Linux 用户与组管理：从配置文件到实操命令全解析
Linux 用户与组管理：从配置文件到实操命令全解析
Linux 系统的稳定运行离不开严谨的用户和组管理，这一机制通过配置文件记录关键信息，借助专用命令实现高效操作，同时通过权限委派保障系统安全。以下从核心概念、配置文件、管理命令到权限控制，全面拆解相关知识
一、用户与组：基础概念先理清
在 Linux 中，用户和组是权限管理的核心载体，理解其分类和标识是入门的关键
- 用户的三类角色
超级用户（root）拥有系统最高权限，UID 为 0，可执行任何操作；普通用户由管理员创建，仅在自身家目录有完整权限，UID≥1000；程序用户（服务用户）用于运行系统服务，通常不允许登录，UID 在 1~999 之间（与系统用户范围一致） - 组的两种类型
每个用户必然属于一个基本组（创建时默认分配），还可加入多个附加组（扩展权限）。例如，用户 “zhangsan” 的基本组可能是 “zhangsan”，同时作为附加组成员加入 “dev” 组，以获取开发相关权限 - UID 与 GID：系统识别的 “身份证”
UID（用户 ID）和 GID（组 ID）是系统区分用户和组的数字标识。其中，root 用户 UID=0，root 组 GID=0；系统用户 / 组的 UID/GID 范围为 1~999；普通用户 / 组的 UID/GID 范围为 1000~60000（不同发行版可能略有差异）
二、配置文件：用户与组信息的 “数据库”
Linux 通过四个核心配置文件存储用户和组的信息，各司其职且权限控制严格
| 配置文件 | 作用 | 访问权限 | 字段分隔符 | 字段数量 | 核心信息示例 |
|---|---|---|---|---|---|
/etc/passwd | 保存用户基本信息 | 所有用户可读，仅 root 可改 | 冒号（:） | 7 个 | zhangsan:x:1001:1001:Zhang San:/home/zhangsan:/bin/bash |
/etc/shadow | 保存用户密码及密码策略 | 仅 root 可读 | 冒号（:） | 9 个 | zhangsan:$6$...:19500:0:90:7:3:19600: |
/etc/group | 保存组基本信息 | 所有用户可读，仅 root 可改 | 冒号（:） | 4 个 | dev:x:1005:zhangsan,lisi |
/etc/gshadow | 保存组密码及管理员信息 | 仅 root 可读 | 冒号（:） | 4 个 | dev:!:admin1:zhangsan,lisi |
1. /etc/passwd：用户基本信息表
7 个字段从左到右依次为：
- 用户名：登录系统时使用的名称（如
zhangsan） - 密码占位符：早期存密码，现以 “x” 表示密码在
/etc/shadow中 - UID：用户 ID（如 1001）
- GID：基本组 ID（如 1001）
- 用户全名 / 描述：可选，如用户真实姓名
- 主目录：用户登录后默认进入的目录，普通用户通常为
/home/用户名 - shell 环境：用户登录后使用的命令解释器，
/bin/bash为默认可登录 shell，/sbin/nologin表示不可登录
2. /etc/shadow：密码安全的 “守护者”
9 个字段聚焦密码及策略，是系统安全的核心：
- 账号：与
/etc/passwd中的用户名对应 - 密码：经 SHA-512 加密的字符串，“*” 或 “!!” 表示用户不可登录，空则无需密码
- 最近更新密码日期：从 1970 年 1 月 1 日起算的天数
- 密码不可变更天数：修改后至少多少天才能再次修改（0 为无限制）
- 密码需重新变更天数：密码最长有效天数（默认 99999 为无限制）
- 变更前警告天数：过期前多少天提醒用户（默认 7 天）
- 密码过期后宽限天数：过期后仍可登录的天数（超期则锁定）
- 账号失效日期：从 1970 年 1 月 1 日起算的失效天数（空表示永久有效）
- 保留字段：暂未使用
3. /etc/group与/etc/gshadow：组信息的 “双胞胎”
/etc/group4 个字段：组名、组密码占位符（“x” 表示密码在 gshadow 中）、GID、组内用户（附加组成员，基本组成员不重复列出）/etc/gshadow4 个字段：组名、组密码（空或 “!” 表示无密码）、组管理员、组成员（与 group 文件一致）
三、管理命令：用户与组的 “操作工具”
通过专用命令可便捷创建、修改、删除用户和组，无需直接编辑配置文件
1. 用户管理核心命令
| 命令 | 功能 | 常用选项及示例 |
|---|---|---|
useradd | 创建用户 | -u指定 UID：useradd -u 1002 lisi； -d指定主目录：useradd -d /home/ls lisi； -s指定 shell：useradd -s /sbin/nologin test（创建不可登录用户） |
passwd | 设置用户密码 | 普通用户改自身密码：passwd； root 锁定用户：passwd -l lisi； 清空密码：passwd -d lisi（需谨慎，允许无密码登录） |
usermod | 修改用户属性 | -g改基本组：usermod -g dev lisi； -G加附加组：usermod -G admin lisi（覆盖原有附加组需加-a：-aG）； -L锁定用户：usermod -L lisi |
userdel | 删除用户 | 仅删用户信息：userdel lisi； 连同家目录和邮件文件一起删：userdel -r lisi（谨慎使用，避免误删数据） |
2. 组管理核心命令
| 命令 | 功能 | 常用选项及示例 |
|---|---|---|
groupadd | 创建组 | 直接创建：groupadd dev；指定 GID：groupadd -g 1005 testgrp |
groupdel | 删除组 | 简单删除：groupdel dev（需确保组内无用户，否则删除失败） |
gpasswd | 管理组成员 | 添加用户到组：gpasswd -a lisi dev； 从组中移除用户：gpasswd -d lisi dev |
groups | 查看用户所属组 | 查看当前用户所属组：groups；查看指定用户：groups lisi |
四、权限委派：sudo 让普通用户 “有限掌权”
为避免直接使用 root 带来的风险，sudo可让普通用户临时获取 root 权限执行特定命令，配置通过/etc/sudoers文件实现（建议用visudo命令编辑，避免语法错误）
配置步骤示例：
- 编辑
sudoers文件：visudo（自动检查语法） - 定义命令别名（可选）：
Cmnd_Alias USERCMDS = /usr/sbin/useradd, /usr/sbin/userdel - 授权用户：
lisi ALL=(ALL) USERCMDS（允许 lisi 在所有主机以任何用户身份执行 USERCMDS 中的命令） - 普通用户使用：
sudo useradd tom（输入自身密码验证后执行）
总结：用户与组管理的核心逻辑
Linux 用户和组管理的核心是 “通过配置文件记录信息，用命令操作信息，借权限控制保障安全”。理解/etc/passwd和/etc/shadow的字段含义，能帮助排查用户登录问题；熟练使用useradd、groupadd等命令，可高效管理账号；合理配置sudo，既能满足运维需求，又能降低系统风险。掌握这些知识，是 Linux 系统管理的基础技能