1. 寫在前面這節(jié)筆記要解決什么問題Linux用戶管理這塊經(jīng)常被人當成“會敲幾個命令就行”的小事?？蓪嶋H一上手添加用戶、刪除用戶、切換用戶、調(diào)整用戶組每一步都可能踩坑。這篇筆記圍繞用戶登錄與注銷、用戶管理以及用戶組來展開把我在實際使用中整理過的命令、參數(shù)和踩坑記錄一起寫出來算是《Linux筆記》系列的第三篇。這篇內(nèi)容適合誰看給兩類人。一類是剛裝好虛擬機、剛開始接觸Linux的初學者另一類是準備運維面試、需要把用戶權(quán)限這部分知識系統(tǒng)過一遍的兄弟。看完之后你能搞清楚登錄和注銷背后的身份驗證機制能獨立完成添加、刪除、查詢用戶的操作能分清su和sudo的關(guān)系也能弄明白“所有者、所在組和其他組”這三個權(quán)限維度到底是怎么回事。文中的所有命令我都在CentOS和Ubuntu上實測過Debian系和RedHat系在細節(jié)上會有一點點差異用到的時候我會單獨說明。有一點提前說清楚Linux下很多操作需要root權(quán)限我默認你是在自己的測試環(huán)境里折騰別拿生產(chǎn)服務器練手這是原則問題。2. 用戶登錄與注銷從開機到命令行的完整過程2.1 登錄的本質(zhì)系統(tǒng)如何驗證你的身份很多人覺得登錄不就是輸入用戶名和密碼嗎其實沒那么簡單。Linux的登錄驗證過程核心是核對兩份文件/etc/passwd和/etc/shadow。/etc/passwd保存用戶的基本信息比如用戶名、UID、用戶組ID、家目錄和登錄Shell/etc/shadow保存加密后的密碼哈希、密碼修改時間、過期時間等敏感字段。/etc/passwd是全局可讀的所以密碼絕對不能放在里面只能放在權(quán)限為000的/etc/shadow里。我們拿一條典型的passwd記錄來拆解root:x:0:0:root:/root:/bin/bash用冒號分成7個字段用戶名密碼占位符xUIDGID描述信息家目錄登錄Shell。其中UID為0表示超級用戶普通用戶的UID一般是1000以后系統(tǒng)用戶像bin、daemon這些通常是1到999。登錄的時候系統(tǒng)會先用你輸入的用戶名去/passwd里查找UID再去/shadow里比對密碼哈希。如果都通過就會調(diào)用passwd記錄中指定的登錄Shell通常會啟動一個bash同時加載環(huán)境變量文件比如/etc/profile、~/.bash_profile、~/.bashrc這些。這也是為什么有時候你用su切換用戶之后環(huán)境變量感覺“不對勁”多半是Shell加載的初始化文件不對。2.2 注銷與退出別把關(guān)機當成注銷注銷和關(guān)機是兩碼事。注銷是結(jié)束當前登錄會話回到登錄界面系統(tǒng)還在運行關(guān)機是關(guān)閉整個系統(tǒng)。在圖形界面里注銷通常是“退出賬戶”在命令行里注銷方式主要有三種exit、logout、CtrlD。exit退出當前Shell進程。如果在登錄Shell里執(zhí)行就相當于注銷如果在子Shell或腳本里執(zhí)行只退出當前Shell層。logout只能用于登錄Shell就是那個直接由登錄流程啟動的Shell普通子Shell里執(zhí)行會提示“not login shell”。CtrlD向終端發(fā)送EOF主動終止當前Shell輸入流效果等同于exit但習慣上大家更常用exit。我經(jīng)?？吹接腥藛枴盀槭裁次仪昧薼ogout沒反應”多半是你當前處在子Shell里比如通過su切換用戶但沒有用su -或者手動bash進入了一個新的子Shell。這時候用exit才對。2.3 實操演示切換虛擬終端與注銷登錄Linux默認提供6個文本終端可以通過CtrlAltF1到F6切換F7或更高通常是圖形界面。不同的發(fā)行版可能略有不同比如Ubuntu桌面版可能CtrlAltF1到F6是文本終端F7回到圖形界面。CentOS/RHEL也類似。比如你現(xiàn)在在tty1想切到tty2按CtrlAltF2想退出當前登錄直接輸入exit。如果想查看當前有哪些登錄會話可以用who命令who # 輸出示例 # root tty1 2025-01-15 09:32 # zhangsan pts/0 2025-01-15 10:25 (192.168.1.100)第一列是用戶名第二列是登錄終端tty開頭是本地終端pts開頭是遠程終端比如SSH后面是登錄時間和來源IP。這個命令在排查多用戶入侵或異常登錄時非常實用我建議你把這個命令記牢。3. 用戶管理動手添加、刪除和查詢用戶3.1 添加用戶useradd與adduser的區(qū)別添加用戶的命令主要有兩個useradd和adduser。這里先給你提個醒在RedHat系發(fā)行版CentOS、RHEL、Fedora里useradd和adduser基本是同一個命令只是符號鏈接或者兼容別名但在Debian系Ubuntu、Debian里adduser是一個Perl腳本它會交互式地幫你創(chuàng)建家目錄、設(shè)置密碼、填備注信息用起來更友好。新手在Ubuntu上直接adduser在CentOS上老老實實用useradd。useradd的常用參數(shù)我整理成一張表參數(shù)作用示例-m創(chuàng)建家目錄useradd -m zhangsan-s指定登錄Shelluseradd -m -s /bin/bash zhangsan-d指定家目錄路徑useradd -m -d /home/zhangsan zhangsan-G指定附加組useradd -m -G wheel zhangsan-u指定UIDuseradd -m -u 1500 zhangsan-c添加備注useradd -m -c Zhang San zhangsan只看參數(shù)還不行關(guān)鍵是要理解哪些是必選項。如果你在CentOS上執(zhí)行useradd zhangsan而不加-m系統(tǒng)不會自動創(chuàng)建/home/zhangsan目錄這時候用戶登錄后會沒有家目錄可能出現(xiàn)無法寫入配置文件的奇怪問題。Ubuntu的useradd默認行為也不一樣默認不會創(chuàng)建家目錄但adduser會創(chuàng)建。我個人的習慣是不管在哪個發(fā)行版上都顯式加上-m -s /bin/bash這樣行為可預期不會因為發(fā)行版差異翻車。創(chuàng)建用戶之后還要設(shè)置密碼否則用戶無法登錄passwd zhangsan執(zhí)行后會提示輸入兩次新密碼。注意密碼輸入的時候不會顯示任何字符這不是沒輸入而是安全設(shè)計別被嚇到。3.2 查詢用戶信息id、whoami、finger、w查詢用戶信息這個環(huán)節(jié)容易被忽略但它其實最能反映你對系統(tǒng)的掌控度。先看id命令id zhangsan # uid1002(zhangsan) gid1002(zhangsan) 組1002(zhangsan)id會輸出用戶的UID、主組GID和所有附加組。如果你發(fā)現(xiàn)用戶不在某個組里用id一眼就能看出來。whoami是“我是誰”輸出當前有效用戶名適合在腳本里判斷當前身份。finger可以查看用戶更詳細的信息比如真實姓名、家目錄、Shell、最后一次登錄時間等不過有些系統(tǒng)默認沒裝finger需要手動安裝。w命令是who的升級版能顯示當前登錄用戶以及他們正在執(zhí)行的命令還能顯示load average和uptime。我在排查系統(tǒng)負載異常的時候第一件事就是跑w看是不是有人跑了奇怪的進程。last命令則用來查登錄歷史會讀取/var/log/wtmp文件顯示用戶、終端、登錄時間、登出時間、來源IP。如果有人從異常IP登錄過last里能看到。3.3 修改與刪除用戶usermod與userdel修改用戶信息用usermod它和useradd參數(shù)長得幾乎一樣區(qū)別在于useradd是新建usermod是修改。常用場景有幾個修改用戶登錄Shellusermod -s /sbin/nologin zhangsan鎖定用戶禁止登錄usermod -L zhangsan解鎖用戶usermod -U zhangsan修改用戶附加組usermod -G docker zhangsan修改用戶的家目錄usermod -d /new/home -m zhangsan這里特別注意用usermod -G docker zhangsan時如果不加-aappend會把用戶從原有附加組里踢出去只保留docker組。所以正確的追加方式應該是usermod -aG docker zhangsan。這個坑我踩過不止一次折騰完發(fā)現(xiàn)用戶突然不在sudo組里了排查半天才反應過來。刪除用戶用userdel常用參數(shù)是-r表示連同家目錄和郵件目錄一起刪除userdel -r zhangsan如果不帶-r用戶刪除后家目錄還會殘留時間長了會堆積很多沒主的垃圾文件。但反過來如果你有保留該用戶數(shù)據(jù)的需求就別帶-r。生產(chǎn)環(huán)境刪除用戶前一定要確認該用戶名下是否有系統(tǒng)服務或者計劃任務先檢查再刪除。3.4 實操注意事項UID、家目錄與Shell的坑用戶管理的坑主要來自幾個容易被忽略的地方。第一個是UID沖突。如果你手工指定UID比如useradd -u 1002 zhangsan但系統(tǒng)里已經(jīng)存在一個UID 1002的用戶系統(tǒng)會報錯。Linux識別用戶其實是靠UID不是靠用戶名。你在ls -l里看到文件所有者顯示成數(shù)字而不是用戶名大概率就是那個UID對應的用戶已經(jīng)不存在了。第二個是Shell問題。如果用戶被設(shè)置為/sbin/nologin或/bin/false他通過SSH登錄會直接被拒絕提示“This account is currently not available”。這通常用于那些只需要運行服務、不允許人登錄的系統(tǒng)賬戶。如果哪天你發(fā)現(xiàn)某個用戶登錄不了先用finger 用戶名或getent passwd 用戶名看一眼他的Shell。第三個是家目錄權(quán)限。創(chuàng)建用戶后家目錄的權(quán)限默認是700只有用戶自己能訪問。如果你希望組內(nèi)其他用戶能訪問比如共享目錄需要單獨調(diào)整。這是設(shè)計使然不是bug。我在搭測試環(huán)境時經(jīng)常要給多個用戶開放同一個工作目錄這時候就要用用戶組配合目錄權(quán)限來解決具體在第5章展開。4. 切換用戶su和sudo別再傻傻分不清4.1 su的基礎(chǔ)用法切換用戶與加載環(huán)境變量suswitch user是我們最常用的切換用戶命令。最基礎(chǔ)的用法su zhangsan # 切換到zhangsan但保留當前環(huán)境變量 su - zhangsan # 切換到zhangsan并模擬其完整登錄環(huán)境 su - # 直接切換到root并加載root環(huán)境有橫杠-和沒橫杠的區(qū)別非常關(guān)鍵新手經(jīng)常因為沒加橫杠導致環(huán)境變量混亂。例如你當前是root執(zhí)行su zhangsan后你雖然變成了zhangsan的身份但環(huán)境變量PATH、HOME可能還是root的這時候你敲echo $HOME會發(fā)現(xiàn)還是/root安裝或執(zhí)行某些依賴HOME路徑的程序就會出現(xiàn)詭異現(xiàn)象。而su - zhangsan會重新讀取zhangsan的登錄初始化文件PATH變成/usr/local/bin:/usr/bin:/bin這種普通用戶路徑HOME變成/home/zhangsan一切回到“zhangsan正常登錄”的樣子。所以在切換用戶時我強烈建議你習慣性帶上-。另外普通用戶執(zhí)行su切換到root時需要輸入root密碼而root切換到其他用戶不需要密碼。如果你明明知道root密碼卻提示認證失敗看一下是不是鍵盤布局或者大小寫問題我就遇到過密碼沒錯但NumLock沒開的尷尬。4.2 sudo的權(quán)限委派機制su的弊端很明顯普通用戶一旦知道root密碼就能以root身份干任何事這不是很好的權(quán)限管控方式。sudo的出現(xiàn)解決了這個問題普通用戶輸入自己的密碼獲得被授予的root權(quán)限而不是共享root密碼。sudo的配置在/etc/sudoers文件里強烈建議用visudo命令來編輯因為visudo會做語法檢查避免你寫錯配置后sudo直接不可用。一個常見配置是把用戶加入wheel組RedHat系或sudo組Debian系該組默認具備sudo權(quán)限。所以我們在添加用戶時如果希望它能執(zhí)行管理命令可以這樣操作usermod -aG wheel zhangsan # CentOS/RHEL usermod -aG sudo zhangsan # Ubuntu/Debian如果你需要更精細的權(quán)限可以在/etc/sudoers里指定zhangsan ALL(ALL) ALL這行含義是用戶zhangsan可以從任何主機登錄以任何用戶身份執(zhí)行任何命令。還有更精細的比如只允許重啟服務zhangsan ALL(ALL) /usr/bin/systemctl restart nginx這樣zhangsan只能執(zhí)行指定命令其他sudo命令一律拒絕。4.3 實操對比su - root vs sudo su很多教程會告訴你直接sudo su切到root但這個操作其實值得琢磨一下。sudo su的意思是先用sudo的權(quán)限執(zhí)行su因為sudo已經(jīng)把當前用戶臨時提升為root所以su不需要再輸入root密碼直接變成root。這種方式有沒有問題有。一是日志層面/var/log/secure里記錄的會變成當前用戶通過sudo執(zhí)行了su但后續(xù)所有操作仍然以root身份進行審計線索會被模糊掉。如果運維規(guī)范強調(diào)審計更推薦的做法是每一條管理命令都加sudo而不是一次性切到root亂搞。二是權(quán)限管控失效。如果所有普通用戶都能sudo su那sudo的精細授權(quán)就名存實亡了。所以好的習慣是少用sudo su盡量用sudo command直接執(zhí)行某條命令。如果需要持續(xù)操作就明確使用su - root并輸入root密碼至少在審計上是清晰的。我在實際工作中日常管理服務器都是用自己的普通賬號加上sudo執(zhí)行具體命令只有需要批量修改系統(tǒng)配置、安裝軟件包時才會su到root。這個習慣能幫你減少很多“誤操作把系統(tǒng)搞掛”的風險。5. 用戶組所有者、所在組和其他組5.1 用戶組的概念為什么要分組用戶組group就是把一堆用戶歸到一個集合里方便統(tǒng)一管理權(quán)限。Linux的權(quán)限模型里每個用戶必須屬于一個主組primary group同時可以屬于多個附加組supplementary groups。主組決定用戶創(chuàng)建文件時默認的組歸屬附加組決定用戶能訪問哪些額外權(quán)限資源。我們?yōu)槭裁葱枰脩艚M典型場景一個項目組有三個人要在服務器上共享一個目錄但又不希望其他用戶看到。如果逐個用戶給目錄授權(quán)權(quán)限會非常混亂。正確的做法是創(chuàng)建一個dev組把三個人加進去然后把共享目錄的所屬組改成dev目錄權(quán)限設(shè)置為770這樣只有dev組內(nèi)的用戶能讀、寫、執(zhí)行其他用戶一概不能訪問。用戶組信息保存在/etc/group文件里每個組一行格式是組名:密碼占位符:GID:組成員列表比如dev:x:1005:zhangsan,lisi,wangwu。組成員列表只包含附加組用戶不包含主組成員。5.2 關(guān)鍵命令groupadd、usermod -G、gpasswd創(chuàng)建用戶組用groupaddgroupadd dev如果需要指定GID加-g 2000。刪除組用groupdel但前提是該組不是任何用戶的主組。如果你刪一個正在使用的主組系統(tǒng)會報錯這是保護機制。把用戶加入組可以用usermod也可以用gpasswdusermod -aG dev zhangsan gpasswd -a zhangsan dev # 和上面等效把用戶移出組gpasswd -d zhangsan dev注意usermod -G不帶-a是覆蓋式修改前面第3章已經(jīng)提過這里再說一遍日常維護中除非你真的想清空用戶的附加組否則不要丟-a。另外一個隱藏知識點用戶加入新組之后如果當前已經(jīng)登錄組權(quán)限不會立即生效必須重新登錄或者使用newgrp命令激活。5.3 文件權(quán)限三元組中的所有者、所在組和其他組理解了用戶組才能看懂Linux文件權(quán)限的長列表。隨便找一個文件跑ls -l你會看到類似這樣的輸出-rw-r--r-- 1 root root 1234 Jan 15 10:00 test.txt權(quán)限位rw-r--r--共9個字符按3個一組劃分所有者user所在組group其他用戶other。所有者就是文件創(chuàng)建者所在組就是文件歸屬的用戶組其他組就是除前兩者之外的所有用戶。每個組有r讀、w寫、x執(zhí)行三個權(quán)限位。第5.1節(jié)的例子共享目錄權(quán)限770表示所有者和所在組都有rwx權(quán)限其他用戶什么都沒有0。修改文件所有者和所在組的命令是chown和chgrpchown zhangsan:dev test.txt # 修改所有者為zhangsan所在組為dev chgrp dev test.txt # 只修改所在組 chown :dev test.txt # 同上只修改所在組修改權(quán)限用chmod既可以用數(shù)字r4, w2, x1也可以用符號chmod 770 test.txt chmod urwx,grwx,o-rwx test.txt # 效果一樣5.4 實操示例創(chuàng)建組并分配用戶實現(xiàn)目錄隔離我在這里給你演示一個完整的操作流程這也是我在搭項目環(huán)境時常用的一個模板。假設(shè)我要在/data/project下建共享目錄讓dev組里的三個用戶可以訪問其他用戶禁止訪問。# 1. 創(chuàng)建用戶組 groupadd dev # 2. 創(chuàng)建三個用戶并加入dev組 useradd -m -s /bin/bash zhangsan useradd -m -s /bin/bash lisi useradd -m -s /bin/bash wangwu usermod -aG dev zhangsan usermod -aG dev lisi usermod -aG dev wangwu # 3. 創(chuàng)建共享目錄并設(shè)置屬組和權(quán)限 mkdir -p /data/project chown root:dev /data/project chmod 770 /data/project # 4. 驗證 ls -ld /data/project # drwxrwx--- 2 root dev 6 Jan 15 11:00 /data/project這樣設(shè)置后dev組三名成員都能在/data/project里創(chuàng)建和修改文件其他用戶連進入目錄的權(quán)限都沒有。但有個細節(jié)要注意默認情況下用戶在共享目錄里新建的文件用戶主組如果是dev新建文件的所在組就是dev如果用戶主組是zhangsan自己新建文件的所在組就是zhangsan而不是dev這樣組內(nèi)其他人就沒法改了。所以如果希望所有人在共享目錄里創(chuàng)建的文件都自動歸dev組需要設(shè)置目錄的setgid位chmod 2770 /data/project權(quán)限數(shù)字前多出來的2就是setgid位。設(shè)置后任何人在該目錄創(chuàng)建新文件文件的所在組自動繼承為dev組。這個細節(jié)非常實用也是很多運維面試喜歡考的隱藏點。6. 常見問題與排查技巧實錄6.1 用戶創(chuàng)建后無法登錄表現(xiàn)用戶用SSH登錄一直提示密碼錯誤或者密碼正確但連接被拒絕。排查步驟用getent passwd 用戶名確認用戶存在。用passwd -S 用戶名查看用戶狀態(tài)L開頭說明被鎖定了passwd -u解鎖。檢查/etc/shadow里密碼字段是否顯示為!或*是的話說明沒有正常設(shè)置密碼。檢查用戶Shell是否被設(shè)為/sbin/nologin如果是且確實需要登錄用usermod -s /bin/bash改回來。還有一個容易被忽略的SSH服務如果限制了AllowUsers就算系統(tǒng)賬號正常也登不進去檢查/etc/ssh/sshd_config里有沒有AllowUsers或AllowGroups配置。6.2 切換用戶后提示符沒有變化表現(xiàn)執(zhí)行su zhangsan后命令行提示符依然是之前的root或用戶名敲whoami卻顯示新用戶令人困惑。原因su不帶-不會切換環(huán)境變量PS1提示符變量也沒有被重新加載。解決辦法不是去改PS1而是切換時使用su - zhangsan。如果你確實想保留當前環(huán)境又想清晰看到身份可以手動執(zhí)行bash加載login shell配置但更好的選擇還是用su -。我見過很多新手在這上面糾結(jié)其實只要記住需要完整登錄環(huán)境就用帶橫杠的su只需要快速切換身份執(zhí)行命令就臨時用不帶橫杠的su然后命令執(zhí)行完exit回來。6.3 刪除用戶后文件歸屬顯示為數(shù)字UID表現(xiàn)刪除用戶后ls -l顯示文件所有者和所在組變成一串數(shù)字。原因系統(tǒng)只通過UID和GID來識別用戶和組刪除用戶后UID和GID在用戶數(shù)據(jù)庫里不存在了系統(tǒng)沒法反查名字只能顯示原始數(shù)字。如果這個文件還有保留價值可以把它的屬主改為現(xiàn)有用戶chown -R zhangsan:zhangsan /path/to/file如果文件確實不需要了直接刪除即可。這其實也是提醒我們刪除用戶前一定要先盤點它遺留的文件特別是/var/spool、/home和臨時目錄下的東西。6.4 用戶加入組后權(quán)限不生效表現(xiàn)執(zhí)行usermod -aG docker zhangsan后zhangsan已經(jīng)登錄但執(zhí)行docker命令還是提示權(quán)限不足。原因用戶會話在啟動時就已經(jīng)確定了Groups成員關(guān)系新加入的組需要重新登錄才能生效。解決辦法是退出當前會話重新登錄或者使用newgrp docker快速切換當前Shell的有效組。對于沒有安裝newgrp的環(huán)境直接重新SSH登錄即可。這個問題的本質(zhì)是內(nèi)核在創(chuàng)建進程時把附加組ID列表固化到了進程里不會動態(tài)更新。所以如果你在寫自動化腳本需要立即生效可以考慮用sg docker -c command來指定組執(zhí)行命令。6.5 誤刪了用戶組導致用戶狀態(tài)異常表現(xiàn)某個用戶報錯id: cannot find name for group ID 1002或者用戶組信息丟失。原因可能你刪除了某個用戶指定的主組。系統(tǒng)不會阻止這種行為但這個用戶的GID已經(jīng)指向不存在的組顯示時就會出現(xiàn)找不到組名的情況。修復方法先用id確認現(xiàn)有GID再創(chuàng)建一個新的組號為原GID的組或者直接修改用戶主組groupadd -g 1002 oldgroup usermod -g oldgroup username我更推薦后者邏輯清晰也不會引發(fā)文件歸屬混亂。如果用戶已經(jīng)有很多文件歸屬舊GID重新建組能讓這些文件的組歸屬恢復顯示。7. 幾個值得長期堅持的實操習慣最后分享幾個我在實際使用中慢慢養(yǎng)成的習慣這些不是命令手冊上會寫的但確實能幫你少走彎路。第一添加用戶永遠顯式指定-m -s /bin/bash這樣家目錄一定存在Shell一定可用不受發(fā)行版默認策略影響。如果你創(chuàng)建的是系統(tǒng)賬戶比如跑Nginx的賬戶那就用-r參數(shù)系統(tǒng)賬戶不建家目錄、不給交互Shell權(quán)限盡量最小。第二凡是修改用戶組的操作統(tǒng)一使用usermod -aG把“追加”寫進肌肉記憶。覆蓋式-G只有在你想重置用戶附加組時才用而且要格外小心。第三在生產(chǎn)環(huán)境操作前先備份關(guān)鍵配置文件尤其是/etc/passwd、/etc/shadow、/etc/group、/etc/sudoers。Linux用戶管理雖然靈活但一旦改錯輕則普通用戶登不進去重則root權(quán)限丟失。我通常在批量操作前執(zhí)行cp -p /etc/passwd /etc/passwd.bak.$(date %Y%m%d) cp -p /etc/shadow /etc/shadow.bak.$(date %Y%m%d) cp -p /etc/group /etc/group.bak.$(date %Y%m%d) cp -p /etc/sudoers /etc/sudoers.bak.$(date %Y%m%d)第四多練多試。用戶管理是Linux里最基礎(chǔ)也最核心的一塊你可以拿虛擬機反復折騰創(chuàng)建用戶、加組、改權(quán)限、刪用戶把每個命令的輸出仔仔細細看一遍。熟了之后后面學文件權(quán)限、進程權(quán)限、容器權(quán)限都會輕松很多。第五遇到權(quán)限相關(guān)的問題先看id輸出再看文件權(quán)限位最后看進程是什么身份啟動的。這個排查順序可以解決90%以上的“明明有權(quán)限但操作不了”的疑難雜癥。