Linux用户与组管理实战指南

1. 用户与组管理基础概念解析

在任何一个现代操作系统中，用户与组管理都是最基础也最重要的系统管理任务之一。想象一下，如果一栋大楼没有门禁系统，任何人都可以随意进出任何房间，那将造成多大的安全隐患和管理混乱。用户与组管理就是计算机系统的"门禁系统"，它决定了"谁可以进入系统"、"能访问哪些资源"以及"能执行什么操作"。

用户（User）本质上是一个身份标识，系统通过用户账号来识别不同的使用者。每个用户都有一组唯一的属性，包括用户名、用户ID（UID）、主目录、默认shell等。在Linux系统中，这些信息通常存储在/etc/passwd文件中，而用户密码则经过加密后保存在/etc/shadow文件中。

组（Group）则是用户的集合，它是一种逻辑分组机制，用于简化权限管理。通过将具有相同资源访问需求的用户归入同一个组，管理员可以批量设置权限，而不必为每个用户单独配置。组信息主要存储在/etc/group文件中。

提示：在Linux系统中，UID为0的用户是超级用户root，拥有系统最高权限。普通用户的UID通常从1000开始分配（不同发行版可能略有差异）。

2. Linux用户管理实战操作

2.1 用户创建与基本配置

在Linux系统中，创建新用户最常用的命令是useradd，但更推荐使用其高级版本adduser（在某些发行版中是一个perl脚本，提供交互式创建体验）。以下是创建一个名为"devuser"的开发用户的标准流程：

bash复制sudo adduser devuser

执行这个命令后，系统会：

1. 自动分配一个未使用的UID（通常从1000开始递增）
2. 创建/home/devuser目录作为该用户的主目录
3. 设置用户的基本信息（全名、电话等，可选）
4. 提示设置用户密码

创建完成后，我们可以通过以下命令验证用户信息：

bash复制id devuser
# 输出示例：uid=1001(devuser) gid=1001(devuser) groups=1001(devuser)

getent passwd devuser
# 输出示例：devuser:x:1001:1001::/home/devuser:/bin/bash

2.2 用户密码策略管理

密码安全是用户管理的重要环节。在Linux中，我们可以通过以下命令修改用户密码：

bash复制sudo passwd devuser

更专业的做法是设置密码策略：

bash复制sudo chage -M 90 -m 7 -W 14 devuser  # 设置密码90天过期，最短使用7天，提前14天警告

查看密码过期信息：

bash复制sudo chage -l devuser

注意：在生产环境中，建议设置更严格的密码策略，包括最小长度、复杂度要求等，这些可以通过修改/etc/pam.d/common-password文件实现。

2.3 用户修改与删除

当需要修改用户属性时，可以使用usermod命令。例如，将devuser的主目录改为/newhome/devuser：

bash复制sudo usermod -d /newhome/devuser -m devuser

-m选项表示同时移动原主目录内容到新位置。

删除用户时，使用userdel命令：

bash复制sudo userdel -r devuser  # -r选项同时删除用户主目录和邮件假脱机文件

3. Linux组管理深度解析

3.1 组的基本操作

创建新组使用groupadd命令：

bash复制sudo groupadd developers

将用户添加到组中：

bash复制sudo usermod -aG developers devuser  # -aG表示追加到附加组列表

验证用户所属组：

bash复制groups devuser
# 输出示例：devuser : devuser developers

3.2 主组与附加组

每个用户都有一个主组（Primary Group）和零到多个附加组（Supplementary Groups）。主组在用户创建时自动创建（与用户名相同），也可以通过usermod -g修改：

bash复制sudo usermod -g developers devuser  # 修改主组

主组与附加组的主要区别在于：

1. 新建文件默认属于用户的主组
2. 某些服务（如FTP）可能限制用户只能访问主组的文件

3.3 组权限的实际应用

假设我们有一个项目目录/project/team1，希望developers组的成员都能读写：

bash复制sudo mkdir -p /project/team1
sudo chown :developers /project/team1  # 设置组所有者
sudo chmod 2775 /project/team1  # 2表示设置SGID，7=rwx所有者，7=rwx组，5=r-x其他

SGID位（Set Group ID