用戶管理，顧名思義就是添加用戶和用戶組、更改密碼和設(shè)定權(quán)限等操作。 在使用個(gè)人電腦時(shí)，基本都以管理員賬戶登錄，很少添加和使用其他普通用戶。 但是在服務(wù)器上這樣做是行不通的。 服務(wù)器通常是由一個(gè)團(tuán)隊(duì)來管理，但并不是每個(gè)人都能夠被賦予管理員權(quán)限。 因此，對安全性要求高的服務(wù)器，需要建立合理的用戶權(quán)限等級(jí)制度和服務(wù)器操作規(guī)范。

Linux系統(tǒng)中的用戶，由于角色不同，每個(gè)用戶的權(quán)限和所能完成的操作任務(wù)也不同。 在實(shí)際的管理工作中，用戶的角色是通過UID（用戶ID）來標(biāo)識(shí)的，每個(gè)用戶的UID都是不同的。 Linux中主要有超級(jí)用戶、系統(tǒng)用戶和普通用戶三類

• 超級(jí)用戶：root，具有一切特權(quán)，UID為0
• 系統(tǒng)用戶：系統(tǒng)正常工作所必須的內(nèi)建用戶，為了滿足相應(yīng)的系統(tǒng)進(jìn)程而建立，不能用來登錄，如bin、daemon、adm、lp等，UID一般為1-499
• 普通用戶：為了讓使用者能夠使用系統(tǒng)資源而建立的，UID為500-60000

1. 用戶管理相關(guān)文件介紹

1.1 用戶配置文件/etc/passwd

/etc/passwd文件是系統(tǒng)用戶清單。 用戶登陸時(shí)，系統(tǒng)查詢這個(gè)文件，確定用戶的UID并驗(yàn)證用戶口令，其內(nèi)容如下示：

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin

• 第一列：用戶名
• 第二列：用戶密碼，僅有一個(gè)x占位符，密碼存在shadow中
• 第三列：用戶UID，唯一標(biāo)識(shí)
• 第四列：所屬組的GID
• 第五列：備注信息
• 第六列：用戶的主目錄，用戶登錄系統(tǒng)時(shí)，就登錄到該目錄中
• 第七列：shell類型

1.2 用戶密碼配置文件/etc/shadow

/etc/shadow文件里的內(nèi)容與/etc/passwd的內(nèi)容對應(yīng)，由pwconv命令根據(jù)/etc/passwd中的數(shù)據(jù)自動(dòng)產(chǎn)生。 超級(jí)用戶才擁有該文件讀權(quán)限，保證了用戶密碼的安全性

root:$6$LEbEC/AQc3/GF$8Q4Lx/gin1/YIH1:18842:0:99999:7:::
bin:*:18353:0:99999:7:::
daemon:*:18353:0:99999:7:::

• 第一列：用戶名
• 第二列：經(jīng)過加密編碼的密碼，$6$開頭表明使用SHA-512加密，若密碼位是"!! "或"*"代表沒有密碼，不能登錄
• 第三列：密碼最近更改時(shí)間，時(shí)間戳表示
• 第四列：密碼不可被更改的天數(shù)（與第三列相比）
• 第五列：密碼最長有效期（與第三列相比）
• 第六列：密碼到期前的警告天數(shù)（與第五列相比）
• 第七列：密碼過期后的寬限天數(shù)（與第五列相比）
• 第八列：賬號(hào)失效日期，時(shí)間戳表示
• 第九列：保留

1.3 用戶組配置文件/etc/group

/etc/group文件包含了組名和每個(gè)組中的成員列表，每一行代表一個(gè)組

root:x:0:
bin:x:1:
daemon:x:2:

• 第一列：用戶組的組名
• 第二列：組密碼，僅有一個(gè)x占位符，密碼存在gshadow中
• 第三列：用戶組GID，用戶組唯一標(biāo)識(shí)
• 第四列：組成員

1.4 用戶組密碼配置文件/etc/gshadow

/etc/gshadow用戶組密碼配置文件，其內(nèi)容如下：

root:::
bin:::
daemon:::

• 第一列：用戶組組名
• 第二列：用戶組密碼，若為空或"!"表示沒有密碼
• 第三列：用戶管理者，可以為空
• 第四列：組成員

1.5 默認(rèn)配置文件/etc/login.defs

創(chuàng)建用戶時(shí)的默認(rèn)限制設(shè)置文件/etc/login.defs，內(nèi)容如下：

MAIL_DIR        /var/spool/mail

PASS_MAX_DAYS   99999	#指定密碼保持有效最大天數(shù)
PASS_MIN_DAYS   0	#修改密碼的間隔時(shí)間
PASS_MIN_LEN    5	#指定密碼的最小長度
PASS_WARN_AGE   7	#密碼到期前多少天系統(tǒng)提示密碼到期

UID_MIN         1000	#指定UID最小為1000
UID_MAX         60000	#指定最大UID為60000

SYS_UID_MIN     201	#系統(tǒng)用戶最小201
SYS_UID_MAX     999	#系統(tǒng)用戶最大999

GID_MIN         1000	#最小GID為1000
GID_MAX         60000	#最大GID為60000

SYS_GID_MIN     201	#系統(tǒng)組ID最小201
SYS_GID_MAX     999	#系統(tǒng)組ID最大999

CREATE_HOME     yes	#指定是否創(chuàng)建用戶主目錄，yes為創(chuàng)建，no不創(chuàng)建

UMASK           077	#權(quán)限默認(rèn)掩碼值

USERGROUPS_ENAB yes	#刪除用戶時(shí)，若該用戶組沒有成員存在，則會(huì)刪除用戶組

ENCRYPT_METHOD SHA512	#使用SHA512加密方式

1.6 配置文件/etc/default/adduser.conf

創(chuàng)建用戶時(shí)使用的默認(rèn)配置文件/etc/default/adduser.conf，內(nèi)容如下：

# useradd defaults file
GROUP=100		#新建用戶默認(rèn)初始組GID號(hào)
HOME=/home		#用戶主目錄的位置
INACTIVE=-1		#是否啟用賬號(hào)過期禁用，-1不啟用
EXPIRE=			#表示賬號(hào)過期，空表示不啟用
SHELL=/bin/bash		#新建用戶的默認(rèn)shell類型
#指定用戶主目錄中默認(rèn)文件的來源，新建用戶主目錄下的文件都是下面目錄中復(fù)制的
SKEL=/etc/skel		
CREATE_MAIL_SPOOL=yes	#是否創(chuàng)建郵箱緩存，yes表示創(chuàng)建

1.7 SKEL模板目錄

/etc/skel目錄定義了新建用戶在主目錄下默認(rèn)的配置文件，更改/etc/skel目錄下的內(nèi)容就可以改變新建用戶默認(rèn)主目錄的配置文件信息。 該目錄下常見的文件如下：

新用戶被創(chuàng)建后，會(huì)在新用戶主目錄下看到上圖中類似的文件

2. 用戶管理相關(guān)命令介紹

2.1 添加新用戶命令 useradd

添加新用戶使用useradd命令，其語法如下：

useradd 選項(xiàng) 用戶名

useradd不加任何參數(shù)創(chuàng)建用戶時(shí)，其過程如下：

• 首先讀取默認(rèn)配置文件/etc/login.defs和/etc/default/useradd，根據(jù)這兩個(gè)文件中定義的規(guī)則添加用戶
• 然后向/etc/passwd和/etc/group文件添加用戶和用戶組記錄，同時(shí)其對應(yīng)的加密文件也會(huì)自動(dòng)生成記錄
• 接著會(huì)自動(dòng)在/etc/default/useradd文件設(shè)定的目錄下建立用戶主目錄
• 最后復(fù)制/etc/skel目錄中的所有文件到新用戶的主目錄中，新用戶建立完成

useradd帶參數(shù)創(chuàng)建時(shí)，其參數(shù)說明如下：

• -c comment 指定一段注釋性描述
• -d 目錄 指定用戶主目錄，若目錄不存在，則搭配使用-m選項(xiàng)，創(chuàng)建主目錄
• -g 用戶組 指定用戶所屬的用戶組
• -G 用戶組 指定用戶所屬的附加組
• -s shell文件 指定用戶的登錄shell
• -u 用戶號(hào) 指定用戶的用戶號(hào)，若同時(shí)有-o選項(xiàng)，則可重復(fù)使用其他用戶的標(biāo)識(shí)號(hào)
• 用戶名：指定新賬號(hào)的登錄名

2.2 修改用戶屬性命令 usermod

根據(jù)實(shí)際情況更改用戶的有關(guān)屬性，如用戶號(hào)、主目錄、用戶組、登錄Shell等。 其格式如下：

usermod 選項(xiàng) 用戶名

常用的選項(xiàng)包括-c, -d, -m, -g, -G, -s, -u以及-o等，其意義與useradd命令中的選項(xiàng)一樣，可以為用戶指定新的資源值。 "-l"選項(xiàng)，用于修改用戶名

2.3 刪除用戶命令 userdel

若用戶賬號(hào)不再使用，可從系統(tǒng)中刪除。 本質(zhì)是將/etc/passwd等系統(tǒng)文件中的該用戶記錄刪除，必要時(shí)還需要?jiǎng)h除用戶的主目錄。 其格式如下：

userdel 選項(xiàng) 用戶名

常用的選項(xiàng)是 "-r"，作用是把用戶的主目錄一起刪除

2.4 修改用戶密碼命令 passwd

用戶賬號(hào)剛創(chuàng)建時(shí)沒有口令，但是被系統(tǒng)鎖定，無法使用，必須為其指定口令后才可以使用，即使是指定空口令。 命令的格式為：

passwd 選項(xiàng) 用戶名

常用的選項(xiàng)如下示：

• -l 停用賬號(hào)
• -u 啟用被停用的賬號(hào)
• -d 刪除密碼
• -f 強(qiáng)迫用戶下次登錄時(shí)修改密碼

2.5 添加用戶組命令 addgroup

增加一個(gè)新的用戶組使用groupadd命令。 其格式如下：

groupadd 選項(xiàng) 用戶組

可以使用的選項(xiàng)有：

• -g GID 指定新用戶組的組標(biāo)識(shí)號(hào)（GID）
• -o 表示新用戶組的GID可以與系統(tǒng)已有的GID相同

2.6 刪除用戶組命令 delgroup

如果要?jiǎng)h除一個(gè)已有的用戶組，使用groupdel命令，其格式如下

groupdel 用戶組

2.7 修改用戶組命令 groupmod

修改用戶組的屬性使用groupmod命令。 其語法如下：

groupmod 選項(xiàng) 用戶組

常用的選項(xiàng)有：

• -g GID 為用戶組指定新的組標(biāo)識(shí)號(hào)
• -o與-g同時(shí)使用，用戶組的新GID可以與系統(tǒng)已有用戶組的GID相同
• -n 新用戶組 將用戶組的名字改為新名字