★ FEATURED ARTICLE 1. Linux用户管理基础概念在Linux系统中用户管理是系统管理员最常接触的基础操作之一。与Windows系统不同Linux采用多用户设计理念每个用户都拥有独立的权限空间和工作环境。这种设计源于Unix的一切皆文件哲学用户本质上就是访问系统资源的权限集合。我刚接触Linux时最困惑的就是为什么不能像Windows那样随意操作系统文件。直到理解了Linux严格的权限机制才明白这正是其稳定性和安全性的基石。每个用户都有自己的UID用户ID系统通过这个数字标识来区分不同用户。提示UID为0的用户是超级用户root拥有系统最高权限。普通用户的UID通常从1000开始分配。用户信息主要存储在三个关键文件中/etc/passwd保存用户账户信息/etc/shadow保存加密后的用户密码/etc/group保存用户组信息2. 用户账户操作全流程2.1 创建新用户使用useradd命令创建新用户是最规范的做法。我建议新手养成使用完整参数的习惯避免后续权限问题sudo useradd -m -s /bin/bash -G sudo newuser参数说明-m自动创建用户家目录/home/newuser-s指定默认shell/bin/bash最常用-G将用户加入附加组sudo组可获得管理员权限创建后需要立即设置密码sudo passwd newuser常见坑忘记-m参数会导致用户没有家目录登录后各种报错。如果遇到这种情况可以手动创建目录并修改所有者sudo mkdir /home/newuser sudo chown newuser:newuser /home/newuser2.2 用户属性修改usermod命令可以修改现有用户属性。最常用的几个场景修改用户主组sudo usermod -g developers newuser将用户加入新组不影响原有组sudo usermod -aG docker newuser锁定/解锁账户sudo usermod -L newuser # 锁定 sudo usermod -U newuser # 解锁2.3 删除用户正确的用户删除应该包含清理相关文件sudo userdel -r olduser-r参数会同时删除用户家目录和邮件池。如果不加这个参数系统只会删除账户信息文件会保留。3. 用户组深度管理3.1 组的基本操作创建新组sudo groupadd developers删除组sudo groupdel developers查看用户所属组groups username3.2 组权限的实际应用我管理服务器时最常用的技巧通过组权限实现协作开发。比如让多个开发人员共同维护一个项目目录创建共享组sudo groupadd webdev将用户加入组sudo usermod -aG webdev dev1 sudo usermod -aG webdev dev2设置目录权限sudo chown -R :webdev /var/www/project sudo chmod -R 2775 /var/www/project这里的2775中2表示设置SGID位保证新建文件自动继承组权限。4. 文件权限机制详解4.1 权限表示法通过ls -l看到的权限字符串如drwxr-xr-x分解来看d rwx r-x r-x │ │ │ │ │ │ │ └─ 其他用户权限 │ │ └─── 所属组权限 │ └────── 所有者权限 └──────── 文件类型d目录-普通文件l链接等权限字符对应数字r (读) 4w (写) 2x (执行) 1所以rwxr-xr--可以换算为754。4.2 特殊权限位除了基本的rwx还有三个特殊权限位SUIDSet User ID以文件所有者身份执行设置chmod us file典型应用/usr/bin/passwdSGIDSet Group ID以文件所属组身份执行设置chmod gs file对目录设置时新建文件自动继承目录组Sticky Bit只有所有者能删除/重命名设置chmod t dir典型应用/tmp目录4.3 权限修改实战修改文件所有者sudo chown user:group file递归修改目录权限sudo chmod -R 755 /path/to/dir设置默认权限umaskumask 002 # 新建文件权限666-002664目录777-0027755. sudo机制深度解析5.1 sudo配置原理sudo的配置文件是/etc/sudoers但永远不要直接编辑这个文件正确的做法是sudo visudo这个命令会进行语法检查避免配置错误导致sudo不可用。典型授权格式username ALL(ALL:ALL) ALL表示用户username在所有主机上第一个ALL可以以任何用户和组身份(ALL:ALL)执行任何命令最后一个ALL5.2 实用sudo技巧免密码执行特定命令username ALL(ALL) NOPASSWD: /usr/bin/apt update限制命令参数提高安全性username ALL(ALL) /usr/bin/systemctl restart apache2查看可用sudo权限sudo -l5.3 sudo与su的区别特性sudosu认证方式当前用户密码目标用户密码权限范围可精细控制全权或受限日志记录详细记录基本记录环境变量保持当前用户环境切换为目标用户环境实际工作中我建议管理员日常使用sudo仅在必须完全切换用户环境时使用su6. 权限问题排查指南6.1 常见错误场景Permission denied但权限看似正确检查父目录权限需要x权限才能进入检查SELinux状态getenforce无法删除文件检查文件所在目录是否有w权限检查文件是否被锁定lsofsudo报user not in sudoers file确保用户属于sudo组检查/etc/sudoers配置6.2 实用诊断命令查看文件详细属性ls -la检查用户有效权限getfacl file追踪权限问题strace -o trace.log command查看已打开文件lsof D /path7. 安全最佳实践最小权限原则用户只获得必要的最小权限服务账户使用专用低权限用户定期审计sudo find / -nouser -o -nogroup # 查找无主文件 sudo auditd # 启用审计守护进程密码策略修改/etc/login.defs设置密码有效期使用pam_cracklib强化密码复杂度特权管理限制root直接登录修改/etc/ssh/sshd_config使用sudo代替su我在管理生产服务器时曾遇到过因为一个测试账户权限过大导致的安全事件。从那以后我养成了这些习惯新用户创建后立即设置合理权限定期review用户和组权限重要操作前先测试权限影响
阅读完成 · 觉得有帮助？
