用户与组管理

cat /etc/passwd | head -3
# root:x:0:0:root:/root:/bin/bash
# daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
# heiye:x:1000:1000:Black Night:/home/heiye:/bin/bash

sudo cat /etc/shadow | grep heiye
# heiye:$6$randomsalt$hashedpasswordstring...:19000:0:99999:7:::

cat /etc/group | head -3
# root:x:0:
# daemon:x:1:
# docker:x:998:heiye,deploy

groups heiye
# heiye : heiye docker sudo

id heiye
# uid=1000(heiye) gid=1000(heiye) groups=1000(heiye),998(docker),27(sudo)

id                       # 一眼看全：uid、主组(gid=)、所有附加组(groups=)
groups                   # 只列组名

# 刚被加进一个附加组后，需要重新登录（开新会话）才生效——因为组身份在登录时就固定了
newgrp docker            # 无需重新登录，临时把「当前 shell 的主组」切成 docker
                         # 之后新建的文件属组即为 docker；exit 退出这个子 shell 就还原

# 最简单的创建（使用系统默认值）
useradd deploy

# 完整参数创建
useradd -u 1500 \              # 指定 UID
        -g developers \         # 指定主组
        -G docker,sudo \        # 附加组（逗号分隔）
        -d /opt/deploy \        # 指定家目录
        -s /bin/bash \          # 指定 Shell
        -c "Deploy User" \      # 描述
        -m \                    # 创建家目录
        deploy                  # 用户名

# 创建不允许登录的用户（仅用于运行服务）
useradd -r -s /usr/sbin/nologin myapp
# -r 表示系统用户，UID < 1000

# 修改描述
usermod -c "New Description" deploy

# 添加到附加组
usermod -aG docker deploy       # -a 表示 append，不用会覆盖原有附加组！

# 锁定用户
usermod -L deploy               # 在 shadow 密码前加 !

# 解锁用户
usermod -U deploy

# 修改 Shell
usermod -s /sbin/nologin deploy # 禁止登录

# 修改家目录
usermod -d /new/home -m deploy

userdel deploy                  # 删除用户，保留家目录
userdel -r deploy               # 删除用户 + 删除家目录 + 删除邮件池

passwd deploy                   # 设密码（root 可直接设）
passwd -l deploy                # 锁定密码
passwd -u deploy                # 解锁密码
passwd -S deploy                # 查看密码状态
passwd -e deploy                # 强制用户下次登录修改密码
passwd -d deploy                # 删除密码（危险）

last                            # 所有登录记录
last -n 20                      # 最近 20 条
lastb                           # 登录失败记录（需要 root）
lastlog                         # 每个用户的最后登录时间

chage -l deploy                 # 查看某用户的密码/账户有效期设置
chage -M 90 deploy              # 密码最长 90 天必须改（最大使用天数）
chage -m 7  deploy              # 改密后至少 7 天才能再改（最小天数，防连续改绕过历史）
chage -W 14 deploy              # 密码到期前 14 天开始警告
chage -I 30 deploy              # 密码过期后再拖 30 天仍不改，则禁用账户（inactive）
chage -E 2026-12-31 deploy      # 设置账户到期日
chage -d 0 deploy               # 置为「已过期」，强制下次登录必须改密（同 passwd -e）

su deploy                       # 切到 deploy 用户（需要 deploy 的密码）
su - deploy                     # 切到 deploy，同时加载 deploy 的环境变量

su                              # 不指定用户，默认切 root
su -                            # 切 root 并加载 root 的环境

sudo command                    # 以 root 身份执行一条命令
sudo -u deploy command          # 以 deploy 身份执行
sudo -l                         # 查看当前用户有哪些 sudo 权限
sudo -v                         # 刷新 sudo 时间戳（延长免密时间）

# 永远不要直接 vim /etc/sudoers
# 用 visudo——它会做语法检查，防止你配错导致无法 sudo
visudo                          # 编辑主文件
visudo -f /etc/sudoers.d/myapp  # 建独立文件（推荐方式）

用户名  主机=(以谁的身份运行)  可执行的命令

# 1. root 可以在任何主机以任何人身份执行任何命令
root    ALL=(ALL:ALL) ALL

# 2. deploy 在任何主机以 root 身份执行 systemctl restart
deploy  ALL=(root) /usr/bin/systemctl restart *

# 3. deploy 免密码执行 systemctl restart（常用配置）
deploy  ALL=(root) NOPASSWD: /usr/bin/systemctl restart *

# 4. %developers 组的所有成员可以免密执行任意命令
%developers ALL=(ALL) NOPASSWD: ALL

# 5. 限制具体服务
deploy  ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/systemctl restart myapp

# 6. 允许 restart 任意服务，但显式禁止 restart firewalld
deploy  ALL=(root) NOPASSWD: /usr/bin/systemctl restart *, !/usr/bin/systemctl restart firewalld

# Step 1：创建用户
useradd -m -s /bin/bash deploy

# Step 2：设密码
passwd deploy

# Step 3：创建 sudoers 文件（推荐独立文件）
visudo -f /etc/sudoers.d/deploy

# 添加内容：
# deploy  ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/systemctl restart myapp

# Step 4：验证
deploy@server:~$ sudo -l
# User deploy may run the following commands on server:
#     (root) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/systemctl restart myapp

deploy@server:~$ sudo systemctl restart nginx   # 成功
deploy@server:~$ sudo systemctl restart mysql   # 被拒绝
deploy@server:~$ sudo systemctl status nginx    # 被拒绝——只允许 restart

# Ubuntu/Debian
tail -f /var/log/auth.log | grep sudo

# RHEL 系（Rocky / AlmaLinux / CentOS Stream）
tail -f /var/log/secure | grep sudo

# systemd 系统（不分发行版）也能直接查 journal
journalctl _COMM=sudo             # 只看 sudo 产生的日志
journalctl -e | grep sudo

# 输出示例
# Jul  1 10:30:15 server sudo:   deploy : TTY=pts/0 ; PWD=/home/deploy ; USER=root ; COMMAND=/usr/bin/systemctl restart nginx

# 创建组
groupadd developers
groupadd -g 800 developers       # 指定 GID

# 修改组
groupmod -n devs developers       # 重命名

# 删除组
groupdel developers

# 将用户加入组
usermod -aG docker heiye          # 加用户到 docker 组
gpasswd -a heiye docker           # 另一种方式

# 将用户移出组
gpasswd -d heiye docker

# 1. 检查空密码用户
awk -F: '($2 == "" ) { print $1 " has no password!" }' /etc/shadow

# 2. 检查 UID=0 的用户（只有 root 应该是 0）
awk -F: '($3 == 0) { print $1 }' /etc/passwd

# 3. 检查所有 sudo 权限
grep -v '^#' /etc/sudoers | grep -v '^$'
grep -r '^[^#]' /etc/sudoers.d/

# 4. 检查哪些用户可以登录
awk -F: '$7 !~ /(nologin|false)$/ { print $1 }' /etc/passwd

# 5. 检查 .ssh/authorized_keys 权限（关键是不能被组/其他人可写，否则 sshd 会拒绝）
find /home -name authorized_keys -perm /022 -exec ls -la {} \;   # -perm /022 = group 或 other 有 w