一. 账号与用户管理基础知识

1. 用户登录流程

1. 先找寻 /etc/passwd 里面是否有你输入的账号？如果没有则跳出，如果有的话则将该账号对应的 UID 与 GID读出来，另外，该账号的家目录与 shell 配置也一并读出；
2. 核对口令！这时 Linux 会进入 /etc/shadow 里面找出对应的账号与 UID，然后核对一下你刚刚输入的口令与里头的口令是否相符，之前所有条件OK，则可以登录系统进入shell环境。

2. 配置文件介绍

/etc/passwd 7个字段：[ 账号名称：密码占位：UID：GID：用户描述：家目录：登录shell ]

提示：如果有密码则显示x，因为真正的密码在/etc/shadow，uid 0为root权限，1-499系统使用，500以后普通新增用户使用。

/etc/shadow 9个字段：[ 账号名称：加密密码：最近更改密码日期：禁止更改密码的天数：密码过期天数：密码过期前提前警告的天数：密码过期后失效的天数：账号失效日期：保留 ]

提示：最近更改密码日期 和 账号失效日期 这两个日期都是使用自1970-1-1直到今天某个日期的天数来表示的。计算公式：echo $(($(date --date="2020/03/06" +%s)/86400+1))

/etc/group  4个字段：[ 组名：群组密码占位：GID：加入此群组的账号名称 ]

提示：使用groups命令可以查看有效群组(第一个是有效群组)，这个概念主要针对建立新文件时所属组而言，可以使用newgrp切换有效群组，但是切换之后是在子shell运行，了解后忘记把。

/etc/gshadow 4个字段： [ 组名：密码：群组管理员账号：加入该组的账号 ]

提示：这个群组管理员是为了帮root干活用的，root太忙了找一些帮手而已，但是现在有sudo，谁还用群组管理员，了解后忘记把。

3. 用户账号管理命令介绍

[ ~]# useradd [-u UID] [-g 初始群组] [-G 次要群组] [-mM]
>  [-c 说明栏] [-d 家目录绝对路径] [-s shell] 使用者账号名

选项与参数：

-u  ：后面接的是 UID ，是一组数字。直接指定一个特定的 UID 给这个账号；

-g  ：后面接的那个组名就是我们上面提到的 initial group 啦～

      该群组的 GID 会被放置到 /etc/passwd 的第四个字段内。

-G  ：后面接的组名则是这个账号还可以加入的群组。

      这个选项与参数会修改 /etc/group 内的相关数据喔！

-M  ：强制！不要创建用户家目录！(系统账号默认值)

-m  ：强制！要创建用户家目录！(一般账号默认值)

-c  ：这个就是 /etc/passwd 的第五栏的说明内容啦～可以随便我们配置的啦～

-d  ：指定某个目录成为家目录，而不要使用默认值。务必使用绝对路径！

-r  ：创建一个系统的账号，这个账号的 UID 会有限制 (参考 /etc/login.defs)

-s  ：后面接一个 shell ，若没有指定则默认是 /bin/bash 的啦～

-e  ：后面接一个日期，格式为『YYYY-MM-DD』此项目可写入 shadow 第八字段，

      亦即账号失效日的配置项目啰；

-f  ：后面接 shadow 的第七字段项目，指定口令是否会失效。0为立刻失效，

      -1 为永远不失效(口令只会过期而强制于登陆时重新配置而已。)

useradd命令详解(一般直接使用加用户即可）

[ ~]# passwd [--stdin]  <==所有人均可使用来改自己的口令

[ ~]# passwd [-l] [-u] [--stdin] [-S] 
>  [-n 日数] [-x 日数] [-w 日数] [-i 日期] 账号 <==root 功能

选项与参数：

--stdin ：可以透过来自前一个管线的数据，作为口令输入，对 shell script 有帮助！

-l  ：是 Lock 的意思，会将 /etc/shadow 第二栏最前面加上 ! 使口令失效；

-u  ：与 -l 相对，是 Unlock 的意思！

-S  ：列出口令相关参数，亦即 shadow 文件内的大部分信息。

-n  ：后面接天数，shadow 的第 4 字段，多久不可修改口令天数

-x  ：后面接天数，shadow 的第 5 字段，多久内必须要更动口令

-w  ：后面接天数，shadow 的第 6 字段，口令过期前的警告天数

-i  ：后面接『日期』，shadow 的第 7 字段，口令失效日期

passwd的详解（一般直接使用即可）

[ ~]# chage [-ldEImMW] 账号名

选项与参数：

-l ：列出该账号的详细口令参数；

-d ：后面接日期，修改 shadow 第三字段(最近一次更改口令的日期)，格式 YYYY-MM-DD

-E ：后面接日期，修改 shadow 第八字段(账号失效日)，格式 YYYY-MM-DD

-I ：后面接天数，修改 shadow 第七字段(口令失效日期)

-m ：后面接天数，修改 shadow 第四字段(口令最短保留天数)

-M ：后面接天数，修改 shadow 第五字段(口令多久需要进行变更)

-W ：后面接天数，修改 shadow 第六字段(口令过期前警告日期)

chage详解（功能类似于passwd）

范例二：创建一个名为 agetest 的账号，该账号第一次登陆后使用默认口令，

        但必须要更改过口令后，使用新口令才能够登陆系统使用 bash 环境

[ ~]# useradd agetest

[ ~]# echo "agetest" | passwd --stdin agetest

[ ~]# chage -d 0 agetest

# 此时此账号的口令创建时间会被改为 1970/1/1 ，所以会有问题！



范例三：尝试以 agetest 登陆的情况

You are required to change your password immediately (root enforced)

WARNING: Your password has expired.

You must change your password now and login again!

Changing password for user agetest.

Changing password for agetest

(current) UNIX password:  <==这个账号被强制要求必须要改口令！

一个有价值的范例：用户首次登陆必须改密码。

[ ~]# usermod [-cdegGlsuLU] username

选项与参数：

-c  ：后面接账号的说明，即 /etc/passwd 第五栏的说明栏，可以加入一些账号的说明。

-d  ：后面接账号的家目录，即修改 /etc/passwd 的第六栏；

-e  ：后面接日期，格式是 YYYY-MM-DD 也就是在 /etc/shadow 内的第八个字段数据啦！

-f  ：后面接天数，为 shadow 的第七字段。

-g  ：后面接初始群组，修改 /etc/passwd 的第四个字段，亦即是 GID 的字段！

-G  ：后面接次要群组，修改这个使用者能够支持的群组，修改的是 /etc/group 啰～

-a  ：与 -G 合用，可『添加次要群组的支持』而非『配置』喔！

-l  ：后面接账号名称。亦即是修改账号名称， /etc/passwd 的第一栏！

-s  ：后面接 Shell 的实际文件，例如 /bin/bash 或 /bin/csh 等等。

-u  ：后面接 UID 数字啦！即 /etc/passwd 第三栏的数据；

-L  ：暂时将用户的口令冻结，让他无法登陆。其实仅改 /etc/shadow 的口令栏。

-U  ：将 /etc/shadow 口令栏的 ! 拿掉，解冻啦！

usermod详解(修改账户信息)

[ ~]# cp -a /etc/skel /home/testuser

[ ~]# chown -R vbird3:vbird3 /home/testuser

[ ~]# chmod 700 /home/testuser

创建家目录的标准操作

[ ~]# userdel [-r] username

选项与参数：

-r  ：连同用户的家目录也一起删除

提示：为了让你的系统不产生莫名其妙的问题，如果想要完整的将某个账号完整的移除，最好可以在下达 userdel -r username 之前， 先以『 find / -user username 』查出整个系统内属于 username 的文件，然后再加以删除吧！

userdel 使用注意事项

[ ~]# chfn [-foph] [账号名]

选项与参数：

-f  ：后面接完整的大名；

-o  ：您办公室的房间号码；

-p  ：办公室的电话号码；

-h  ：家里的电话号码！

chfn 帮助完善账号描述

[ ~]$ chsh [-ls]

选项与参数：

-l  ：列出目前系统上面可用的 shell ，其实就是 /etc/shells 的内容！

-s  ：配置修改自己的 Shell

chsh 修改shell环境命令

study]# id
uid=0(root) gid=0(root) 组=0(root) 环境=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
[ study]# id wangzengyi
uid=1005(wangzengyi) gid=1005(wangzengyi) 组=1005(wangzengyi)
[ study]#

id 查看用户UID和GID

[ ~]# groupadd [-g gid] [-r] 组名

选项与参数：

-g  ：后面接某个特定的 GID ，用来直接给予某个 GID ～

-r  ：创建系统群组啦！与 /etc/login.defs 内的 GID_MIN 有关。

[ ~]# groupmod [-g gid] [-n group_name] 群组名

选项与参数：

-g  ：修改既有的 GID 数字；

-n  ：修改既有的组名

提示：不要随意的更动 GID ，容易造成系统资源的错乱！

[ ~]# groupdel [groupname]

群组相关命令

# 关于系统管理员(root)做的动作：

[ ~]# gpasswd groupname

[ ~]# gpasswd [-A user1,...] [-M user3,...] groupname

[ ~]# gpasswd [-rR] groupname

选项与参数：

    ：若没有任何参数时，表示给予 groupname 一个口令(/etc/gshadow)

-A  ：将 groupname 的主控权交由后面的使用者管理(该群组的管理员)

-M  ：将某些账号加入这个群组当中！

-r  ：将 groupname 的口令移除

-R  ：让 groupname 的口令栏失效



# 关于群组管理员(Group administrator)做的动作：

[ ~]$ gpasswd [-ad] user groupname

选项与参数：

-a  ：将某位使用者加入到 groupname 这个群组当中！

-d  ：将某位使用者移除出 groupname 这个群组当中。

gpasswd 群组管理员

实例一：

账号名称    账号全名    支持次要群组    是否可登陆主机    口令
myuser1    1st user    mygroup1    可以    password
myuser2    2nd user    mygroup1    可以    password
myuser3    3rd user    无额外支持    不可以    password

# 先处理账号相关属性的数据：

[ ~]# groupadd mygroup1

[ ~]# useradd -G mygroup1 -c "1st user" myuser1

[ ~]# useradd -G mygroup1 -c "2nd user" myuser2

[ ~]# useradd -c "3rd user" -s /sbin/nologin myuser3



# 再处理账号的口令相关属性的数据：

[ ~]# echo "password" | passwd --stdin myuser1

[ ~]# echo "password" | passwd --stdin myuser2

[ ~]# echo "password" | passwd --stdin myuser3

实例2：
我的使用者 pro1, pro2, pro3 是同一个项目计划的开发人员，我想要让这三个用户在同一个目录底下工作， 但这三个用户还是拥有自己的家目录与基本的私有群组。假设我要让这个项目计划在 /srv/projecta 目录下开发， 可以如何进行？
# 1. 假设这三个账号都尚未创建，可先创建一个名为 projecta 的群组，

#    再让这三个用户加入其次要群组的支持即可：

[ ~]# groupadd projecta

[ ~]# useradd -G projecta -c "projecta user" pro1

[ ~]# useradd -G projecta -c "projecta user" pro2

[ ~]# useradd -G projecta -c "projecta user" pro3

[ ~]# echo "password" | passwd --stdin pro1

[ ~]# echo "password" | passwd --stdin pro2

[ ~]# echo "password" | passwd --stdin pro3



# 2. 开始创建此项目的开发目录：

[ ~]# mkdir /srv/projecta

[ ~]# chgrp projecta /srv/projecta

[ ~]# chmod 3770 /srv/projecta  #SGID和SBID完美配合

[ ~]# ll -d /srv/projecta

drwxrws--- 2 root projecta 4096 Feb 27 11:29 /srv/projecta

账号管理实例