学习目标

学习进行用户和工作组的管理文件/etc/passwd ; /etc/shadow; /etc/group；
学习进行用户和工作组常用命令useradd、groupadd、passwd、usermod、userdel；
学习正常改变用户权限及密码:passwd、sudo;

业务场景

正确添加一个用户及创建一个组；
正常删除一个用户及目录下所属文件及内容；
学会改变用户所属组及权限；

学习内容

1. Linux 是一个多用户、多任务的操作系统，具有很好的稳定性与安全性，在幕后保障Linux系统安全的则是一系列复杂的配置工作。本节介绍如何在Linux 系统中添加、删除、修改用户账户信息以及如何使用su 命令与sudo 服务让普通用户具备管理员的权限，不仅可以满足日常的工作需求，还可以确保系统的安全性。

2. 常用命令：

(1)useradd 命令

useradd 命令用于创建新的用户，格式为“useradd [选项] 用户名”。

可以使用useradd 命令创建用户账户。使用该命令创建用户账户时，默认的用户家目录会被存放在/home 目录中，默认的Shell 解释器为/bin/bash，而且默认会创建一个与该用户同名的基本用户组。这些默认设置可以根据下面useradd 命令参数自行选择使用。

参数作用

-d 指定用户的家目录（默认为/home/username）

-e 账户的到期时间，格式为YYYY-MM-DD.

-u 指定该用户的默认UID

-g 指定一个初始的用户基本组（必须已存在）

-G 指定一个或多个扩展用户组

-N 不创建与用户同名的基本用户组

-s 指定该用户的默认Shell 解释器

下面我们创建一个普通用户并指定家目录的路径、用户的UID 以及Shell 解释器。在下面的命令中，请注意/sbin/nologin，它是终端解释器中的一员，与Bash 解释器有着天壤之别。一旦用户的解释器被设置为nologin，则代表该用户不能登录到系统中：

[root@nginx1 ~]# useradd -d /home/ceshi -u 2000 -s /sbin/nologin ceshi

[root@nginx1 ~]# id ceshi

uid=2000(ceshi) gid=2000(ceshi) groups=2000(ceshi)

(2)groupadd 命令

groupadd 命令用于创建用户组，参数为“groupadd [选项] 群组名”；为了能够更加高效地指派系统中各个用户的权限，在工作中常常会把几个用户加入到同一个组里面，这样便可以针对一类用户统一安排权限。创建用户组的步骤非常简单，例如使用如下命令创建一个用户组 test ：

[root@nginx1 ~]# groupadd test

(3)usermod 命令

usermod 命令用于修改用户的属性，参数：“usermod [选项] 用户名”。在Linux 系统中的一切都是文件，因此在系统中创建用户也就是修改配置文件的过程。用户的信息保存在/etc/passwd 文件中，可以直接用文本编辑器来修改其中的用户参数项目，也可以用usermod 命令修改已经创建的用户信息，usermod 命令的参数以及作用下：

参数作用

-c 填写用户账户的备注信息

-d -m 参数-m 与参数-d 连用，可重新指定用户的家目录并自动把旧的数据转移过去

-e 账户的到期时间，格式为YYYY-MM-DD

-g 变更所属用户组

-G 变更扩展用户组

-L 锁定用户禁止其登录系统

-U 解锁用户，允许其登录系统

-s 变更默认终端

-u 修改用户的UID

然后将用户test加入到root 用户组中，这样在root组配置文件后面就会加上test 用户：

(4)passwd 命令

passwd 命令用于修改用户密码、过期时间、认证信息等，参数：“passwd [选项] [用户名]”。普通用户只能使用passwd 命令修改自身的系统密码，而root 管理员则有权限修改其他所有人的密码。更酷的是，root 管理员在Linux 系统中修改自己或他人的密码时不需要验证旧密码，这一点特别方便。既然root 管理员可以修改其他用户的密码，就表示完全拥有该用户的管理权限:

参数作用

-l 锁定用户，禁止其登录

-u 解除锁定，允许用户登录

--stdin 允许通过标准输入修改用户密码，如echo "NewPassWord" | passwd --stdin Username

-d 使该用户可用空密码登录系统

-e 强制用户在下次登录时修改密码

-S 显示用户的密码是否被锁定，以及密码所采用的加密算法名称

[root@nginx1 ~]# passwd

Changing password for user root.

New password: 此处输入密码值

Retype new password: 再次输入进行确认

passwd: all authentication tokens updated successfully.

[root@nginx1 ~]# passwd test

Changing password for user test.

New password: 此处输入密码值

Retype new password: 再次输入进行确认

passwd: all authentication tokens updated successfully.

(5)userdel 命令

userdel 命令用于删除用户，参数为“userdel [选项] 用户名”。如果我们确认用户不再使用，则可以通过userdel 命令删除该用户的所有信息。在执行删除操作时，该用户的家目录默认会保留下来，使用命令时加上-r 参数将其删除家目录也删除。

userdel命令的参数以及作用

参数作用

-f 强制删除用户

-r 同时删除用户及用户家目录

[root@test ~]# id test

uid=1000(test) gid=1000(test) groups=1000(test),0(root)

[root@test ~]# userdel -r test

[root@test ~]# id test

id: test: no such user

3. /etc/passwd 、/etc/group、/etc/shadow

Linux系统当中，默认的情况下，所有的系统上的帐号与一般身份使用者，还有root的相关信息，都记录在/etc/passwd这个文件内。个人的密码则记录在/etc/shadow这个文件下。此外，Linux所有的群组名称都纪录在/etc/group内！这三个文件是Linux系统里面帐号、密码、群组信息！不要随便删除这三个文件！

4. su 命令与sudo 服务

从Linux 系统安全性考虑，使得许多系统命令和服务只能被root 管理员来使用，让普通用户受到了更多的权限管控，从而导致无法顺利完成特定的工作任务。为了避免因普通用户权限等因素导致配置服务或启动服务失败，从而不使用root管理员去做所有事情，建议对普通账号进行授予相应权限解决(sudo提权)或者不让root登录，给予普通账号切换到root权限完成相关服务启动和配置。

su 命令可以解决切换用户身份的需求，使得当前用户在不退出登录的情况下，地切换到其他用户，比如从root 管理员切换至普通用户：

[root@nginx1 ~]# su - test

Last login: Tue Sep 14 13:36:24 CST 2021 on pts/0

[test@nginx1 ~]$ id

uid=1000(test) gid=1000(test) groups=1000(test)

上面的su 命令与用户名之间有一个减号（-），这意味着完全切换到新的用户，即把环境变量信息也变更为新用户的相应信息，而不是保留原始的信息。强烈建议在切换用户身份时添加这个减号（-）。另外，当从root 管理员切换到普通用户时是不需要密码验证的，而从普通用户切换成root管理员就需要进行密码验证了；这也是一个必要的安全检查；像上面这样使用su 命令后，普通用户可以完全切换到root 管理员身份来完成相应工作，但这将暴露root 管理员的密码，从而增大了系统密码被黑客获取的几率；这并不是最安全的方案。

使用sudo 命令把特定命令的执行权限赋予给指定用户，这样既可保证普通用户能够完成特定的工作，也可以避免泄露root 管理员密码。我们要做的就是合理配置sudo 服务，以便兼顾系统的安全性和用户的便捷性。sudo 服务的配置原则也很简单—在保证普通用户完成相应工作的前提下，尽可能少地赋予额外的权限。sudo 命令用于给普通用户提供额外的权限来完成原本root 管理员才能完成的任务，格式为“sudo [参数] 命令名称”。

sudo参数作用

-h 列出帮助信息

-l 列出当前用户可执行的命令

-u 用户名或UID 值以指定的用户身份执行命令

-k 清空密码的有效时间，下次执行sudo 时需要再次进行密码验证

-b 在后台执行指定的命令

-p 更改询问密码的提示语

sudo 命令功能：

限制用户执行指定的命令：

记录用户执行的每一条命令；

配置文件（/etc/sudoers）提供集中的用户管理、权限与主机等参数；

验证密码的后 5 分钟内（默认值）无须再让用户再次验证密码。

只有 root 管理员才可以使用visudo 命令编辑sudo 服务的配置文件（文件权限为440,必须强制保存退出才生效）。

授予test普通账号sudo权限(编辑/etc/sudores文件，复制100行，并改root用户为test即可)

在添加完毕后，记得要先强制保存退出，然后切换至指定的普通用户身份test，此时就可以用sudo -l 命令查看到所有可执行的命令了（下面的命令中，验证的是该普通用户test的密码，而不是root的密码）：

接下来验证test普通用户权限，普通用户默认是无法看到root 管理员的家目录（/root）中的文件，但是，只需要在想执行的命令前面加上sudo 命令就可以了：

但是考虑到生产环境中不允许某个普通用户拥有整个系统中所有命令的最高执行权（即尽可能少地赋予权限），因此ALL 参数就有些不合适了。因此只能赋予普通用户具体的命令以满足工作需求，这也受到了必要的权限约束。如果需要让某个用户只能使用root 管理员的身份执行指定的命令，切记一定要给出该命令的绝对路径，否则系统会识别不出来。我们可以先使用whereis 命令找出命令所对应的保存路径，然后把配置文件第101 行的用户权限参数修改成对应的路径即可（不同操作系统版本对应的sudoers配置文件行数不一样，视具体配置文件具体行数调整）：

[root@nginx1 ~]# whereis ls

ls: /usr/bin/ls /usr/share/man/man1/ls.1.gz /usr/share/man/man1p/ls.1p.gz

再次切换到指定的普通用户，然后尝试正常查看某个文件的内容，此时系统提示没有权限。这时再使用sudo 命令就可以顺利地查看文件内容了：

大家是否发现在每次执行sudo 命令后都会要求输入密码（就是当前登录用户的密码），但是每次执行sudo 命令都要输入一次密码其实很麻烦的，这时可以在sudo配置文件中配置账号后面，添加NOPASSWD 参数，使得用户执行sudo 命令时不再需要输入密码验证：

再次执行sudo ls /root就不用再输入密码了：

Linux 用户管理及日常命令

恭喜您！