linux用户与用户组管理
 
测试环境：redhat 6.3
 
用户（User）和用户组（Group）的配置文件，是系统管理员最应该了解和掌握的系统基础文件之一。
从另一方面来说，了解这些文件也是系统安全管理的重要组成部份。做为一个合格的系统管理员应该对用户和用户组配置文件透彻了解才行。
 
一．用户（User）相关

liux用户管理，linux用户配置文件，以及用户查询和管理的控制工具。
用户管理主要通过修改用户配置文件完成；用户管理控制工具最终目的也是为了修改用户配置文件。
 
什么是用户查询和管理控制工具呢？
 
用户查询和控制工具是查询、添加、修改和删除用户等系统管理工具。比如查询用户的id和finger命令，添加用户的useradd 或adduser 、userdel 用户的删除、设置密码的passwd命令 、修改用户usermod 等等。
 
通过用户查询和控制工具所进行的动作的最终目的也是修改用户配置文件。
所以进行用户管理的时候，直接修改用户配置文件一样可以达到用户管理的目的。

通过上面的解说，大家已感觉到用户（User）配置文件的重要性。
 
1.1  关于/etc/passwd和 UID
/etc/passwd 是系统识别用户的一个文件，做个不恰当的比喻，/etc/passwd 是一个花名册，系统所有的用户都在这里有登录记载。
 

当以dave 这个账号登录时，系统首先会查阅 /etc/passwd 文件，看是否有dave 这个账号，然后确定dave的UID，通过UID 来确认用户和身份，如果存在则读取/etc/shadow 影子文件中所对应的dave的密码；如果密码核实无误则登录系统，读取用户的配置文件。
 

1.1.1 /etc/passwd 的内容理解
 
在/etc/passwd 中，每一行都表示的是一个用户的信息；一行有7个段位；每个段位用:号分割。 如下：
 

第一字段：用户名（也被称为登录名）；
第二字段：口令；在例子中看到的是一个x，其实密码已被映射到/etc/shadow 文件中；
第三字段：UID ；请参看本文的UID的解说；
第四字段：GID；请参看本文的GID的解说；
第五字段：用户名全称，这是可选的，可以不设置，在oprofile这个用户中，用户的全称是Special user account to be used by OProfile；而其他用户没有设置全称；
第六字段：用户的家目录所在位置；oracle 这个用户是/home/oracle
第七字段：用户所用SHELL 的类型，oracle用户用的是 bash ；所以设置为/bin/bash ；
 
1.1.2 关于UID 的理解
UID 是用户的ID 值，在系统中每个用户的UID的值是唯一的。更确切的说每个用户都要对应一个唯一的UID ，系统管理员应该确保这一规则。系统用户的UID的值从0开始，是一个正整数，至于最大值可以在/etc/login.defs 可以查到，一般Linux发行版约定为60000。
 

在Linux 中，root的UID是0，拥有系统最高权限。 UID 在系统中具有唯一特性，做为系统管理员应该确保这一标准，UID 的唯一性关系到系统的安全，应该值得关注！
 
比如我在/etc/passwd 中把dave的UID 改为0后，你设想会发生什么呢？dave这个用户会被确认为root用户。dave这个帐号可以进行所有root的操作。
 

UID 是确认用户权限的标识，用户登录系统所处的角色是通过UID 来实现的，而非用户名，切记；把几个用户共用一个UID 是危险的，比如上面所谈到的，把普通用户的UID 改为0，和root共用一个UID ，这事实上就造成了系统管理权限的混乱。如果想用root权限，可以通过su或sudo来实现；切不可随意让一个用户和root分享同一个UID 。
 
UID是唯一性，只是要求管理员所做的，其实修改/etc/passwd 文件，可以修改任何用户的UID的值为0，一般情况下，每个Linux的发行版都会预留一定的UID和GID给系统虚拟用户占用，虚拟用户一般是系统安装时就有的，是为了完成系统任务所必须的用户，但虚拟用户是不能登录系统的，比如ftp、nobody、adm、rpm、bin、shutdown等；
 
linux系统会把前499 个UID和GID 预留出来，添加新用户时的UID 从500开始的，GID也是从500开始。
 
有的系统可能会有出入，具体预留多少，可以查看/etc/login.defs文件中的 UID_MIN 的最小值； 这里UID_MIN是500，而UID_MAX 值为60000，也就是说通过adduser默认添加的用户的UID的值是500到60000之间；
 
通过adduser不指定UID来添加用户，每次添加都会从用户手工添加用户的UID和GID的最大值往上增加1。
 

1.2  关于/etc/shadow
 
1.2.1 /etc/shadow 概说
/etc/shadow文件是/etc/passwd 的影子文件，这个文件并不由/etc/passwd 而产生的，这两个文件是应该是对应互补的；shadow内容包括用户及被加密的密码以及其它/etc/passwd 不能包括的信息，比如用户的有效期限等；这个文件只有root权限可以读取和操作，权限如下：
 

/etc/shadow 的权限不能随便改为其它用户可读，这样做是危险的。如果您发现这个文件的权限变成了其它用户组或用户可读了，要进行检查，以防系统安全问题的发生；
 
如果以普通用户查看这个文件时，应该什么也查看不到，提示是权限不够：
 

1.2.2 /etc/shadow 的内容分析
 
/etc/shadow 文件的内容包括9个段位，每个段位之间用:号分割；如下：
 
从/etc/shadow文件中取了如下内容：
 

第一字段：用户名（也被称为登录名），在/etc/shadow中，用户名和/etc/passwd 是相同的，这样就把passwd 和shadow中用的用户记录联系在一起；这个字段是非空的；
 
第二字段：密码（已被加密），这里有4种值，*，！ 和！！，还有就是加密后的密码。这个字段是非空的；
 

第三字段：上次修改口令的时间；这个时间是从1970年01月01日算起到最近一次修改口令的时间间隔（天数），可以通过passwd 来修改用户的密码，然后查看/etc/shadow中此字段的变化；
 
第四字段：两次修改口令间隔最少的天数；如果设置为0,则禁用此功能；也就是说用户必须经过多少天才能修改其口令；此项功能用处不是太大；默认值是通过/etc/login.defs文件定义中获取，PASS_MIN_DAYS 中有定义；
 
第五字段：两次修改口令间隔最多的天数；这个能增强管理员管理用户口令的时效性，应该说在增强了系统的安全性；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_MAX_DAYS 中定义；
 
第六字段：提前多少天警告用户口令将过期；当用户登录系统后，系统登录程序提醒用户口令将要作废；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_WARN_AGE 中定义；
 
第七字段：在口令过期之后多少天禁用此用户；此字段表示用户口令作废多少天后，系统会禁用此用户，也就是说系统会不能再让此用户登录，也不会提示用户过期，是完全禁用；
 
第八字段：用户过期日期；此字段指定了用户作废的天数（从1970年的1月1日开始的天数），如果这个字段的值为空，帐号永久可用；
 
第九字段：保留字段，目前为空，以备将来Linux发展之用；如果更为详细的，请用 man shadow来查看帮助，您会得到更为详尽的资料；
 
看具体的分析：
 

第一字段：用户名，root
第二字段：被加密的密码
 
第三字段：表示上次更改口令的天数（距1970年01月01日），在例子中root用户更改密码的时间距1970年01月01日的天数为15566；
 
估算一下今天到1970年1月1号的时间差：
 

相差15804天。基本和里面的值差不多。
 
用passwd命令重置一下root用户的密码：
 

这里显示的15801天，和上面估算的就很接近了。
 
第四字段：禁用两次口令修改之间最小天数的功能，设置为0
 
第五字段：两次修改口令间隔最多的天数，在例子中都是99999天；这个值如果在添加用户时没有指定的话，是通过/etc/login.defs来获取默认值，PASS_MAX_DAYS 99999；可以查看/etc/login.defs来查看具体的值；
 
第六字段：提前多少天警告用户口令将过期；当用户登录系统后，系统登录程序提醒用户口令将要作废；如果是系统默认值，是在添加用户时由/etc /login.defs文件定义中获取，在PASS_WARN_AGE 中定义；在例子中的值是7 ，表示在用户口令将过期的前7天警告用户更改期口令；
 
第七字段：在口令过期之后多少天禁用此用户；此字段表示用户口令作废多少天后，系统会禁用此用户，也就是说系统会不能再让此用户登录，也不会提示用户过期，是完全禁用；在例子中，此字段两个用户的都是空的，表示禁用这个功能；
 
第八字段：用户过期日期；此字段指定了用户作废的天数（从1970年的1月1日开始的天数），如果这个字段的值为空，帐号永久可用；在例子中，看到 beinan这个用户在此字段是空的，表示此用户永久可用；而linuxsir这个用户表示在距1970年01月01日后13108天后过期，算起来也就是2005年11月21号过期；哈哈，如果有兴趣的的弟兄，自己来算算，大体还是差不多的;)；
 
第九字段：保留字段，目前为空，以备将来Linux发展之用；
 
二. 关于用户组
 
具有某种共同特征的用户集合起来就是用户组（Group）。用户组（Group）配置文件主要有 /etc/group和/etc/gshadow，其中/etc/gshadow是/etc/group的加密信息文件。
 
2.1 /etc/group 解说
/etc/group 文件是用户组的配置文件，内容包括用户和用户组，并且能显示出用户是归属哪个用户组或哪几个用户组，因为一个用户可以归属一个或多个不同的用户组；同一用户组的用户之间具有相似的特征。
比如把某一用户加入到root用户组，那么这个用户就可以浏览root用户家目录的文件，如果root用户把某个文件的读写执行权限开放，root用户组的所有用户都可以修改此文件，如果是可执行的文件（比如脚本），root用户组的用户也是可以执行的。
 
用户组的特性在系统管理中为系统管理员提供了极大的方便，但安全性也是值得关注的，如某个用户下有对系统管理有最重要的内容，最好让用户拥有独立的用户组，或者是把用户下的文件的权限设置为完全私有；另外root用户组一般不要轻易把普通用户加入进去。
 
2.2  /etc/group 内容具体分析
/etc/group 的内容包括用户组（Group）、用户组口令、GID及该用户组所包含的用户（User），每个用户组一条记录；格式如下：
 

在/etc/group 中的每条记录分四个字段：
第一字段：用户组名称；
第二字段：用户组密码；
第三字段：GID
第四字段：用户列表，每个用户之间用,号分割；本字段可以为空；如果字段为空表示用户组为GID的用户名；
 
示例说明：
（1）root:x:0:root,linuxsir  
注：用户组root，x是密码段，表示没有设置密码，GID是0,root用户组下包括root、linuxsir以及GID为0的其它用户（可以通过/etc/passwd查看）
  
（2）beinan:x:500:linuxsir 
注：用户组beinan，x是密码段，表示没有设置密码，GID是500,beinan用户组下包括linuxsir用户及GID为500的用户（可以通过/etc/passwd查看）
 
（3）linuxsir:x:502:linuxsir 
注：用户组linuxsir，x是密码段，表示没有设置密码，GID是502,linuxsir用户组下包用户linuxsir及GID为502的用户（可以通过/etc/passwd查看）
 
（4）helloer:x:503:  
注：用户组helloer，x是密码段，表示没有设置密码，GID是503,helloer用户组下包括GID为503的用户，可以通过/etc/passwd查看；
  
而/etc/passwd对应的相关的记录为：
 

由此可以看出helloer用户组包括 helloer用户；所以查看一个用户组所拥有的用户，可以通过对比/etc/passwd和/etc/group来得到；
 
2.3  关于GID
GID和UID类似，是一个正整数或0，GID从0开始，GID为0的组让系统付予给root用户组；系统会预留一些较靠前的GID给系统虚拟用户（也被称为伪装用户）之用；
 
每个系统预留的GID都有所不同， Linux预留了500个，添加新用户组时，用户组是从500开始的；
查看系统添加用户组默认的GID范围应该查看 /etc/login.defs 中的 GID_MIN 和GID_MAX 值；可以对照/etc/passwd和/etc/group 两个文件；会发现有默认用户组之说；在 /etc/passwd 中的每条用户记录会发现用户默认的GID ；
 
在/etc/group中，也会发现每个用户组下有多少个用户；在创建目录和文件时，会使用默认的用户组；
 
示例：将dave用户添加到root用户组：
 

/etc/passwd文件中的记录：
 

dave用户的默认GID 为502. 
 

而502的GID 在/etc/group中查到是dave用户组；
 
因此看到dave用户组的GID 为502，而dave 用户归属为root、dave用户组；
 
用dave来创建一个目录，以观察dave用户创建目录的权限归属；
 

通过用dave来创建目录时发现，test的权限归属仍然是dave用户和dave用户组的；而没有归属root用户组；但值得注意的是，判断用户的访问权限时，默认的GID 并不是最重要的，只要一个目录让同组用户可以访问的权限，那么同组用户就可以拥有该目录的访问权，在这时用户的默认GID 并不是最重要的。
 
2.4  /etc/gshadow 解说
/etc/gshadow是/etc/group的加密资讯文件，比如用户组（Group）管理密码就是存放在这个文件。/etc/gshadow和 /etc/group是互补的两个文件；对于大型服务器，针对很多用户和组，定制一些关系结构比较复杂的权限模型，设置用户组密码是极有必要的。
 
比如不想让一些非用户组成员永久拥有用户组的权限和特性，这时可以通过密码验证的方式来让某些用户临时拥有一些用户组特性，这时就要用到用户组密码。
 
/etc/gshadow格式如下，每个用户组独占一行：
groupname:password:admin,admin,...:member,member,...
 
第一字段：用户组
第二字段：用户组密码，这个段可以是空的或!，如果是空的或有!，表示没有密码；
第三字段：用户组管理者，这个字段也可为空，如果有多个用户组管理者，用,号分割；
第四字段：组成员，如果有多个成员，用,号分割；
 
举例：
 

第一字段：这个例子中，有两个用户组beinan用linuxsir
第二字段：用户组的密码，beinan用户组无密码；linuxsir用户组有已经，已经加密；
第三字段：用户组管理者，两者都为空；
第四字段：beinan用户组所拥有的成员是linuxsir ，然后还要对照一下/etc/group和/etc/passwd 查看是否还有其它用户，一般默认添加的用户，有时同时也会创建用户组和用户名同名称； linuxsir 用户组有成员linuxisir ；
 
如何设置用户组的密码？ 可以通过 gpasswd 来实现；不过一般的情况下，没有必要设置用户组的密码；不过自己实践一下也有必要；下面是一个为linuxsir用户组设置密码的例子: 注：gpasswd 的用法： gpasswd 用户组
[root@localhost ~]# gpasswdlinuxsir
正在修改 linuxsir 组的密码
新密码：
请重新输入新密码：

用户组之间的切换，应该用 newgrp ，这个有点象用户之间切换的su ；示例：
 

3.1.2 通过id和finger 工具来获取用户信息
除了直接查看用户（User）和用户组（Group）配置文件的办法除外，还有 id和finger工具可用，一样通过命令行的操作，来完成对用户的查询；
 
id和finger，是两个各有测重的工具：
（1）id工具更测重用户、用户所归属的用户组、UID 和GID 的查看；
（2）finger测重用户资讯的查询，比如用户名（登录名）、电话、家目录、登录SHELL类型、真实姓名、空闲时间等等。
 
id 命令用法：id 选项  用户名
比如：我想查询beinan和linuxsir 用户的UID、GID 以及归属用户组的情况：
 

注：beinan的UID 是 500，默认用户组是beinan，默认用户组的GID 是500,归属于beinan用户组；
 

注：linuxsir的UID 是505,默认用户组是linuxsir，默认用户组的GID 是502，归属于linuxsir（GID为502）、root（GID为0），beinan（GID为500）；
 
finger命令的用法：finger 选项 用户名1 用户名2 ... 
 
在Linux 6.3 版本里需要单独的安装这个工具包。
 

如果finger 不加任何参数和用户，会显示出当前在线用户，和w命令类似；对比一下；不过各有测重。
 

如果在finger 后面加上用户名，就可以看到用户更为详细的信息，可以一次查看多个用户，用空格分开，比如下面的例子中，一次查询两个用户beinan和linuxsir的信息：
 

3.1.3 用户组查询的办法
可以通过用户来查询所归属的组，用groups 来查询；比如我查询beinan和linuxsir 所归属的组，可以用groups 来查询；
 

注：这是通过groups 同时查看了用户beinan和linuxsir所归属的组；
 
3.2 通过修改用户（User）和用户组（Group）配置文件的办法来添加
在前面说过，可以通过修改配置文件的办法来管理用户，所以此主题应该包括此内容；当然通过用户及用户组管理工具（比如 adduser、userdel、usermod、userinfo、groupadd 、groupdel 、groupmod等）也是可以的。
 
通过修改用户（User）和用户组（Group）配置文件的方法管理用户之用户的添加流程：
 
先以添加用户为例，对用户的删除和修改都比较简单。
 
3.2.1 修改 /etc/passwd ，添加用户记录
按/etc/passwd的格式的约定来添加新的用户记录；当然您要让一个用户失效，可以删除您想要删除的用户记录；值得注意的是，不能让UID 重复。
 
比如我想添加anqing 这个用户，发现UID 508没有用户用，并且我想把其用户组也设置为anqing ，用户组的GID 也设置为508,如果GID 没有占用的话；要打开 /etc/passwd ，在最下面加一行：
 

然后执行pwconv ，让/etc/passwd 和/etc/shadow同步，您可以查看 /etc/shadow的内容是否同步；
 

3.2.2 修改/etc/group
首先，得查看是否有anqing用户组，以及GID 508 是否被其它用户组占用；
 

通过查看，发现没有被占用；所以要添加anqing的记录到 /etc/group中：
anqing:x:508:
 
其次，是运行 grpconv 来同步/etc/group 和/etc/gshadow内容，然后通过查看/etc/gshadow的内容变化确认是不是添加组成功了。
 

3.2.3 创建用户的家目录，并把用户启动文件也复制过去
创建用户的家目录，要以/etc/passwd 中添加的新用户的记录为准，在/etc/passwd 中添加新用户anqing ，她的家目录是处于/home/anqing ；另外还需要把/etc/skel 目录下的.*隐藏文件复制过去：
 

3.2.4 改变新增用户家目录的属主和权限
发现新增用户的家目录的属主目前是root ，并且家目录下的隐藏文件也是root权限：
 

所以要通过chown 命令来改变/home/anqing目录归属为anqing用户；
 

查看是否已经更换了属主为lanhaitun用户所有：
 

看来已经实现了；但这样还是不够的，因为/home/anqing/的目录权限可能会过于公开：
 

看到 /home/anqing目录的权限为 drwxr-xr-x ，也就是同组用户和其它用户组所能查看，为了保密，有理由把新增用户家目录的权限设置为只有其自己可读可写可执行；于是... ...
 

用其它用户，当然得把具有超级权限的root用户除外；比如我以dave用户来查看anqing的家目录会得到如下信息；
 

3.2.5 设置新增用户的密码
以上各步骤都就序了，得为新增用户设置密码了；要通过passwd命令来生成；这个没有办法通过修改文件解决；
 
passwd 的用法：passwd 用户名
 

3.2.6 测试添增用户是否成功
您可以用新增用户登录测试，也可以通过su 来切换用户测试：
 

通过上面一系列动作，验证anqing用户已经成功。
 
3.3 通过修改用户（User）和用户组（Group）配置文件的办法来修改用户或用户组
 
可以修改/etc/passwd 和/etc/group 来达到修改用户和用户所归属的组，这个过程和添加新用户时差不多；比如我想修改anqing的用户名全称、公司以及电话等信息；可以修改/etc/passwd 实现。
 
3.3.1 修改用户信息
 

可以修改为
 

当然还可以修改用户的bash 类型，家目录等，当然如果修改家目录，还得进行建家目录、属主和权限的操作，这和前面添加用户的办法在程序上有些是相同的；修改完成后，要进行pwconv 同步，通过finger 来查看用户的信息等。
 

3.3.2 修改用户所归属的组，可以通过/etc/group 修改实现
当然修改用户和用户组，不仅能通过修改配置文件来实现，还能过过 usermod 及chfn来实现；这里先讲一讲如何通过修改配置文件来达到目的；如果想把anqing 这个用户归属到root用户组，所以还能修改/etc/group 的办法来达到目的；找到/etc/group 中的root开头的一行，按其规划加入anqing；
root:x:0:root,anqing
 
然后，执行 grpconv 命令来同步/etc/group 和/etc/gshadow两个文件的内容。
 

3.3.3 删除用户及用户组的办法
这个比较简单，可以通过删除/etc/passwd 和/etc/group 相应的用户和用户组记录就能达到目的，也能过过userdel 和groupdel 来实现对用户及用户组的删除；如果是通过修改用户和用户组配置文件的办法来删除用户，就是删除相应的记录就行了，如果不想保留其家目录，删除就是了。
 
只删除anqing用户，其家目录和mail等仍会保存：
 

加上-r 参数，是删除家目录及mail等：
 

用userdel 删除用户的同时，也会把其用户组删除；可以通过/etc/passwd 和/etc/group 的内容变化来查看。