则

1. 最小权限原则：给用户分配刚好够用的权限，不要用 root 账号日常操作。
2. 组权限优先：尽量通过组来管理权限，避免给每个用户单独设置权限，提高管理效率。
3. 定期审计：定期检查 /etc/passwd、/etc/shadow 等文件，删除不再使用的账号，避免安全隐患。
4. 密码安全：设置复杂的密码，定期更换，避免使用弱密码。

掌握这些知识，你就能应对绝大多数 Linux 账号与权限管理的场景了。记住，实践是最好的老师，建议你在虚拟机里反复练习这些命令，熟悉每个操作的效果和报错场景，这样在遇到问题时才能快速定位和解决。