本节书摘来自异步社区《I'm a Mac：雄狮训练手册》一书中的第2章，第2.3节，作者：郭涛著，更多章节内容可以访问云栖社区“异步社区”公众号查看

2.3　账户类型

I'm a Mac：雄狮训练手册
用户的社会属性并不决定它的计算机角色，虽然这个世界上有成千上万的Mac用户，形形色色，但是Mac认不过来，它才不管你是美国总统还是平头百姓。用户是指人，账户是指OS分配给用户的系统角色。

Mac下的账户类型有五种：超级用户（Super User），管理员，普通用户，客人用户和仅限共享。

2.3.1 超级用户
超级用户也叫root用户，享有对计算机的绝对控制权限，可以任意删除和移动任何文件，所以Mac默认不启用。因为权力太大。当一个人的权力大到无法估计的时候就要限制他使用这种权力，因为不可控。超级用户只有一个，而且还被Mac限制使用。

Mac下唯一的超级用户就是root，也叫超级管理员、系统管理员（System Administrator）。是Mac中的特殊账户，拥有至高无上的权力，对系统的所有区域都有读写权限，可以进入任何目录，编辑和删除任何文件，践踏一切权利。当你用root账户登录的时候，你会发现这是一个超级恐怖的家伙，所有你平时需要用“前往文件夹”才能看到的隐藏文件，在root下都一览无余。

在Mac中的root账户默认不可用的。因为权力越大，危险越大，破坏性就越大。当把所有的权力都放在一个人身上的时候，这个人就非常危险。一个错误的操作就可能导致系统崩溃，比如重命名一个系统文件，错误地删除一个系统文件，就可能导致整个系统不能正常运行。

root很强大，可是被关在笼中，默认不可用，就像一头笼中之狮，不用担心。但是权力不能不用，又不能常用，怎么办呢？限制使用。有时候需要使用这种权力，那么如果要使用，请慎用。

而且Mac告诉你“如果你启用root账户，请务必使用安全密码。”不给root设置密码和设置安全的密码将是一件非常危险的事情。而且Mac建议“应该只在执行特殊的管理或监控任务时才使用root用户。在使用root用户完成任务后，请注销Mac，然后使用普通账户重新登录。要确保电脑的安全和稳定，在不使用root用户时请停用它。”请相信苹果说的话。

1．开启超级用户
超级用户就是Mac里的上帝，打开root，也就相当于进入“上帝模式”，因为万能所以危险。Mac默认把“上帝”关在伊甸园的某个角落里，要使用它先要打开它，而且使用完之后，请将它放回原处。

在Mac中root默认是禁用的，所谓禁用是指系统将root密码设定为一个随机值，它存在，但是没有人知道。所以无法使用。

其实在Mac中可以临时使用root权限，比如终端命令sudo（Super User do）就是临时性使用root权限，执行root操作。Mac允许在root禁用的情况下以管理员账户临时行使root权限，以root账户的身份一次执行一个命令。因为sudo就是超级用户命令，意思是Super User do。只不过使用sudo临时性使用root权限不需要使用密码，或者说系统自动填补随机密码供用户使用，但是你还是不知道密码。所以开启root用户的实质就是给root分配一个固定密码。

root就像是一个笼中之狮，今天我们就把它放出来。

开启超级用户有多种方法，下面列举四种。

（1）打开“终端”（Launchpad/实用工具/终端），输入

sudo passwd root

按return执行。然后输入管理员密码，之后根据提示输入两次超级用户的密码，每次输入完成之后按return确认。

注：① sudo本身就是一个超级命令，意思是Super User do，sudo passwd root的意思就是使用sudo为root设置密码，同样你也可以用sudo passwd用户名为本机的任何用户设置密码，比如sudo passwd guo，就是为用户guo重新设置密码。

② 使用sudo命令，必须以管理员身份登录。如果你最近没有使用sudo，系统会提示你输入管理员密码。

③ 在终端中输入密码不会有任何显示，甚至也不会以*号显示，你只需要输入即可，不用担心没有输入。

④ return是终端中的确认键。每次输入完密码或者命令之后按return确认或者执行，以后不再说明。

（2）打开“终端”，输入

dsenableroot

按return执行。终端会显示当前账户名称，并提示输入当前账户密码（注：当前账户必须是管理员账户，确保当前账户是管理员账户，并输入密码），输入密码按return确认，然后输入root密码并确认。

注：① dsenableroot的意思是disable or enable root，意思是开启和禁用root。在后面加上一个-d意思就是disable、不可用，禁用。没有就是表示开启，所以dsenableroot的意思就是开启root，dsenableroot -d就是停用root。

② 在终端中输入？就是查看这个命令的帮助，输入disenableroot？按return就可以查看到dsenableroot的帮助。

（3）通过“用户与群组”偏好设置开启。

① 打开“用户与群组”偏好设置，点击“登录选项→加入...”。如图2-25所示。

② 在弹出的窗口中点击“打开目录实用工具...”，如图2-26所示。

③ 点击弹出的目录实用工具窗口左下角的锁形标志输入管理员密码解锁。

④ 点击目录实用工具菜单“编辑→启用Root用户”，如图2-27所示。（“更改Root密码”和“停用Root账户”也在这里。）

⑤ 在弹出的窗口中输入root用户密码，点击“好”。即可启用root账户。

注：停用root账户和更改root账户密码也是通过这里设置，点击目录实用工具菜单“编辑→停用Root账户”即可停用root账户，点击目录实用工具菜单“编辑→更改Root密码...”即可更改root账户密码。

（4）直接通过目录实用工具启用：用“登录选项→加入→打开目录实用工具”开启Root用户的实质作用只是作为进入目录实用工具的一个途径，真正开启Root用户的是目录实用工具（位于“/System/ Library/CoreServices”目录下）。既然如此就可以直接打开目录实用工具开启Root账户。

进入“/System/Library/CoreServices”，双击“目录实用工具”，点击“目录实用工具”左下角的锁形标志解锁，点击菜单“编辑→启用Root账户”即可。

2．禁用超级用户
Root账户只宜临时使用，不宜长期使用，而且一般情况下也没有用。使用完成之后就要物归原处。禁用Root用户的方法有两种。

（1）打开“终端”输入

dsenableroot -d

按return执行。此时会显示当前用户名称，确保当前用户是管理员用户，并输入管理员密码按return确认，此时就会停用root账户。

（2）打开“目录实用工具”（可以通过“/System/Library/CoreServices/目录实用工具”打开，也可以通过“系统偏好设置→用户与群组→登录选项→加入→打开目录实用工具”打开），点击左下角的锁形图标输入管理员密码解锁，点击菜单“编辑→停用Root账户”。

3．以root账户登录
以root账户登录必须输入用户名，即便采用“用户列表”显示登录窗口，root用户也只是显示为“其他...”，点击之后还是要输入用户名和密码。超级用户的名称有两个，一个是root，一个是System Administrator，root是账户名称，System Administrator是全名，都可以作为超级用户登录系统的账户名称，不区分大小写。

2.3.2 管理员
一般情况下，不需要“上帝”，只需要管理员。

root默认不可用，电脑又需要管理，所以这个责任自然就落在了管理员的身上。默认Mac第一次开机通过创建的账户就是管理员账户，所以这个账户自然就承担了管理的角色，成了系统中唯一的管理员。

root只有一个，但管理员可以有多个，你可以在电脑上创建多个管理员账户，也可以在以后将一个普通用户提升为管理员或者将一个管理员降级为标准用户。当然，前提是你是管理员。

只有管理员才有权创建和管理账户、更改电脑的设置和为电脑安装程序，普通用户无权操作。

管理员拥有充分的权限，但是不能影响系统的正常运行和系统的规则，比如用户之间的独立性和私享性。所以管理员无权查看系统的关键文件和其他用户除“公共”（Public）之外的文件夹，因为每个用户的主目录有它的私有性，即便这个用户是管理员添加的。你可以删除这个用户但是无权在该用户的目录下查看用户的私有文件（但是你可以通过更改文件夹权限或者把它拖到你的个人目录下查看）。

总之，Mac下有严格的权限管理，保证用户之间的私享性和共享性。

添加账户时，可以通过设定账户类型将一个账户设置为管理员，也可以将一个管理员降级为标准用户，或者将一个标准用户升级为管理员。只要点击该账户，然后选中或者取消选中“允许该用户管理这台电脑”。

2.3.3 普通账户
普通用户虽然也有“房子”（个人主目录），但是相比管理员，权力大大缩水，因为没有管理权。每个普通账户都有自己的主目录和账户名称。但只能使用一些基本工具和修改与自己账号有关的偏好设置，不能修改系统的设置，比如安全、日期与时间、网络偏好设置等等。如果使用这些给你就必须提供管理员权限，输入管理员账号和密码。

可以在添加账户时，通过将账户类型设为普通成员添加普通账户。

2.3.4 客人账户
客人账户就像是一个临时帐篷，用完即拆，不需要密码，任何人都可以进入。

客人账户是系统自带的一个临时登录的账户，不可删除，没有密码，任何人都可以进入，永远是一个神秘人的标志，因为你不知道登录到你系统的客人将会是谁。

客人的账户名称就是Guest，没有密码，如果启用。如果登录界面设置为“用户列表”模式，直接点击“客人账户”就可以进入系统。如果登录界面显示为“名称和密码”方式，直接输入guest，按return即可进入。

Guest账户一般用于临时访问，比如朋友要临时使用你的电脑处理文件、上网发邮件，你又不希望他看到你的文件信息，就可以用Guest账户。

当客人账户注销、关机，或者重启时，其个人文件夹中的所有文件和信息都将被删除，所以记录都将被清空。这是一个系统行为。当注销、关机、重启客人账户时，系统会提示“如果您注销，您的文件将被删除”。

1．启用和停用客人账户
客人账户是系统自带的一个账户，不需要用户创建，也无法由用户删除，只能启用或停用。

打开“用户与群组”偏好设置，解锁，点击“客人账户”，选中“允许客人登录到这台电脑”就可以启用客人账户，取消选中就可以停用客人账户。如果允许以客人身份访问共享的文件夹，请选中“允许客人连接到共享文件夹”，如图2-28所示。

通过账户列表中的“客人账户”名称下方的状态就可以知道客人账户的状态，比如是仅登录、共享还是已停用或者仅限共享。

2．客人账户的名称
客人账户的登录名称是“客人账户”和“guest”，客人账户是全名，guest是账户名称，不区分大小写，两者都可以用于客人账户登录的账户名。

如果用户登录界面是用户列表模式，直接点击“客人账户”就可以进入。如果是名称和密码显示方式，在名称栏输入“客人账户”或者“guest”按return就可以进入。

2.3.5 共享账户
共享账户应该是Mac中最没有地位的账户，因为它连临时帐篷都没有，连系统都不能进入，只能站在大街上。

这类用户没有自己的主目录，不能用来登录系统，只能用来访问“共享”。右键点击这类账户，选“高级选项”，就会发现它们的个人目录是/dev/null，意思是没有主目录。而且也能看到它的登录shell和别的账户不同。

“共享”账户虽然地位不高，但是极其有用，而且可以设置密码。所以这样一个账户就可以用来提供给别人访问你电脑的“共享”，不用担心对你的电脑安全造成影响。

在添加账户时，可以将账户类型选为“仅限共享”从而添加一个共享账户。

这几个用户简单来看，管理员有权有房子，普通用户有房子，客人账户有帐篷，共享账户只能站大街。但这一切其实都是root的。

2.3.6 系统账户
系统账户是维持系统运行的账户，处于底层，一般不受关注，可是极其重要，一旦它们出问题，那就是大问题。因为它们是系统运行的重要支柱。

打开“活动监视器”（Launchpad/实用工具/活动监视器），点击进程选项框选“所有进程”，点击“用户”就可以按照用户排列看到Mac运行时的所有用户，其中前面带的都是系统账户，这种账户都有一个共同特点，就是姓“”，如图2-29所示。系统账户也有自己的主目录，但不在/Users目录下。如果你发现某个文件夹或者文件资源的所有者是一个你不认识的姓“_”的账户，那么这个资源就是这个系统账户的。

2.3.7 查看本机账户和账户类型
如果只有一个账户，那就没有什么查看，如果有多个账户，要查看本机下都有哪些账户，有四种方法。

（1）通过登录界面查看：如果“自动登录”为关，并且设为“用户列表”显示方式，那么通过用户登录界面就可以看到本机的所有用户。

（2）通过“/用户”目录查看：“/用户”目录下都是一些有“主权”的账户，也就是有用户主目录的账户，比如管理员和普通用户，“客人”账户和“共享”账户不会显示在这里。因为“客人”账户没有主权，其个人主目录是临时分配的一张暂住证，不是身份证，一旦离开个人主目录将被彻底清空，不复存在。而“共享”账户就更加可怜，没有户口，是个睡大街的，系统都进不了，个人主目录都没有，也就无法出现在“/用户”目录中。

注：“/用户”目录下的“共享”不是某个“共享”账户的主目录，也并不是说系统中有一个“共享”账户，而是Mac提供的一个用于用户之间文件共享的方法，任何用户都可以读写该目录，将文件放在这个目录以供其他用户访问。

（3）通过快速切换查看：如果设置了快速切换，可以点击菜单栏上的快速切换菜单来查看本机上的所有用户，如图2-30所示。其中图标左侧有图片 39表示登录账户，图标和名称为灰色表示当前账户。

（4）通过“用户与群组”偏好设置查看：打开“用户与群组”偏好设置，通过“账户列表”就可以看到本机上的所有账户和账户信息（包括账户名称、账户类型、账户状态、账户图片等），如图2-31所示，其中账户图片上有图片 40和账户名称是灰色的表示已登录账户。

2.3.8 更改账户类型
就像职位升迁和人事任免一样，可以把一个普通用户升级为管理员，也可以把一个管理员降级为普通用户。前提是你必须首先要有对这台电脑的管理权，也就是说必须是管理员。只有管理员有权更改账户类型，并且至少要保证电脑中有一个管理员账户。

普通用户和管理员的区别就在于是否“允许用户管理这台电脑”。

打开“用户与群组”偏好设置，解锁，点击任一账户，选中“允许用户管理这台电脑”就是管理员，没有选中就是普通用户，如图2-32所示。有时候人与人之间的差别就是这么一点。

你也可以把自己降级为“标准”用户，前提是你的电脑中必须有一个管理员用户，否则，大家都是普通用户，谁来做管理。如果这台电脑只有一个管理员用户，首先你要提升一个管理员用户，然后才可以将自己降级为普通用户，否则该选项是灰色的，无法操作。

2.3.9 添加账户
账户是用户登录系统的凭证，是系统分配给用户的系统身份。

打开“用户与群组”偏好设置，解锁，点击“账户列表”下方的“加号”按钮添加账户，如图2-33所示。

在弹出的添加账户的窗口中，设置账户类型、全名、账户名称、密码、密码提示，点击“创建账户”即可创建一个新账户，全名可以任意输入，账户名称默认是全名的英文表示，如果全名是中文，账户名称默认是全名的汉语拼音。如图2-34所示。

Mac会随机为账户选择一个用户图片（点击该图片即可更改用户图片），并在“/用户”目录下创建一个以账户名称命名的文件夹，这就是用户主目录，私人空间，用户所有的工作都在该目录下开展。

2.3.10 删除账户
打开“用户与群组”偏好设置，解锁，点击要删除的账户，点击“账户列表”下方的“减号”按钮，在弹出的删除账户的对话框中选择操作方式。如图2-35所示。

删除账户有三个选项。

（1）在磁盘映像中存储个人文件夹：删除用户账户，但用户个人文件夹以dmg形式存放在“/用户/已删除的用户”文件夹下，dmg的名称就是该删除账户的账户名称，双击该文件就可打开该删除用户的个人主目录。

（2）不更改个人文件夹：删除账户，但用户个人文件夹依然保留在“/用户”目录下，可以手动删除。

（3）删除个人文件夹：同时删除账户和用户个人文件夹。

注：（1）客人账户无法删除，只能停用，因为客人账户不是用户创建的，是系统自带的。

（2）直接进入“/用户”目录，选定要删除的用户文件夹，按command-delete或者直接拖到废纸篓中，然后选择清倒废纸篓。这样只能删除用户主目录而无法删除账户，账户仍然保留在“账户”和登录界面中，下次登录时，将重建用户文件夹。

2.3.11 创建和删除组别
账户是用户登录系统的凭证，是系统分配给用户的系统身份。组别用于对用户进行分类以便于管理，比如可以创建一个管理员组将所有的管理员放于该组中，创建一个普通组将所有的普通用户归于改组下，创建一个家庭组包含所有的家庭成员等等。添加账户和添加组别相同，只需要将新账户选为“组别”就可以。具体方式是：打开“用户与群组”偏好设置，解锁，点击账户列表下方的“加号”按钮，在添加账户窗口中点击“新账户”选项框选“群组”，然后输入群组名称，点击“创建群组”即可，如图2-36所示。

创建的群组将添加在账户列表的“群组”分栏中，点击“群组”，即可重新设置群组名称和添加群组成员；右键点击群组可以查看群组“高级选项”和“添加用户或群组...”。要删除组别，只需要点击组别，点击账户列表下方的减号即可。

注：组别名称不能使用admin、staff、guest等组名，因为这些是系统默认包含的组别。在添加组别是系统会提示“名称已被另一个用户使用”。在更改组别名时会提示该名称不可用。