1.基础知识

Linux作为一种多用户的操作系统(服务器系统)，允许多个用户同时登陆到系统上，并响应每个用户的请求。

任何需要使用操作系统的用户，都需要一个系统账号，账号分为：管理员账号与普通用户账号。

在Linux中，操作系统根据UID来判断用！根据UID来判断用户！ 而不是用户名！只要id为0就是管理员，哪怕有多个id为0 的账号

系统在新建账号时，会根据账号类型，自动分配递增账号的UID与GID (用户身份编号，组编号),也可自行分配。通常情况下，应当保证UID与GID唯一且不重复。

1.1 组的类别

在Linux中，每个用户必须有一个主组。当创建账号时，系统会自动创建一个同名组作为该账户的主组。用户必须属于一个且只有一个主组。用户可以属于零个或者多个附加组。

1.2 用户与组的配置文件

在Linux中，万物皆文件，所以用户与组也以配置文件的形式保存在系统中，以下为用户和组的主要配置文件详解：

- /etc/passwd：用户及其属性信息(名称、 UID、主组ID等)

- /etc/group：组及其属性信息

- /etc/shadow：用户密码及其相关属性

- /etc/gshadow：组密码及其相关属性

passwd文件格式如下图:

依次含义为：

登录用户名

密码

UID

GID

全名或注释

用户主目录

用户默认使用shell

group文件格式如下图:

依次含义为：

群组名称

群组密码(通常不需要设定，密码被记录在/etc/gshadow)

GID：群组ID

附加组(以，来分割，该账户没有附加组所以为空)

shadow文件格式如下图:

依次含义为:

登录用户名

密码(通常使用shad512加密)

从1970年1月1日起计算到现在为止密码最近一次被更改的时间

密码再过几天就可以被修改(0表示随时可改)

密码几天后必须变更(99999表示永不过期)

密码过期前多久提示用户

密码过期多久后账户将被锁定

多少天后账户将失效(从1970-1-1算起)

gshadow文件格式如下图：

依次含义为:

群组名称

群组密码

组管理员列表

当前用户的附加组

2.用户账号管理

在Linux，管理员在默认情况下为root账户，UID=0。普通用户UID默认范围为1-65535。在centos 6中，新建用户，默认系统用户的UID范围为1-499。普通用户为500+。在centos 7中，系统用户范围为1-999。普通用户为1000+。对系统的操作权限由用户决定。

通常对用户账号的操作分为添加，修改，删除。

2.1 添加账户

通过：useradd命令，来添加用户语法如下：

useradd [opentions] login

参数说明：

-u UID 自定义UID (默认系统递增)

-o 配合-u 选项，不检查UID的唯一性(不建议)

-g GID：指明用户所属基本组，可为组名，也可以GID

-c comment 指定一段注释性描述。

-d 目录 指定用户主目录，如果此目录不存在，则同时使用-m选项，可以创建主目录。

-g 用户组 指定用户所属的用户组。

-G 用户组，用户组 指定用户所属的附加组。

-s Shell文件 指定用户的登录Shell。

-u 用户号 指定用户的用户号，如果同时有-o选项，则可以重复使用其他用户的标识号。

实例1

# useradd –d /usr/ddz ddz

创建了一个用户ddz，并将他的家目录设置到/user/ddz

实例2

# useradd -s /sbin/bash -g root –G mage,wang ddz

此命令新建了一个用户ddz，设置该用户使用的shell为/sbin/bash,设置他的主组属于group用户组，设置附加组为mage和wang。(当设置组时，要保证组已经存在，否则请先创建该组)

小技巧:

增加用户账号就是在/etc/passwd文件中为新用户增加一条记录，同时系统会自动更新其他系统文件如/etc/shadow, /etc/group等。

通常情况创建账户，账户ID会按照最大的值递增，但是递增的值必须在最大范围内。

在部署软件时，通常会需要使用账户，所以需要指定UID，来部署所有的账号都用同一个UID，来方便管理。

newusers [passwd格式文件] 用于批量创建账户,只需要每一列账户信息格式，按照passwd中书写，之后上传到Linux中替换即可。

chpasswd 批量修改用户口令。将文件格式写为：user:passwd 。每行一个，之后倒入linux即可。

创建账户的默认值设定位于： /etc/default/useradd文件中，该文件记录了创建用户账户时的默认信息，可通过修改该文件来修改创建账户时的信息。

2.2 删除帐号

如果一个用户的账号不再使用，可以从系统中删除。删除用户账号就是要将/etc/passwd等系统文件中的该用户记录删除，必要时还删除用户的主目录。

通常在运维工作中，一般使用让账号失效，果然修改账户名的方式，来便捷的操作账号。

删除一个已有的用户账号使用userdel命令，其格式如下：

userdel 选项 用户名

常用的选项是 -r，它的作用是把用户的主目录一起删除。

例如：

# userdel -r sam

此命令删除用户sam在系统文件中(主要是/etc/passwd, /etc/shadow, /etc/group等)的记录，同时删除用户的主目录。

删除账号需要该账户没有人在使用，才能删除成功。请使用命令删除，不要去手动改文件。

2.3 修改帐号

修改用户账号就是根据实际情况更改用户的有关属性，如用户号、主目录、用户组、登录Shell等。

修改已有用户的信息使用usermod命令，其格式如下：

usermod 选项 用户名

常用的选项包括-c, -d, -m, -g, -G, -s, -u以及-o等，这些选项的意义与useradd命令中的选项一样，可以为用户指定新的资源值。

另外，有些系统可以使用选项：-l 新用户名

这个选项指定一个新的账号，即将原来的用户名改为新的用户名。

例如：

# usermod -s /bin/ksh -d /home/z –g developer sam

此命令将用户sam的登录Shell修改为ksh，主目录改为/home/z，用户组改为developer。

2.4 查询账号口令

id [opentions] [User]

相关参数:

-u:显示UID

-g:显示GID

-G:显示用户所属的组ID

-n:显示名称

2.5 用户口令的管理

用户管理的一项重要内容是用户口令的管理。用户账号刚创建时没有口令，但是被系统锁定，无法使用(在passwd文件中，密码列显示为！！或者！表示用户被锁定，是无法登陆的)，必须为其指定口令后才可以使用，即使是指定空口令。

指定和修改用户口令的Shell命令是passwd。超级用户可以为自己和其他用户指定口令，普通用户只能用它修改自己的口令。命令的格式为：

passwd 选项 用户名

可使用的选项：

-l 锁定口令，即禁用账号。

-u 口令解锁。

-d 使账号无口令。

-f 强迫用户下次登录时修改口令。

如果默认用户名，则修改当前用户的口令。

例如，假设当前用户是sam，则下面的命令修改该用户自己的口令：

$ passwd

Old password:******

New password:*******

Re-enter new password:*******

如果是超级用户，可以用下列形式指定任何用户的口令：

# passwd sam

New password:*******

Re-enter new password:*******

普通用户修改自己的口令时，passwd命令会先询问原口令，验证后再要求用户输入两遍新口令，如果两次输入的口令一致，则将这个口令指定给用户；而超级用户为用户指定口令时，就不需要知道原口令。

为了系统安全起见，用户应该选择比较复杂的口令，例如最好使用8位长的口令，口令中包含有大写、小写字母和数字，并且应该与姓名、生日等不相同。

为用户指定空口令时，执行下列形式的命令：

# passwd -d sam

此命令将用户sam的口令删除，这样用户sam下一次登录时，系统就不再询问口令。

passwd命令还可以用-l(lock)选项锁定某一用户，使其不能登录，例如：

# passwd -l sam

利用组来简化授权操作，当对整个组授权时，整个组下的账号权限都会进行修改

其他 : 用户相关的其他指令

chfn [USER] 修改用户的备注文档

chsh [Shell] 修改用户的指定shell

3.用户组

3.用户组的管理

每个用户都有一个用户组，系统可以对一个用户组中的所有用户进行集中管理。不同Linux 系统对用户组的规定有所不同，如Linux下的用户属于与它同名的用户组，这个用户组在创建用户时同时创建。

用户组的管理涉及用户组的添加、删除和修改。组的增加、删除和修改实际上就是对/etc/group文件的更新。

3.1增加组

1、增加一个新的用户组使用groupadd命令。其格式如下：

groupadd 选项 用户组

可以使用的选项有：

-g GID 指定新用户组的组标识号(GID)。

-o 一般与-g选项同时使用，表示新用户组的GID可以与系统已有用户组的GID相同。

-r 创建系统组

实例1：

# groupadd group1

此命令向系统中增加了一个新组group1，新组的组标识号是在当前已有的最大组标识号的基础上加1。

实例2：

# groupadd -g 101 group2

此命令向系统中增加了一个新组group2，同时指定新组的组标识号是101。

3.2 删除组

2、如果要删除一个已有的用户组，使用groupdel命令，其格式如下：

groupdel 用户组

例如：

# groupdel group1

此命令从系统中删除组group1。要想删除组，要确保该组不是主组，才能把这个组删掉。

3.3 修改组

3、修改用户组的属性使用groupmod命令。其语法如下：

groupmod 选项 用户组

常用的选项有：

-g GID 为用户组指定新的组标识号。

-o 与-g选项同时使用，用户组的新GID可以与系统已有用户组的GID相同。

-n新用户组 将用户组的名字改为新名字

实例1：

# groupmod -g 102 group2

此命令将组group2的组标识号修改为102。

实例2：

# groupmod –g 10000 -n group3 group2

此命令将组group2的标识号改为10000，组名修改为group3。

3.4 切换组(临时切换主组)

4、如果一个用户同时属于多个用户组，那么用户可以在用户组之间切换，以便具有其他用户组的权限。

用户可以在登录后，使用命令newgrp切换到其他用户组，这个命令的参数就是目的用户组。例如：

$ newgrp root

这条命令将当前用户切换到root用户组，前提条件是root用户组确实是该用户的主组或附加组。类似于用户账号的管理，用户组的管理也可以通过集成的系统管理工具来完成。

3.5 更改查看组成员

5 、可以通过以下命令，来更改和查看组中的成员

#groupmems [opentions] [action]

参数如下:

-g 更改为指定组(只有root可以使用)

-a 指定用户加入组

-d 从组中删除该用户

-p 从组中清楚所有成员

-l 显示组成员列表

实例1

$groupmems -l -g root

此命令表示查看root组中存在的成员。

实例2

$groupmems -a Father -g root

此命令表示将Father用户加入root组中。

小技巧:

一个用户可以加入不同的组，但是有且只有一个主组。

一个用户的权限为他所属的多个组的累加权限 。假设user账户附加组group1 = write group2 = read ，那么user就拥有 write + read权限。

组和用户的关系是多对多 一个用户可以有多个组，一个组也可以有多个用户。

在windows中，只有管理员才允许对用户组进行操作，但在Linux中，只要有组的口令，就可以让账号进入组。

root组的权限与普通组权限大致相同！！账号并不是加入root组就能获得用户权限！