Oracle Linux 用户管理实用指南
一 核心概念与默认行为
- 操作系统识别用户靠的是UID，登录用用户名；每个用户至少属于一个主组，可拥有多个附加组。组信息保存在**/etc/group**，用户与组密码散列分别保存在**/etc/shadow与/etc/gshadow**（仅管理员可读）。Oracle Linux 默认启用用户专用组 UPG：创建用户时会自动创建一个与其同名、同GID的私有组，该用户是其唯一成员。相关默认与模板文件包括：/etc/login.defs（如 CREATE_HOME）、/etc/default/useradd（如 SKEL）、/etc/skel（骨架文件）。这些机制共同决定了家目录创建、默认 Shell、初始文件拷贝与密码策略等行为。
二 常用用户与组管理命令
- 身份切换与基础
- 切换管理员：执行sudo su -（或直接使用 root）。
- 用户管理
- 新建用户：useradd alice（UPG 会同步创建同名组；家目录与默认 Shell 受 login.defs 与 useradd 默认值影响）。
- 设置口令：passwd alice（/etc/shadow 中由**!!**变为散列值）。
- 修改注释信息：usermod -c “Alice Smith” alice（对应 GECOS 字段）。
- 切换用户环境：su - alice；查看当前用户与目录：whoami、pwd。
- 组管理
- 新建组：groupadd staff（GID 通常递增分配）。
- 追加附加组：usermod -aG staff alice（将 alice 加入 staff；使用 -a 避免覆盖原有附加组）。
- 查看组成员：grep staff /etc/group；查看主组：grep alice /etc/passwd。
- 批量与精细控制
- 交互式编辑用户与组：vipw（编辑 /etc/passwd）、vigr（编辑 /etc/group），适合受控修改与语法校验。
三 共享目录与权限协同（UPG + setgid）
- 目标：让多个用户对同一目录具备一致的组写权限，且新建文件继承目录的组所有权。
- 步骤
- 创建共享目录并设定组：mkdir /staff && chgrp staff /staff
- 设置 setgid 与权限：chmod 2775 /staff（2 表示 setgid；775 表示 rwxrwxr-x）
- 将用户加入共享组：usermod -aG staff alice、usermod -aG staff oracle
- 验证：两用户均可在 /staff 内创建文件，彼此对对方文件具备组写权限；新文件自动继承 staff 组。
- 说明：setgid 确保目录内新建对象继承目录的GID；UPG 保证各用户有各自的私有主组，通过附加组实现安全的共享协作。
四 提升权限与审计（sudo 与日志）
- 授权方式
- 精细授权：使用visudo编辑 /etc/sudoers，例如仅允许 alice 执行用户管理命令：
- 行内容：alice ALL=(ALL) /sbin/useradd
- 保存退出后，alice 可执行：sudo useradd newuser
- 安全与审计
- 未授权尝试会被记录到**/var/log/secure**，便于审计与排错。
- 建议遵循最小权限原则，仅授予完成工作所需的具体命令，避免使用ALL=(ALL) ALL这类宽泛授权。
五 常见问题与排查清单
- 家目录未创建：检查 /etc/login.defs 的 CREATE_HOME 是否为 yes；必要时用 useradd -m 强制创建。
- 新建文件不属于预期组：确认共享目录已设置setgid（2775），且用户已通过 usermod -aG 加入目标组；必要时重新登录以刷新组关系。
- 忘记 root 密码或无法 sudo：进入单用户模式或救援环境进行恢复；日常应妥善保管 root 与 sudo 授权。
- 误删用户但需保留家目录：删除用户前先备份 /home/用户名；删除时用 userdel 而非手动 rm -rf，避免残留 UID/GID 与权限隐患。
- 组成员不生效：使用 groups 命令查看当前会话组；若刚加入附加组，需重新登录或启动新会话以加载组关系。