Linux之用户和用户组

目录

一. 简介

二. 用户账号分类

三. 用户

        3.1 添加用户（useradd）

        3.2 删除用户（userdel）

        3.3 修改用户（usermod）

        3.4 用户口令的管理（passwd）

        3.5 切换用户（su）

        3.6 登出

        四. 用户组

        4.1 增加用户组（groupadd）

        4.2 删除用户组（groupdel）

        4.3 修改用户组属性（groupmod）

        4.4 切换用户组（newgrp）

五. 用户账号系统文件

        5.1 /etc/passwd

        5.2 /etc/shadow

        5.3 /etc/group

六. 思维导图

---

一. 简介

1. 如果要使用系统资源，就必须向系统管理员申请一个账号，然后通过这个账号进入系统，这个账号即用户
2. linux系统中的用户组(group)就是具有相同特性的用户(user)集合
3. UID和GID：即用户ID和组ID

二. 用户账号分类

• 超级用户root(0)：默认是root用户，其UID和GID均为0。
• 在每台unix/inux操作系统中都是唯一且真实存在的，通过它可以登录系统，可以操作系统中任何文件和命令，拥有最高的管理权限。在生产环境，一般禁止root账号远程登录SSH连接服务器，以加强系统安全
• 程序用户(1~499)：与真实用户区分开来，这类用户的最大特点是安装系统后默认就会存在的，且默认情况不能登录系统，它们是系统正常运行必不可少的，他们的存在主要是方便系统管理，满足相应的系统进程都文件属主的要求。
• 例如系统默认的bin、adm、nodoby、mail用户等。由于服务器角色的不同，有部分用不到的系统服务被禁止开机执行，因此，在做系统安全优化时，被禁止开机启动了的服务对应的虚拟用户也是可以处理掉的(删除或注释)
• 普通用户(500~65535)：这类用户一般是由具备系统管理员root的权限的运维人员添加的

三. 用户

        3.1 添加用户（useradd）

1. 添加新的用户账号：useradd 选项 用户名
2. 参数说明:

选项：
-c comment 指定一段注释性描述。
-d  目录 指定用户主目录，如果此目录不存在，则同时使用-m选项，可以创建主目录。
-g  用户组 指定用户所属的用户组。
-G  用户组，用户组 指定用户所属的附加组。
-s  Shell 指定用户的登录Shell
-u  用户号 指定用户的用户号，如果同时有-o选项，则可以重复使用其他用户的标识
用户名  指定新账号的登录名

        3.示例

示例1：useradd -d /home/sam -m sam2

        此命令创建了一个用户sam2，其中-d和-m选项用来为登录名sam2产生一个主目录/home/sam

(/home为默认的用户主目录所在的父目录)

示例2：useradd -s /bin/sh -g group -G adm,root gem
        此命令新建了一个用户gem，该用户的登录She11是 /bin/sh，它属于group用户组，
同时又属于adm和root用户组，其中group用户组是其主组。
这里可能新建组：#groupadd group及groupadd adm

        4.注意

注1：增加用户账号就是在/etc/passwd文件中为新用户增加一条记录，同时更新其他系统文件如/etc/shadow，/etc/grovp等。

注2：Linux提供了集成的系统管理工具userconf，它可以用来对用户账号进行统一管理

        3.2 删除用户（userdel）

        1. 删除帐号：如果一个用户的账号不再使用，可以从系统中删除。删除用户账号就是要将/etc/passwd等系统文件中的该用户记录删除，必要时还删除用户的主目录

        2. userdel 选项 用户名：常用的选项是 -r，它的作用是把用户的主目录一起删除

        3. 示例：userdel -r sam

        此命令删除用户sam在系统文件中(主要是/etc/passwd，/etc/shadow，/etc/group等)的记录，同时删除用户的主目录。

        3.3 修改用户（usermod）

        1. 修改帐号：修改用户账号就是根据实际情况更改用户的有关属性，如用户号、主目录、用户组、登录Shell等

        2. usermod 选项 用户名：

• 常用的选项包括 -c，-d，-m，-g，-G，-s，-u以及-o等，这些选项的意义与useradd命令中的选项一样，可以为用户指定新的资源值。
• 另外，有些系统可以使用选项：-l 新用户名
• 这个选项指定一个新的账号，即将原来的用户名改为新的用户名。

        3. 示例：usermod -s /bin/ksh -d /home/z -g developer sam

        此命令将用户sam的登录Shell修改为ksh，主目录改为/home/z，用户组改为developer

        3.4 用户口令的管理（passwd）

        1. 用户口令的管理：passwd 选项 用户名

        2. 可使用的选项：

• -l  锁定口令，即禁用账号。
• -u 口令解锁。
• -d 使账号无口令。
• -f  强迫用户下次登录时修改口令。
• 如果默认用户名，则修改当前用户的口令

        3. 示例：

示例1：修改密码

        例如，假设当前用户是sam，则下面的命令修改该用户自己的口令passwd

• Old password:******
• New password:******
• Re-enter new password:******

        超级用户，可以用下列形式指定任何用户的口令

• passwd sam
• New password:******
• Re-enter new password:******

注：普通用户修改自己的口令时，passwd命令会先询问原口令，验证后再要求用户输入两遍新口令，
如果两次输入的口令一致，则将这个口令指定给用户;
而超级用户为用户指定口令时，就不需要知道原口令

示例2：用户指定空口令时-- passwd -d sam

        此命令将用户 sam 的口令删除，这样用户 sam 下一次登录时，系统就不再允许该用户登录了

示例3：

        passwd 命令还可以用-l(lock) 选项锁定某一用户，使其不能登录，解锁用-u passwd -l sam

        3.5 切换用户（su）

                切换用户：su username

        3.6 登出

• exit
• logout
• ctrl+d

        四. 用户组

        4.1 增加用户组（groupadd）

        1. 增加一个用户组：groupadd 选项 用户组

        2. 选项有：

• -g  GID指定新用户组的组标识号(GID)。
• -o  一般与-g选项同时使用，表示新用户组的GID可以与系统已有用户组的GID相同

        3. 示例

示例1：groupadd group 1

        此命令向系统中增加了一个新组group1，新组的组标识号是在当前已有的最大组标识号的基础上加1。

示例2：groupadd -g 101 group2

        此命令向系统中增加了一个新组group2，同时指定新组的组标识号是101。

        4.2 删除用户组（groupdel）

1. 如果要删除一个已有的用户组，使用groupdel命令：groupdel 用户组
2. 示例：groupdel group1

        4.3 修改用户组属性（groupmod）

        1. 修改用户组的属性：groupmod 选项 用户组

        2. 常用的选项有：

• -g  GID 为用户组指定新的组标识号。
• -o  与-g选项同时使用，用户组的新GID可以与系统已有用户组的GID相同。
• -n新用户组  将用户组的名字改为新名字

        3. 示例

示例1：groupmod -g 102 group2

        此命令将组group2的组标识号修改为102

示例2：groupmod -g 10000 -n group3 group2

        此命令将组group2的标识号改为10000，组名修改为group3

        4.4 切换用户组（newgrp）

        1. 如果一个用户同时属于多个用户组，那么用户可以在用户组之间切换

        2. 用户可以在登录后，使用命令newgrp切换到其他用户组，这个命令的参数就是目的用户组

        3. 示例

newgrp root

        这条命令将当前用户切换到root用户组，前提条件是root用户组确实是该用户的主组或附加组

五. 用户账号系统文件

        5.1 /etc/passwd

/etc/passwd文件是用户管理工作涉及的最重要的一个文件。

cat /etc/passwd

---

root:x:0:0:Superuser:/:

daemon:x:1:1:System daemons:/etc:

bin:x:2:2:0wner of system commands:/bin:

sys:x:3:3:0wner of system files:/usr/sys:

adm:x:4:4: System accounting:/usr/adm:

uucp:x:5:5:UUCP administrator:/usr/lib/uucp:

auth:x:7:21: Authentication administrator:/tcb/files/auth:

cron:x:9:16:Cron daemon:/usr/spool/cron:

listen:x:37:4:Network daemon:/usr/net/nls:

lp:x:71:18:Printer administrator:/usr/spool/lp:

sam:x:200:50: Sam san:/home/sam:/bin/sh

从上面的例子中我们可以看到，/etc/passwd中一行记录对应着一个用户，每行记录又被冒号(:)分隔为7个字段，其格式和具体含义如下
用户名:口令:用户标识号:组标识号:注释性描述:主目录:登录Shell

• 1)"用户名”是代表用户账号的字符串。

        通常长度不超过8个字符，并且由大小写字母和/或数字组成。登录名中不能有冒号(:)，因为冒号在这里是分隔符。
        为了兼容起见，登录名中最好不要包含点字符(.)，并且不使用连字符(-)和加号(+)打头

• 2)“口令”一些系统中，存放着加密后的用户口令字。

        虽然这个字段存放的只是用户口令的加密串，不是明文，但是由于/etc/passwd文件对所有用户都可读，所以这仍是一个安全隐患。因此，现在许多Linux系统(如SVR4)都使用了shadow技术，把真正的加密后的用户口令字存放到/etc/shadow文件中，而在/etc/passwd文件的口令字段中只存放一个特殊的字符，例如“x”或者“*”。

• 3)“用户标识号”是一个整数，系统内部用它来标识用户。

        一般情况下它与用户名是一 一对应的。如果几个用户名对应的用户标识号是一样的，系统内部将把它们视为同一个用户，但是它们可以有不同的口令、不同的主目录以及不同的登录Shell等。

        通常用户标识号的取值范围是0~65 535。0是超级用户root的标识号，1~99由系统保留，作为管理账号，普通用户的标识号从100开始。在Linux系统中，这个界限是500。

• 4)“组标识号”字段记录的是用户所属的用户组。

        它对应着/etc/group文件中的一条记录。

• 5)“注释性描述”字段记录着用户的一些个人情况。

        例如用户的真实姓名、电话、地址等，这个字段并没有什么实际的用途。在不同的Linux系统中，这个字段的格式并没有统一。在许多Linux系统中，这个字段存放的是一段任意的注释性描述交字，用做finger命令的输出。

• 6)“主目录”，也就是用户的起始工作目录。

        它是用户在登录到系统之后所处的目录。在大多数系统中，各用户的主目录都被组织在同一个特定的目录下，而用户主目录的名称就是该用户的登录名。各用户对自己的主目录有读写、执行(搜索)权限，其他用户对此目录的访问权限则根据具体情况设置。

• 7)用户登录后，要启动一个进程，负责将用户的操作传给内核，这个进程是用户登录到系统后运行的命令解释器或某个特定的程序，即shell。

        Shell是用户与Linux系统之间的接口。Linux的Shell有许多种，每种都有不同的特点。常用的有sh(Bourne shell),csh(c Shell),ksh(Kom Shell),tcsh(TENEX/TOPS-20 type C Shell)，bash(Bourne Again Shell)等。

        系统管理员可以根据系统情况和用户习惯为用户指定某个shell。如果不指定Shell，那么系统使用sh为默认的登录shell，即这个字段的值为/bin/sh。

        用户的登录shell也可以指定为某个特定的程序(此程序不是一个命令解释器)。

        利用这一特点，我们可以限制用户只能运行指定的应用程序，在该应用程序运行结束后用户就自动退出了系统。有些Linux系统要求只有那些在系统中登记了的程序才能出现在这个字段中。

• 8)系统中有一类用户称为伪用户(pseudo users)。

        这些用户在/etc/passwd文件中也占有一条记录，但是不能登录，因为它们的登录Shell为空。它们的存在主要是方便系统管理，满足相应的系统进程对文件属主的要求。

常见的伪用户如下所示
        伪 用 户 含 义

• bin  拥有可执行的用户命令文件
• sys  拥有系统文件
• adm 拥有帐户文件
• uucp UUCP使用
• lp lp或lpd子系统使用
• nobod NFS使用

        5.2 /etc/shadow

/etc/shadow中的记录行与/etc/passwd中的一 一对应，它由pwconv命令根据/etc/passwd中的数据自动产生
它的文件格式与/etc/passwd类似，由若干个字段组成，字段之间用”:“隔开。这些字段是

登录名:加密口令:最后一次修改时间:最小时间间隔:最大时间间隔:警告时间:不活动时间:失效时间:标志

格式说明:

• "登录名”：是与/etc/passwd文件中的登录名相一致的用户账号
• "口令"：字段存放的是加密后的用户口令字，长度为13个字符。如果为空，则对应用户没有口令，登录时不需要口令;如果含有不属于集合{ ./0-9A-Za-z }中的字符，则对应的用户不能登录
• "最后一次修改时间"：表示的是从某个时刻起，到用户最后一次修改口令时的天数。时间起点对不同的系统可能不一样。例如在SCO Linux 中，这个时间起点是1970年1月1日。
• "最小时间间隔"：指的是两次修改口令之间所需的最小天数。
• "最大时间间隔"：指的是口令保持有效的最大天数。
• "警告时间"：字段表示的是从系统开始警告用户到用户密码正式失效之间的天数。
• "不活动时间"：表示的是用户没有登录活动但账号仍能保持有效的最大天数。
• "失效时间"：字段给出的是一个绝对的天数，如果使用了这个字段，那么就给出相应账号的生存期。期满后，该账号就不再是一个合法的账号，也就不能再用来登录了。

        5.3 /etc/group

用户组的所有信息都存放在/etc/group文件中

将用户分组是Linux 系统中对用户进行管理及控制访问权限的一种手段。

1. 每个用户都属于某个用户组;一个组中可以有多个用户，一个用户也可以属于不同的组。
2. 当一个用户同时是多个组中的成员时，在/etc/passwd文件中记录的是用户所属的主组，也就是登录时所属的默认组，而其他组称为附加组。
3. 用户要访问属于附加组的文件时，必须首先使用newgrp命令使自己成为所要访问的组中的成员。        

格式：组名:口令:组标识号:组内用户列表

格式说明:

• "组名"：是用户组的名称，由字母或数字构成。与/etc/passwd中的登录名一样，组名不应重复。
• "口令"：字段存放的是用户组加密后的口令字。一般Linux 系统的用户组都没有口令，即这个字段一般为空，或者是 * 。
• "组标识号"：与用户标识号类似，也是一个整数，被系统内部用来标识组。
• "组内用户列表"：是属于这个组的所有用户的列表/b]，不同用户之间用逗号(，)分隔。这个用户组可能是用户的主组，也可能是附加组。

六. 思维导图