Linux基础学习 | 用户及用户组

Linux 用户及用户组

目录

一、用户

   添加用户实例

二、用户组

   添加用户组实例

三、用户及用户组文件

四、各命令参数对照

---

一、用户

Linux系统是一个多用户多任务的分时操作系统。任何一个要使用系统资源的用户，都必须首先向系统管理员申请一个账号，然后以这个账号的身份进入系统。用户的账号一方面可以帮助系统管理员对使用系统的用户进行跟踪，并控制他们对系统资源的访问；另一方面也可以帮助用户组织文件，并为用户提供安全性保护。

1. 添加用户

useradd： Linux 使用 useradd 命令添加用户或更新新创建用户的默认信息。

useradd option username

常用参数: ……详细参数

• c comment 指定一段注释性描述。
• d 目录 指定用户主目录，如果此目录不存在，则同时使用-m选项，可以创建主目录。
• g 用户组 指定用户所属的用户组。
• G 用户组，用户组 指定用户所属的附加组。
• s Shell文件 指定用户的登录Shell。
• u 用户号 指定用户的用户号，如果同时有-o选项，则可以重复使用其他用户的标识号。

2. 更改密码

passwd：处于系统安全考虑，Linux 系统中每个用户都需要设置一个用户口令（密码）。其中关键字 passwd 就是用于添加或修改用户口令。

passwd username

注意：只有 root 用户才能使用该命令修改其他用户的密码，普通用户只能使用不带参数的 passwd 命令修改自己的密码。

常用参数：……详细参数

• l 锁定口令，即禁用账号。
• u 口令解锁。
• d 使账号无口令。
• f 强迫用户下次登录时修改口令。

3. 修改用户

usermod：修改用户信息，更改用户的有关属性，如用户号、主目录、用户组、登录Shell等。

usermod option username

常用参数:……详细参数

• c comment 指定一段注释性描述。
• d 目录 指定用户主目录，如果此目录不存在，则同时使用-m选项，可以创建主目录。
• g 用户组 指定用户所属的用户组。
• G 用户组，用户组 指定用户所属的附加组。
• s Shell文件 指定用户的登录Shell。
• u 用户号 指定用户的用户号，如果同时有-o选项，则可以重复使用其他用户的标识号。
• l 新用户名 这个选项指定一个新的账号，即将原来的用户名改为新的用户名

4. 删除用户

userdel：如果一个用户的账号不再使用，可以从系统中删除。删除用户账号就是要将/etc/passwd等系统文件中的该用户记录删除，必要时还删除用户的主目录。

userdel option username

常用参数： ……详细参数

-r 作用是将用户主目录一起删除

-f：强制删除用户，即时用户当前已登录

5、用户查看相关命令

su 命令：切换不同用户 [查看参数]

id 命令：显示用户的ID，以及所属群组的ID [查看参数]

who 命令 ：显示当前登录用户的有关信息（显示已登录的用户） [查看参数]

whoami 命令：显示与当前的有效用户ID 相关联的用户名。与id -un 相同。

测试实例：

以下内容只为测试展示，一般情况下创建用户 useradd [-d home] [-s shell] [-c comment] [-m [-k template]] [-f inactive] [-e expire ] [-p passwd] [-r] name 一条命令即可。通常情况下只需指定家目录，如：useradd –d /home/tr -m tr

1、新建用户 RT（在Linux 系统下，用户输入密码时不会显在屏幕上）

查看是否添加成功，在/etc/passwd文件中存放着用户登录信息。通过命令 cat /etc/passwd | grep "RT"查看是否把 RT 用户信息写入 passwd 文件中。



登录测试（su命令用于用户间的切换，whoami显示当前用户）



修改密码（普通用户使用不带参数的passwd命令修改当前用户的密码）



修改用户的登录Shell（通过 “passwd” 文件中的信息我们可以看到， RT 用户没有指定登录的Shell，这里使用 usermod 命令给 RT 用户新添加一个登录Shell）



删除用户(删除该用户时如果显示有进程正在使用该用户，则可以使用 -f 参数强制删除)

2、演示who，whoami等命令。通过 putty ssh工具连接虚拟机中的 Linux

输入用户名及用户口令登录



这里我用 putty 连接了两次，并且都用 tr 用户登录。



上述一共显示了三条信息，第一列是用户名，第二列的 tty1 表示在虚拟接中使用的终端（Linux 有tty1~tty7 七种不同的终端），pts/1 、pts/2 表示在 windows 上用putty远程连接的的两个终端。接下来是登录时间，以及登录者所在设备的 ip。

tr tty1 2020-01-05 22:10 (:0)

tr pts/1 2020-01-16 20:04 (192.168.0.102)

tr pts/2 2020-01-16 17:07 (192.168.0.102)

who am i 命令显示的是实际用户的用户名，即用户登陆的时候的用户ID。此命令相当于who -m

whoami 显示的是有效用户ID（操作用户）.

id 命令显示用户的 uid、 gid 、组id 等。

2、用户组

在Liunx 操作系统中，任何文件都属于某一特定的用户，而任何用户都隶属于一个用户组。用户是否有权限对某文件进行访问、读写及执行受到系统严格的约束。Linux 系统中把文件的权限分属给三类用户，一种是文件的所有者，也就是属主，第二种是与属主同组的同组人用户，第三种就是其他用户。通过对不同类型用户设置不同权限，即保证了Linux 系统的安全性，又满足了不同用户协同工作的高效性。

1. 添加用户组

groupadd：用指定名称建立新的用户组。

groupadd option groupname

常用参数：……详细参数

• g GID 指定新用户组的组标识号（GID）。
• o 一般与-g选项同时使用，表示新用户组的GID可以与系统已有用户组的GID相同

2. 修改用户组

groupmod：用于修改用户组信息。

groupmod option groupname

常用参数：……详细参数

• g GID 为用户组指定新的组标识号。
• o 与-g选项同时使用，用户组的新GID可以与系统已有用户组的GID相同。
• n新用户组 将用户组的名字改为新名字

3. 删除用户组

groupdel：删除用户组     ……详细参数

groupdel groupname

如果有任何一个组群的用户在系统中使用，并且要删除的组为该用户的主分组的时候，则不能移除该组群，必须先删除该用户后才能删除该组。

5. 切换用户组

newgrp：如果一个用户同时属于多个用户组，那么用户可以在用户组之间切换，以便具有其他用户组的权限。

用户可以在登录后，使用命令newgrp切换到其他用户组，这个命令的参数就是目的用户组。

newgrp groupname

newgroup root这条命令将当前用户切换到root用户组，前提条件是root用户组确实是该用户的主组或附加组。类似于用户账号的管理，用户组的管理也可以通过集成的系统管理工具来完成。

测试实例：

添加一个 group1 用户组（groupadd 命令不指定组号时，创建的组默认从当前最大组标识号的基础上加1，在/etc/group 文件中保存有组信息）



修改组信息，把组标识号修改为 “1080” ，组名改为 group2“”



删除该组



另，可以用 groups 用户名 查看用户所在的组,以及组内成员（省略用户名默认查看当前用户所在组及组内成员）

三、用户及用户组文件

1. passwd 用户账号文件

“/etc/passwd” 文件是 UNIX 安全的关键文件之一。该文件用于用户登录时校验用户的登录名、加密的口令数据项、用户 ID （UID）、默认的用户组 ID（GID）、用户信息、用户主目录及登录后使用的 shell 。“/etc/passwd” 文件的每一行保存一个用户的资料，二用户数据按域以冒号 “：” 分隔。

username ：password ： uid ： gid ： userinfo ： home ：  shell
登录名：加密的用户口令：用户ID：用户组ID：用户信息：用户主目录：用户登录后将执行的shell（空格默认为“/bin/sh”）

1. "登录名"是代表用户账号的字符串。
   
     通常长度不超过8个字符，并且由大小写字母和/或数字组成。登录名中不能有冒号(: )，因为冒号在这里是分隔符。

2. “用户口令”一些系统中，存放着加密后的用户口令字。
   
     虽然这个字段存放的只是用户口令的加密串，不是明文，但是由于/etc/passwd文件对所有用户都可读，所以这仍是一个安全隐患。因此，现在许多Linux 系统（如SVR4）都使用了shadow技术，把真正的加密后的用户口令字存放到/etc/shadow文件中，而在/etc/passwd文件的口令字段中只存放一个特殊的字符，例如“x”或者“*”。

3. “用户标识号”是一个整数，系统内部用它来标识用户。
   
     一般情况下它与用户名是一一对应的。如果几个用户名对应的用户标识号是一样的，系统内部将把它们视为同一个用户，但是它们可以有不同的口令、不同的主目录以及不同的登录Shell等。
   
     通常用户标识号的取值范围是0～65 535。0是超级用户root的标识号，1～99由系统保留，作为管理账号，普通用户的标识号从100开始。在Linux系统中，这个界限是500。

4. “组标识号”字段记录的是用户所属的用户组。它对应着/etc/group文件中的一条记录。

5. “用户信息”字段记录着用户的一些个人情况。
   
     例如用户的真实姓名、电话、地址等，这个字段并没有什么实际的用途。在不同的Linux 系统中，这个字段的格式并没有统一。在许多Linux系统中，这个字段存放的是一段任意的注释性描述文字，用做finger命令的输出。

6. “主目录”，也就是用户的起始工作目录。
   
     它是用户在登录到系统之后所处的目录。在大多数系统中，各用户的主目录都被组织在同一个特定的目录下，而用户主目录的名称就是该用户的登录名。各用户对自己的主目录有读、写、执行（搜索）权限，其他用户对此目录的访问权限则根据具体情况设置。

7. 用户登录后，要启动一个进程，负责将用户的操作传给内核，这个进程是用户登录到系统后运行的命令解释器或某个特定的程序，即Shell。
   
     Shell是用户与Linux系统之间的接口。Linux的Shell有许多种，每种都有不同的特点。常用的有sh(Bourne Shell), csh(C Shell), ksh(Korn Shell), tcsh(TENEX/TOPS-20 type C Shell), bash(Bourne Again Shell)等。
   
     系统管理员可以根据系统情况和用户习惯为用户指定某个Shell。如果不指定Shell，那么系统使用sh为默认的登录Shell，即这个字段的值为/bin/sh。
   
     用户的登录Shell也可以指定为某个特定的程序（此程序不是一个命令解释器）。
   
     利用这一特点，我们可以限制用户只能运行指定的应用程序，在该应用程序运行结束后，用户就自动退出了系统。有些Linux 系统要求只有那些在系统中登记了的程序才能出现在这个字段中。

伪用户：系统中有一类用户称为伪用户（pseudo users）。

这些用户在/etc/passwd文件中也占有一条记录，但是不能登录，因为它们的登录Shell为空。它们的存在主要是方便系统管理，满足相应的系统进程对文件属主的要求。

常见的伪用户如下所示：

伪 用 户 含 义
bin 拥有可执行的用户命令文件
sys 拥有系统文件
adm 拥有帐户文件
uucp UUCP使用
lp lp或lpd子系统使用
nobody NFS使用

UID：一般来说，用户的 UID 应当是独一无二的，其他用户不应当有相同的 UID 数值，只有 UID 等于 0 时可以例外。任何拥有 0 值的 UID 的用户都具有 root 用户（系统管理员）访问权限，因此具备对系统的完全控制。通常，UID 为 0 这个特殊值的用户的登录名是 “root” ，拥有系统的最高权限。按照惯例，从 0 到 99 的 UID 为系统保留。

主目录：每个用户都需要保存专属于自己的配置文件及其他文档，以免用户间相互干扰。这个存放个性化设置和文档的地方就叫做用户主目录。除 root 账户外（root 账户的主目录为 “、root”），大多数 Linux 默认将用户主目录安置在 “/home” 目录下，并把每个用户的主目录命名为其上机使用的登录名。另外，用户的主目录可以根据用户自己的意愿自行的加以调整，并非一定要在 “/home” 目录下。

2. shadow 用户影子文件

Linux 使用不可逆的加密算法（如 MD5、SHA1 等）来加密口令。由于加密算法是不可逆的，所以黑客从密文是得不到明文的。但 “/etc/passwd” 文件是全局可读的，加密的算法是公开的，所以一旦恶意用户取得了 “/etc/passwd” 文件，便极有可能破解口令。因此，针对这种安全隐患，Linux 系统目前广泛采用了 “shadow（影子）文件” 机制，将加密的口令转移到 “/etc/shodow” 文件里。 “/etc/shaodow” 文件只为 root 超级用户可读，而相应的 “/etc/passwd” 文件的密文域显示为一个 “x” ，从而最大限度地减少了密文泄漏的机会。

与 “etc/passwd” 类似，“/etc/shadow” 文件中每条记录用冒号 “：”分隔，形成 9 个域。

username：password ：lastchg  ： min  ：  max   ：  warn  ：inactive ：expire ：flag
登录名:加密口令:最后一次修改时间:最小时间间隔:最大时间间隔:警告时间:不活动时间:失效时间:标志

1. "登录名"是与/etc/passwd文件中的登录名相一致的用户账号
2. "口令"字段存放的是加密后的用户口令字，长度为13个字符。如果为空，则对应用户没有口令，登录时不需要口令；如果含有不属于集合 { ./0-9A-Za-z }中的字符，则对应的用户不能登录。
3. "最后一次修改时间"表示的是从某个时刻起，到用户最后一次修改口令时的天数。时间起点对不同的系统可能不一样。例如在SCO Linux 中，这个时间起点是1970年1月1日。
4. "最小时间间隔"指的是两次修改口令之间所需的最小天数。
5. "最大时间间隔"指的是口令保持有效的最大天数。
6. "警告时间"字段表示的是从系统开始警告用户到用户密码正式失效之间的天数。
7. "不活动时间"表示的是用户没有登录活动但账号仍能保持有效的最大天数。
8. "失效时间"字段给出的是一个绝对的天数，如果使用了这个字段，那么就给出相应账号的生存期。期满后，该账号就不再是一个合法的账号，也就不能再用来登录了。

3、用户组账号文件

将用户分组是Linux 系统中对用户进行管理及控制访问权限的一种手段。每个用户都属于某个用户组；一个组中可以有多个用户，一个用户也可以属于不同的组。

当一个用户同时是多个组中的成员时，在/etc/passwd文件中记录的是用户所属的主组，也就是登录时所属的默认组，而其他组称为附加组。用户要访问属于附加组的文件时，必须首先使用newgrp命令使自己成为所要访问的组中的成员。

group 文件

用户组的所有信息都存放在/etc/group文件中。在 “/etc/group” 文件中，GID 被映射到该用户分组的名称及同一分组中的其他成员。另外，“/etc/group” 文件对用户组的许可权限并不是必要的，这是因为在Linux 中来自于 “/etc/passwd” 文件的 UID 、 GID 来决定文件的存储权限。即使 “/etc/group” 文件不存在与系统中，具有具有相同的 GID 用户也能以租的许可权限共享文件。

“/etc/group” 此文件的格式也类似于/etc/passwd文件，由冒号(:)隔开若干个字段，这些字段有：

group_name : group_password : group_id : group_members
组名        :      口令      :  组标识号 :   组内用户列表

1. "组名"是用户组的名称，由字母或数字构成。与/etc/passwd中的登录名一样，组名不应重复。
2. "口令"字段存放的是用户组加密后的口令字。一般Linux 系统的用户组都没有口令，即这个字段一般为空，或者是*。
3. "组标识号"与用户标识号类似，也是一个整数，被系统内部用来标识组。
4. "组内用户列表"是属于这个组的所有用户的列表/b]，不同用户之间用逗号(,)分隔。这个用户组可能是用户的主组，也可能是附加组。

gshadow 文件

和用户账号文件 passwd 一样，为了应对黑客对其实行暴力攻击，用户组文件也采用一种将组口令与其组的其他信息想分离的安全机制——gshadow。

group_name : group_password : group_members
用户组名    ：加密后的用户组口令：以逗号分隔的成员用户清单

---

各命令详细参数 通过 命令 --help 查看

useradd

用法：

  useradd [选项] 登录
  useradd -D
  useradd -D [选项]

选项：

-b, --base-dir BASE_DIR       新账户的主目录的基目录
-c, --comment COMMENT         新账户的 GECOS 字段
-d, --home-dir HOME_DIR       新账户的主目录
-D, --defaults                显示或更改默认的 useradd 配置
-e, --expiredate EXPIRE_DATE  新账户的过期日期
-f, --inactive INACTIVE       新账户的密码不活动期
-g, --gid GROUP               新账户主组的名称或 ID
-G, --groups GROUPS   新账户的附加组列表
-h, --help                    显示此帮助信息并推出
-k, --skel SKEL_DIR   使用此目录作为骨架目录
-K, --key KEY=VALUE           不使用 /etc/login.defs 中的默认值
-l, --no-log-init     不要将此用户添加到最近登录和登录失败数据库
-m, --create-home     创建用户的主目录
-M, --no-create-home          不创建用户的主目录
-N, --no-user-group   不创建同名的组
-o, --non-unique              允许使用重复的 UID 创建用户
-p, --password PASSWORD               加密后的新账户密码
-r, --system                  创建一个系统账户
-R, --root CHROOT_DIR         chroot 到的目录
-s, --shell SHELL             新账户的登录 shell
-u, --uid UID                 新账户的用户 ID
-U, --user-group              创建与用户同名的组
-Z, --selinux-user SEUSER             为 SELinux 用户映射使用指定 SEUSER

passwd

用法：

passwd [选项] [登录]

选项：

-a, --all                     报告所有帐户的密码状态
-d, --delete                  删除指定帐户的密码
-e, --expire                  强制使指定帐户的密码过期
-h, --help                    显示此帮助信息并推出
-k, --keep-tokens             仅在过期后修改密码
-i, --inactive INACTIVE       密码过期后设置密码不活动为 INACTIVE
-l, --lock                    锁定指定的帐户
-n, --mindays MIN_DAYS        设置到下次修改密码所须等待的最短天数为 MIN_DAYS
-q, --quiet                   安静模式
-r, --repository REPOSITORY   在 REPOSITORY 库中改变密码
-R, --root CHROOT_DIR         chroot 到的目录
-S, --status                  报告指定帐户密码的状态
-u, --unlock                  解锁被指定帐户
-w, --warndays WARN_DAYS      设置过期警告天数为 WARN_DAYS
-x, --maxdays MAX_DAYS        设置到下次修改密码所须等待的最多天数为 MAX_DAYS

usermod
用法：

usermod [选项] 登录

选项：

-c, --comment 注释            GECOS 字段的新值
-d, --home HOME_DIR           用户的新主目录
-e, --expiredate EXPIRE_DATE  设定帐户过期的日期为 EXPIRE_DATE
-f, --inactive INACTIVE       过期 INACTIVE 天数后，设定密码为失效状态
-g, --gid GROUP               强制使用 GROUP 为新主组
-G, --groups GROUPS           新的附加组列表 GROUPS
-a, --append GROUP            将用户追加至上边 -G 中提到的附加组中， 并不从其它组中删除此用户
-h, --help                    显示此帮助信息并推出
-l, --login LOGIN             新的登录名称
-L, --lock                    锁定用户帐号
-m, --move-home               将家目录内容移至新位置 (仅于 -d 一起使用)
-o, --non-unique              允许使用重复的(非唯一的) UID
-p, --password PASSWORD       将加密过的密码 (PASSWORD) 设为新密码
-R, --root CHROOT_DIR         chroot 到的目录
-s, --shell SHELL             该用户帐号的新登录 shell
-u, --uid UID                 用户帐号的新 UID
-U, --unlock                  解锁用户帐号
-v, --add-subuids FIRST-LAST  add range of subordinate uids
-V, --del-subuids FIRST-LAST  remove range of subordinate uids
-w, --add-subgids FIRST-LAST  add range of subordinate gids
-W, --del-subgids FIRST-LAST  remove range of subordinate gids
-Z, --selinux-user  SEUSER       用户账户的新 SELinux 用户映射

userdel

用法：

userdel [选项] 登录

选项：

-f, --force                   即使不属于此用户，也强制删除文件
-h, --help                    显示此帮助信息并推出
-r, --remove                  删除主目录和邮件池
-R, --root CHROOT_DIR         chroot 到的目录
-Z, --selinux-user            为用户删除所有的 SELinux 用户映射

groupadd

用法：

groupadd [选项] 组

选项:

-f, --force		如果组已经存在则成功退出  并且如果 GID 已经存在则取消 -g
-g, --gid GID                 为新组使用 GID
-h, --help                    显示此帮助信息并推出
-K, --key KEY=VALUE           不使用 /etc/login.defs 中的默认值
-o, --non-unique              允许创建有重复 GID 的组
-p, --password PASSWORD       为新组使用此加密过的密码
-r, --system                  创建一个系统账户
-R, --root CHROOT_DIR         chroot 到的目录

groupmod

用法：

groupmod [选项] 组

选项:

-g, --gid GID                 将组 ID 改为 GID
-h, --help                    显示此帮助信息并推出
-n, --new-name NEW_GROUP      改名为 NEW_GROUP
-o, --non-unique              允许使用重复的 GID
-p, --password PASSWORD	将密码更改为(加密过的) PASSWORD
-R, --root CHROOT_DIR         chroot 到的目录

groupdel

用法：

groupdel [选项] 组

选项:

-h, --help                    显示此帮助信息并推出
-R, --root CHROOT_DIR         chroot 到的目录
-f, --force                   delete group even if it is the primary group of a user

who

用法：

who [选项]... [ 文件 | 参数1 参数2 ]

显示当前已登录的用户信息。

-a, --all		等于-b -d --login -p -r -t -T -u 选项的组合
-b, --boot		上次系统启动时间
-d, --dead		显示已死的进程
-H, --heading	输出头部的标题列
  --ips         print ips instead of hostnames. with --lookup,
                canonicalizes based on stored IP, if available,
                rather than stored hostname
-l，--login		显示系统登录进程
  --lookup		尝试通过 DNS 查验主机名
-m			只面对和标准输入有直接交互的主机和用户
-p, --process	显示由 init 进程衍生的活动进程
-q, --count		列出所有已登录用户的登录名与用户数量
-r, --runlevel	显示当前的运行级别
-s, --short		只显示名称、线路和时间(默认)
-T, -w, --mesg	用+，- 或 ? 标注用户消息状态
-u, --users		列出已登录的用户
  --message	等于-T
  --writable	等于-T
  --help		显示此帮助信息并退出
  --version		显示版本信息并退出

id

用法：

id [OPTION]... [USER]

打印指定用户的用户和组信息，或（当省略USER时）为当前用户。
-a忽略，以与其他版本兼容
-Z，-context仅打印进程的安全上下文
-g，--group仅打印有效的组ID
-G，--groups显示所有组ID
-n，--name为-ugG打印名称而不是数字
-r，--real使用-ugG打印真实ID而不是有效ID
-u，--user仅打印有效的用户ID
-z，-零以NUL字符而不是空格分隔条目;
                不允许使用默认格式
--help		显示此帮助信息并退出
--version		显示版本信息并退出

如果不附带任何选项，程序会显示一些可供识别用户身份的有用信息。

su

用法：

su [选项] [登录]

选项：

-c, --command COMMAND		将 COMMAND 传递至启动的 shell
-h, --help			显示此帮助信息并退出
-, -l, --login		将 shell 设为登录 shell
-m, -p,
--preserve-environment	不重置环境变量并保持同一 shell
-s, --shell SHELL		使用 SHELL 而非 passwd 中的默认值