1. 用户与组管理基础概念
在Linux系统中，用户和组管理是系统管理员最常接触的基础操作之一。每个登录系统的用户都需要一个独立的账户，而组则是用户权限的集合单元。理解用户和组的运作机制，是掌握Linux系统管理的第一步。
用户账户不仅仅是一个登录名，它包含了完整的身份信息集合：
- 用户名和UID（用户ID）
- 主组和附加组关系
- 家目录位置
- 默认shell环境
- 密码策略和过期信息
组的存在主要是为了简化权限管理。当多个用户需要访问相同资源时，将他们加入同一个组，然后通过组权限控制访问，比单独为每个用户设置权限要高效得多。组同样有自己的标识信息：
- 组名和GID（组ID）
- 组成员列表
- 组密码（极少使用）
提示：在RHEL/CentOS系统中，普通用户的UID从1000开始分配，系统用户的UID在1-999之间。这种划分有助于区分系统账户和普通用户账户。
2. 用户账户管理实操
2.1 创建新用户
使用useradd命令创建新用户是最基础的操作。完整的创建命令应该包含以下参数：
bash复制sudo useradd -m -d /home/username -s /bin/bash -c "User Description" -G supplementary_group username
各参数含义：
-m：自动创建用户家目录-d：指定家目录路径-s：设置默认shell-c：添加用户描述信息-G：将用户加入附加组
创建后需要立即设置密码：
bash复制sudo passwd username
注意：RHEL 9中默认使用SHA512加密算法存储密码，密码策略在/etc/login.defs中定义。建议密码长度至少12个字符，包含大小写字母、数字和特殊字符。
2.2 用户属性修改
用户创建后可能需要调整各种属性，这时需要使用usermod命令：
bash复制sudo usermod -aG wheel username # 将用户加入wheel组（获取sudo权限）
sudo usermod -s /sbin/nologin username # 禁止用户登录shell
sudo usermod -L username # 锁定用户账户
sudo usermod -U username # 解锁用户账户
2.3 用户删除与清理
删除用户时需要注意关联文件的处理：
bash复制sudo userdel -r username # 删除用户并移除家目录和邮件池
实际操作中建议分步进行：
- 先备份用户数据
- 使用
userdel删除账户 - 手动检查并清理
/var/mail/等位置的残留文件
3. 组管理技术详解
3.1 组创建与维护
创建新组的基本命令：
bash复制sudo groupadd -g 1500 groupname # 指定GID创建组
组管理的关键操作：
bash复制sudo groupmod -n newname oldname # 重命名组
sudo groupdel groupname # 删除组（需确保无用户以此组为主组）
3.2 组成员管理
向组中添加/移除用户有两种方式：
- 通过
usermod命令：
bash复制sudo usermod -aG group1,group2 username # 添加用户到附加组
- 直接编辑
/etc/group文件（需谨慎）：
code复制groupname:x:1002:user1,user2,user3
重要：使用
usermod时一定要加上-a参数，否则会覆盖用户现有的附加组关系。
4. 配置文件深度解析
4.1 用户相关配置文件
-
/etc/passwd：用户账户信息
字段说明：code复制username:x:1000:1000:User Name:/home/username:/bin/bash依次为：用户名、密码占位符(x)、UID、主组GID、描述信息、家目录、默认shell
-
/etc/shadow：用户密码和过期信息
关键字段：code复制username:$6$...:18647:0:99999:7:::包含加密后的密码、最后修改日期、最小/最大密码有效期等
4.2 组相关配置文件
-
/etc/group：组定义信息code复制groupname:x:1002:user1,user2包含组名、密码占位符、GID和成员列表
-
/etc/gshadow：组密码信息（极少使用）
5. 高级管理技巧
5.1 批量用户管理
当需要创建大量用户时，可以编写脚本自动化处理：
bash复制#!/bin/bash
for i in {1..50}; do
username="user$i"
sudo useradd -m -s /bin/bash $username
echo "$username:Password$i" | sudo chpasswd
sudo chage -d 0 $username # 强制首次登录修改密码
done
5.2 密码策略实施
RHEL 9提供了多种密码策略控制方式：
- 通过
chage命令设置账户过期：
bash复制sudo chage -M 90 -W 7 username # 密码90天过期，提前7天警告
- 使用
pam_pwquality模块强化密码复杂度：
编辑/etc/security/pwquality.conf：
code复制minlen = 12
minclass = 3 # 要求至少3种字符类型（大小写、数字、特殊字符）
5.3 Sudo权限精细控制
通过/etc/sudoers文件可以精确控制用户权限：
code复制# 允许wheel组成员无需密码执行所有命令
%wheel ALL=(ALL) NOPASSWD: ALL
# 允许特定用户重启网络服务
username ALL=(root) /usr/bin/systemctl restart network.service
警告：永远使用
visudo命令编辑sudoers文件，它有语法检查功能，可以防止配置错误导致系统无法使用sudo。
6. 常见问题排查
6.1 用户登录失败
排查步骤：
- 检查
/var/log/secure日志 - 确认账户未锁定（
passwd -S username） - 验证家目录权限（应为700）
- 检查selinux上下文（
ls -Z /home/username）
6.2 组权限不生效
常见原因：
- 用户未重新登录（组关系变更需要重新登录生效）
- 文件权限未正确设置（
chmod g+rwx file） - 父目录权限阻止访问（检查父目录是否有x权限）
6.3 特殊场景处理
- 恢复误删用户：
bash复制sudo useradd -u original_uid -g original_gid username
sudo chown -R username:groupname /home/username
- 处理孤儿文件：
bash复制find / -nouser -o -nogroup # 查找无主文件
7. 最佳实践建议
- 用户管理规范：
- 为每个实际使用者创建独立账户
- 禁止共享账户
- 定期审计和清理闲置账户（
lastlog命令）
- 权限设计原则：
- 遵循最小权限原则
- 使用组而非直接为用户分配权限
- 重要操作通过sudo授权而非直接使用root
- 安全基线配置：
- 设置强密码策略
- 配置账户自动锁定（
pam_faillock模块） - 限制root直接登录（
/etc/ssh/sshd_config中设置PermitRootLogin no）
在实际工作中，我发现很多权限问题都源于组关系配置不当。建议每次修改用户组关系后，使用id username命令验证结果，并让用户重新登录以确保权限生效。对于关键系统，可以考虑编写定期检查脚本，验证用户和组配置是否符合安全策略。