1. Linux用户管理基础概念在Linux系统中用户管理是系统管理员最常接触的基础工作之一。与Windows系统不同Linux采用严格的权限分离机制这种设计源于Unix的多用户传统。每个登录系统的用户都拥有独立的用户IDUID和组IDGID系统通过这两个数字标识符来判定用户对文件和进程的访问权限。Linux用户主要分为三类超级用户rootUID为0拥有系统最高权限系统用户UID范围通常为1-999用于运行系统服务普通用户UID从1000开始供日常使用重要提示生产环境中应避免直接使用root账户操作这是Linux系统安全的基本准则。正确的做法是通过sudo机制来临时获取管理员权限。用户信息主要存储在三个关键文件中/etc/passwd保存用户账户信息/etc/shadow存储加密后的用户密码/etc/group记录组信息查看当前用户身份的最简单命令是whoami而查看详细用户信息可以使用id2. su命令深度解析2.1 su基本用法suswitch user命令用于切换用户身份其基本语法为su [选项] [用户名]当不指定用户名时默认切换到root用户。常见使用场景包括普通用户切换为rootsu -这里的-表示同时切换环境变量相当于登录目标用户切换到其他普通用户su - username不切换环境变量su username2.2 su与su - 的区别很多初学者会困惑于su和su -的区别这实际上涉及环境变量的继承问题使用su保留原用户的环境变量使用su -完全加载目标用户的环境变量举例说明# 保留当前环境 su root echo $PATH # 显示原用户的PATH # 完全切换 su - root echo $PATH # 显示root用户的PATH2.3 su常见问题排查认证失败su: Authentication failure这通常意味着密码输入错误目标用户被锁定PAM认证模块配置问题解决方法确认密码正确性检查/etc/shadow文件中用户状态查看/var/log/auth.log获取详细错误信息权限不足su: Permission denied可能原因/bin/su权限设置不当应设置为4750SELinux或AppArmor安全策略限制用户不在允许su的组中3. sudo机制详解3.1 sudo基础配置sudosuperuser do是更安全的权限管理方式它允许授权用户以root或其他用户身份执行命令。与su不同sudo不需要知道root密码只需验证当前用户密码。sudo的配置文件是/etc/sudoers但永远不要直接编辑这个文件而应该使用visudo这个命令会进行语法检查避免配置错误导致sudo不可用。基本授权语法用户名 主机名(目标用户) 命令列表例如john ALL(ALL) ALL # john可以在所有主机上以任何用户身份执行任何命令3.2 实用sudo技巧执行上条命令with sudosudo !!以其他用户身份执行sudo -u username command保留环境变量sudo -E command进入交互式shellsudo -i # 类似su - sudo -s # 类似su3.3 sudoers文件高级配置别名定义User_Alias ADMINS john, mary Host_Alias SERVERS web1, db1 Cmnd_Alias PROCESS /bin/kill, /usr/bin/killall免密码sudo%admin ALL(ALL) NOPASSWD: ALL限制特定命令user1 ALL(ALL) /usr/bin/apt, /usr/bin/dpkg命令排除user2 ALL(ALL) ALL, !/usr/bin/passwd root4. 用户管理实战4.1 用户创建与删除创建用户基本命令useradd -m -s /bin/bash username选项说明-m创建家目录-s指定默认shell更友好的adduser命令交互式adduser username删除用户userdel -r username # -r同时删除家目录和邮件池4.2 密码管理设置密码passwd username锁定/解锁用户passwd -l username # 锁定 passwd -u username # 解锁查看密码状态passwd -S username4.3 组管理创建组groupadd groupname将用户加入组usermod -aG groupname username注意-aG中的a表示追加append避免覆盖原有组查看用户所属组groups username5. 安全最佳实践禁用root SSH登录 编辑/etc/ssh/sshd_configPermitRootLogin no使用sudo代替su# 在/etc/sudoers中添加 %wheel ALL(ALL) ALL设置强密码策略 编辑/etc/login.defsPASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_WARN_AGE 14限制su的使用 创建/etc/pam.d/suauth required pam_wheel.so use_uid然后只允许wheel组成员使用suusermod -aG wheel username配置sudo超时# 在/etc/sudoers中添加 Defaults timestamp_timeout5 # 5分钟后重新输入密码6. 常见问题解决方案sudo提示不在sudoers文件中username is not in the sudoers file. This incident will be reported.解决方法用root用户执行visudo添加相应用户或组到sudoers文件sudo密码错误但确认密码正确 可能原因键盘布局错误如误用数字键盘用户被锁定PAM模块配置问题su切换后环境异常command not found解决方法使用su -而不是su检查目标用户的.bashrc和.profile文件sudo执行图形程序报错No protocol specified解决方法sudo -E xauth merge ~/.Xauthority忘记root密码重启进入单用户模式挂载根分区为可写mount -o remount,rw /使用passwd修改密码重新挂载为只读mount -o remount,ro /重启系统7. 高级技巧与自动化批量创建用户newusers userlist.txtuserlist.txt格式username1:x:1001:1001:User One:/home/username1:/bin/bash username2:x:1002:1002:User Two:/home/username2:/bin/bash批量修改密码chpasswd passwords.txtpasswords.txt格式username1:password1 username2:password2密码过期强制修改chage -d 0 username # 下次登录必须修改密码查看用户登录历史last lastlog限制用户资源 编辑/etc/security/limits.confusername hard nproc 100 # 最大进程数 username hard fsize 50000 # 最大文件大小(KB)在实际工作中我发现很多管理员会忽视sudo日志的重要性。sudo的所有操作都会记录在/var/log/auth.log中不同发行版路径可能不同定期检查这些日志可以及时发现异常操作。另外建议为每个管理员创建独立的sudo账户而不是共享root密码这样在人员变动时可以更方便地调整权限。