第3章 用户管理

Linux系统应用第三章Linux用户管理1第三章用（账）户管理

Linux是多用户的操作系统，系统要识别与管理好每个用户，就要求每个用户要有唯一的用户名和私密的口令以及其它的必要信息，这些信息就构成了用户的基本帐户。系统管理员的主要职责是维护系统的正常运行，其中最主要的问题就是管理好系统中的每一个帐户。帐户管理包括建立、删除用户、设置用户权限、用户分组管理等等。2一、用户管理

在Linux系统中超级用户拥有最高权限，一般为了系统安全，建议若非管理需要不要以超级用户登录。 （一）添加用户 1、用命令添加用户 （1）useradd命令 该命令的选项很多，先介绍基本用法，再介绍完整的用法格式。 基本用法： useradd[-dhome_dir][-sshell]用户名 参数说明： -d指定用户的主目录，默认是/home/用户名。 -s指定用户的shell名称，默认是bash。 该命令如果不用参数，则系统用默认值。3用户管理（续）完整用法： useradd[-ccomment][-dhome_dir][-eexpire_date][-finactive_time] [-ginitial_group][-Ggroup[,...]][-m[-kskeleton_dir]|-M][-n][-o][-ppasswd][-r][-sshell][-uuid]login_name或useradd-D[-gdefault_group][-bdefault_home][-edefault_expire_date][-fdefault_inactive][-sdefault_shell] 当使用中不带-D命令选项时，useradd命令用命令行中指定的值和系统默认的值来建立一个用户账户。该账户信息会添加到系统相应的文件中，如/etc/passwd、/etc/shadow文件；系统会建立用户工作目录，并复制初始化配置文件到该目录。除非在命令行中使用-n选项，否则系统将为每个用户建立一个组群并加入到系统中。这种用法系统不会显示默认的参数和选项内容。

当使用中带-D命令选项时，要么显示当前系统默认的参数选项内容，要么通过命令行中设定的-g、-b、-e、-f、-s选项的内容来修改系统默认的选项内容。换句话说、这种用法只是显示或修改系统默认的参数和选项，它并不能真的添加用户。4用户管理（续）例如、执行以下命令 #useradd–D 则可能显示： GROUP=100 HOME=/home INACTIVE=-1 EXPIRE= SHELL=/bin/bash SKEL=/etc/skel思考： 如果执行useradd–D–g200–s/bin/csh命令后，再次执行useradd–D将显示什么？5用户管理（续）useradd命令的选项和说明：命令选项选项说明-c备注添加备注文字，并保存在passwd文件的备注栏中。-d工作目录指定用户登录系统后所使用的工作主目录。-e有效期限指定用户账户的有效期限。有效期限的格式一般是年/月/日，但是如果用月/日/年或日/月/年，系统也能自动识别。-f缓冲天数指定在口令过期后多少天关闭该账户。-g用户组群指定用户所属的组群，组群名必须存在。如果没有指定该参数，则系统默认采用用户名作为组群名。-G用户组群指定用户所属的附加组群。6用户管理（续）-m自动建立用户登录的工作目录。-kskeleton_dir指定用户的缺省配置文件所在的目录。如果使用-k选项则从-k选项指定的目录中复制文件和目录到用户的工作目录，否则、从/etc/skel目录中复制文件与目录。-k选项仅与-m选项一起使用。-M不要自动建立用户登录的工作目录。-n取消建立以用户名为名称的组群。-o允许用UID副本建立用户账户。-p口令如果用户账户不设置初始口令，则用-p“”即可取消口令；否则系统自动生成一个随机的初始口令，锁住该账户。-r建立的是系统账户。这意味着该用户ID比系统在/etc/login.defs文件中预设的UID_MIN（系统预设为500）值要低，且该用户账户口令没有期限；也不会在/home目录下建立该用户工作目录。如果要为一个系统用户账户建立工作目录，则必须指定-m参数选项。-r参数选项由RedHat添加。7用户管理（续）-sshell指定用户登录后所使用的shell。使用中要指定shell的绝对路径名，例如、/bin/csh。-u用户ID指定用户ID。用户ID的数值是唯一的，除非使用了-o参数选项。另外、该值也是非负的。一般指定的用户ID值应大于499，因为数值0~499保留给系统账户使用。如果不用-u参数选项，则对新增加的用户ID，系统会自动从UID_MIN的值、且大于其他任何已经存在的UID值开始递增。-D改变预设值。预设值选项如下：-g组群指定用户预设所属的组群。-b用户目录在指定的用户目录下建立所有用户的登录工作目录。系统默认的预设值为/home。-e有效期限指定预设的账户有效期限。-f缓冲天数指定预设在口令过期后多少天关闭该账户。-sshell指定使用预设的shell。8用命令添加用户（续）（2）adduser命令 在其他版本的Linux系统中，该命令是一个脚本程序，采用友好的交互方式，只要输入adduser回车、按系统提示信息的要求输入即可，使用者可以无需记忆复杂、繁多的参数选项，而是让使用者回答一系列的问题来设置新用户的各项信息，包括用户的密码等，使用较为方便。但在RedHatLinux中adduser命令是useradd命令的符号连接，两者实际上是同一个命令；如果在/usr/sbin目录下执行ls–ladduser命令，则可以看到它是连接到useradd命令。用法（格式）： adduser 回车后按屏幕提示逐项回答即可，当然、提示信息都是英文的。92、手工添加用户

用useradd命令，实际上就是在passwd文件中写入信息。因此、该方法就是利用文本编辑器直接打开passwd口令文件（在/etc目录下），该文件的每一行有由“:”分隔的7个域，每行就是一个用户的帐户信息。若要添加用户，只要在文件中写入相应的条目。但是、一定要记住还要为新用户创建相应的目录，并把一些用户配置文件复制到该用户目录下。 用这种方法时，要求系统管理员要对Linux系统非常熟悉，否则很容易漏掉一些操作。passwd文件的格式:

Loginname:passwd:userID:groupID:userfullname:homedirectory:loginshell 每个域的含义如下：

10手工添加用户（续）Loginname：

用户向系统登录时输入的用户名。该用户名的命名规则是：只能字母、数字和下划线组成，而且只能以字母开始，虽然以下划线开始也能创建用户账户，但系统不允许登录；用户名的长度不超过32个字符，否则提示为无效的用户名；同一系统中用户名必须是唯一的。passwd：

为了用户账户的安全，Linux系统对用户的口令和其他信息做了加密处理，并保存在/etc/shadow文件中；因此在passwd文件的passwd域不会明文显示口令，只是以字符“x”表示该用户存在登录口令；如果用户账户在创建时没有口令，则该域为空。11手工添加用户（续）userID：

是系统内部识别用户的标识，Linux把用户分为系统用户和普通用户，一般系统用户由系统进程、服务守护进程和超级用户等组成，分配给它们的用户ID一般在0~99之间，普通用户的ID默认从500开始递增、最大可以到60000。除非在用useradd命令添加用户时使用了-r参数选项，否则添加的都是普通用户；如果使用了-o参数选项，则用户的ID并非是唯一的，可能几个用户有相同的用户ID，但系统把它们看成是同一个用户。UserID默认值的设置在/etc目录下的login.defs文件中。groupID：

用户所属组群的标识，其含义与用户ID类似；用户组ID的默认值也是从500~60000。GroupID默认值的设置在/etc目录下的login.defs文件中。12手工添加用户（续）userfullname：

用户全名。该域实际上是对登录用户名的注释，该域的内容会被加到电子邮件地址的前面。例如、任何从该用户账户发送的电子邮件将在对方显示“userfullname”<username@163.com>。homedirectory：

该域是创建用户账户时设定的用户工作目录，用户在登录系统时自动进入该目录，用户建立的文件一般默认保存在该目录下。loginshell：该域是创建用户账户时设定用户所使用的shell。所谓shell就是用户与操作系统内核之间的接口，是系统命令的解释程序。在Linux系统中有多种shell可供用户选择，例如，bash（GNUBourne-AgainShell）、sh（BourneShell）、csh（CShell）、ksh（KornShell）等等，但系统默认的shell是bash。虽然各种shell的基本功能相同，但有些命令只能在特定的shell下执行。13示例--Passwd文件以下给出一个具体的passwd文件作为示例。 每行有7个域，每行为1个用户帐户；前面各行为系统用户，最后两行为添加的用户。本例省略了中间各行。 root:x:0:0:root:/root:/bin/bash bin:x:1:1:bin:/bin:/sbin/nologin daemon:x:2:2:daemon:/sbin:/sbin/nologin adm:x:3:4:adm:/var/adm:/sbin/nologin lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin sync:x:5:0:sync:/sbin:/bin/sync shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown

. . . zxj:x:500:500:zxj:/home/zxj:/bin/bash zx:x:501:501:zx:/home/zx:/bin/bash14（二）设置口令

系统管理员使用useradd命令添加用户时，如果没有为该用户账户设置初始口令，则该用户账户的口令要么是系统随机给出的，要么没有（什么情况下？）。因此、为了账户安全，系统管理员应提醒用户在使用前还要设置口令，口令以加密的形式保存在/etc目录下的shadow（影子）文件中。 口令设置的规则与操作系统课程所述规则相同。 基本用法（格式）： passwd[-uf][user_name] 参数说明： -u解开已上锁的帐号。该参数只有系统管理员才能使用。 -f强制执行解锁操作。该参数只有系统管理员才能使用。 如果用户忘记了口令，也可以请超级用户或系统管理员清除passwd文件中的口令域，用户登录后重新设置口令。15设置口令（续）例如，新添加用户x10并设置口令：

[root@localhost/]#useraddx10 添加新用户账户 [root@localhost/]#passwdx10 设置新口令 Changingpasswordforuserx10. 系统显示为x10用户改变口令信息 Newpassword: 提示输入新口令 Retypenewpassword: 提示确认新口令 passwd:allauthenticationtokensupdatedsuccessfully. 修改成功 [root@localhost/]#

为新用户设置口令与为老用户改变口令在用法上没有什么的差别，只是系统显示的信息不同而已；例如、改变口令时的提示信息是要求输入当前的口令。在按提示要求输入口令时，如果口令太简单、例如只有数字或字母；或者口令长度太短、例如长度少于6个字符，则Linux系统为了账户安全都会拒绝接受并要求重新输入。16设置口令（续）完整用法： passwd[-k][-l][-u[-f]][-d][-nmindays][-xmaxdays][-wwarndays][-iinactivedays][-S][username] 其中，用户名参数的规则与该命令的基本用法相同；其他为命令选项。下表列出了passwd命令的选项和说明。命令选项选项说明-k采用该选项，则设置成只有在口令过期失效后才能改变。-l采用该选项可以锁住账户。passwd命令会在加密过的密码字符串前加上“！”字符（在/etc/shadow文件中），让该账户的口令失效而无法登录系统。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。17设置口令（续）-u采用该选项可以解开已被锁住的账户。passwd命令会把密码字符串前的“！”字符删除并恢复该账户口令，使该账户用户可以登录系统。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。-f强制执行解锁操作。对于原来有口令的账户，如果采用-l选项加锁、则采用-u选项解锁即可。对于原来没有口令的账户，如果采用-l选项加锁、则必须采用-uf选项配合来解锁。-d无论口令是否加锁，都可以删除口令。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。-nmindays如果用户账户支持口令生存期限，则该选项将以天数为单位设置最小口令生存期限。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。18设置口令（续）-xmaxdays如果用户账户支持口令生存期限，则该选项将以天数为单位设置最大口令生存期限。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。-wwarndays如果用户账户支持口令生存期限，则该选项将预先设置口令过期前警告的天数。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。-iinactivedays如果用户账户支持口令生存期限，则该选项将设置口令过期后多少天关闭该账户。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。-S列出口令的相关信息，如是否有口令、口令是否被锁等。这个参数选项只有超级用户或有超级用户权限的系统管理员才能使用。19设置口令（续）参考示例1： 某用户的登录名为x10，由于忘记了口令请求系统管理员帮助。解决方法之一： 系统管理员以超级用户身份登录系统，执行： #passwd–dx10 #sux10 再由该用户自己执行passwd命令，重新设置账户口令。解决方法之二： 系统管理员以超级用户身份登录系统，执行： #vi/etc/passwd 找到该用户在passwd文件中的记录行，删除口令域中的“x”标记并保存。执行： #sux10 再由该用户自己执行passwd命令，重新设置账户口令。20设置口令（续）参考示例2： 某用户的登录名为x11，由于出差暂时离开请求系统管理员锁住账户。解决方法： 系统管理员以超级用户身份登录系统，执行： #passwd–lx11 #exit 待该用户出差返回后由系统管理员解锁，执行： #passwd–ux1121（三）删除用户如果某个用户已永久从系统中撤离，则系统管理员要及时删除该用户；如果只是暂时撤离，则只要把passwd文件的口令域清除并填入一个“*”即可。1、用userdel命令命令用法（格式）： userdel[-r]用户名参数说明： -r删除该用户的目录及目录下的所有子目录、文件。2、手工删除 首先、删除passwd文件中该用户对应的行。 其次、删除该用户的目录及目录下的所有子目录、文件。22二、用户组管理

Linux根据各个用户所享有的文件权限的不同而分为不同的用户组。一个用户至少属于一个用户组，该组就是用户的基本组；但同时还可以属于其他很多的附加组。用户在系统中某一时刻所属组为当前组，也可以使用newgrp命令来切换所属组。（一）添加用户组1、用groupadd命令命令用法（格式）： groupadd[-ggid[-o]][–r][-f]组名参数含义参见教材表3-8。23添加用户组（续）2、手工添加 用groupadd命令，实际上就是在group文件中写入信息。因此、该方法就是利用文本编辑器直接打开group组文件（在/etc目录下），该文件的每一行有由“:”分隔的4个域，每行就是一个用户组的帐户信息。若要添加用户组，只要在文件中写入相应的条目。group文件的格式:

groupname:passwd:groupID:userlist每个域的含义具体见下表： 24添加用户组（续）groupname： 用户组群名称。用户组群的命名规则与用户名命名的规则类似。同一系统中用户组群名必须是唯一的，除非在groupadd命令中使用了-f参数选项。passwd： 用户组群口令。为了用户组群账户的安全，Linux系统对用户组群的口令做了加密处理，并保存在/etc/gshadow文件中；因此在group文件的passwd域不会明文显示口令，只是以字符“x”表示该用户组群存在口令；如果非本组用户要进入时（权限允许的条件下）需要输入口令。25添加用户组（续）groupID： 即GID，用户所属组群的标识，其含义与用户ID类似；用于系统识别一个用户组群。普通用户组ID的默认值也是从500~60000。GroupID默认值的设置在/etc目录下的login.defs文件中。userlist： 以该组群为附加组群的用户。该域显示系统中有哪些用户组群把该组群作为附加组群。 以下给出一个具体的group文件作为示例。26示例--group文件每行有4个域，每行为1个用户组帐户；前面各行为系统用户组，倒数第4、5行为添加的用户组，最后3行为特殊用户组帐户。本例省略了中间各行。 root:x:0:root bin:x:1:root,bin,daemon daemon:x:2:root,bin,daemon sys:x:3:root,bin,adm adm:x:4:root,adm,daemon tty:x:5: disk:x:6:root . . . zxj:x:500:zxj zx:x:501: pppusers:x:230: popusers:x:231: slipusers:x:232:27（二）为用户组设置口令

组口令的设置没有专门的组口令命令，仍然用passwd命令，但操作要分几个步骤才能完成。组口令的设置在实际应用中较少使用，所以在此不作详细的说明，如有需要请参阅教材3.3.2小节（P85）和Linux命令手册中的具体内容。28（三）删除用户组

如果某个用户组已永久从系统中撤离，则系统管理员可及时删除该用户组。1、用groupdel命令命令用法（格式）： groupdel用户组名2、手工删除 删除group文件中该用户组对应的行。29（四）修改用户组属性1、用groupmod命令命令用法（格式）：

groupmod[-ggid[-o]][-n新组名][旧组名]参数说明参见教材表3-9。2、手工修改 如果要修改组名、组ID、用户列表，则用文本编辑器打开/etc/group文件编辑该组所对应的行即可。 如果要修改组口令，由于口令加密后存在影子文件中，所以、修改口令比较麻烦，可参照组口令设置的方法去做。30三、XWindows下的用（帐）户管理

在Linux操作系统的图形界面下也有用（帐）户管理程序，它利用菜单、鼠标即可轻松完成添加、删除用户和用户组、设置用户口令、修改用户和用户组属性等各项操作；由于图形界面下的各项操作简单、方便，很容易掌握，因此、这里不对它作详细的说明，只是给出一些图示说明。31XWindows下的用（帐）户管理—图例点击“开始”即状态栏上的红帽子，打开菜单、点击“系统设置”、打开下一级菜单、点击“用户和组群”菜单。32XWindows下的用（帐）户管理—图例打开的用户管理程序界面如图所示。有菜单、图标工具栏、两个选项卡。目前只有两个用户，passwd文件的各个域直接显示。33XWindows下的用（帐）户管理—图例打开“文件”菜单或点击“添加用户”图标，则弹出创建新用户对话框，如图所示。要添加用户只要按要求输入即可。输入的用户名系统会作为默认的主目录名。如果不手工指定用户ID，则系统从500后开始安排UID编号，500前的号码系统保留。34XWindows下的用（帐）户管理—图例左图为用户属性对话框。通过该对话框可以很方便地修改用户数据以及组群数据。35XWindows下的用（帐）户管理—图例这是帐号信息选项卡。通过该选项卡可以方便地设置某个用户帐号的有效期限。如果暂时冻结某个用户帐户也可在此选择“用户帐号已被锁”的多选忸。36XWindows下的用（帐）户管理—图例这是创建新组群对话框。通过该对话框可以方便地设置组名，如果需要也可手工指定组ID，同样、系统默认从500后开始分配组号。37四、用户权限的设置

RedHatLinux在7.0以前的版本的安装光盘上带有linuxconf软件包，当系统安装时会在硬盘上安装该软件，但是由于该软件存在安全漏洞，在8.0以后的版本中为了系统安全并简化操作系统而不再有该软件包。 Linuxconf是系统工具软件，它既有图形界面，也有字符界面。通过它可以完成对Linux系统的大多数设置，新的版本还增加了远程设置功能。由于它功能太强大，所以默认只有超级用户才能使用。 目前要使用该软件可以从网络上下载，一般为Linux的软件包形式，即为.rpm文件；下载后用命令： rpm–i软件包名安装即可。 由于该软件功能很多，这里只用图例简单介绍用户权限的管理，其他内容大家可以自学。FTP下载链接：ftp://ftp.solucorp.qc.ca/pub/linuxconf/devel/redhat-9.0/下载文件：linuxconf-1.31r3-1.i386.rpm38四、用户权限的设置39四、用户权限的设置40四、用户权限的设置41四、用户权限的设置42四、用户权限的设置43Linuxconf软件的应用安装完软件重启选择“Doit”44Linuxconf软件的应用进入系统图形界面后，按“Ctrl＋Alt＋F1”即可进入字符界面，然后运行linuxconf45Linuxconf软件的应用这是该软件运行后的界面（在字符终端下）。从图上可见，它包含对Linux配置、控制、状态和任务的设置。用光标健移动到相应的位置，回车即可。46Linuxconf软件的应用（续）打开“配置”菜单下的“用户”菜单，在“Normal”子菜单下可以看到有用户帐户、组定义、改变超级用户口令选项。这些选项也可以完成前面所说的用户管理工作。但在这里只介绍用户权限的设置。47Linuxconf软件的应用（续）选中用户帐户选项并回车，则打开图示用户信息对话框。选中你要设置权限的用户并回车。48Linuxconf软件的应用（续）打开一个新的对话框，如图所示。显示出该用户的基本信息。49Linuxconf软件的应用（续）按下翻页键，则进入用户权限的设置页面如图所示。50Linuxconf软件的应用（续）这个页面里可以设置：是否允许该用户使用Linuxconf软件；是否允许修改Linux配置；是否允许关机；是否允许更改网络模式；是否允许拥有超级用户的同等权限；是否允许查看系统日志；是否允许有与Windows等网络联网的权限等等。可以选择的选项有：禁止、允许、允许/默认。根据不同用户的需要作出选择后，点击“接受”按钮即可。51Linuxconf软件的应用（续）在这个页面里还有特殊用户权限的设置。特殊用户有：POP、PPP、UUCP等；这些特殊用户是系统用来控制一些特殊任务的。但同样也有登录名、UID值和口令，而且也总是属于某个组。权限设置的选择与方法同前。52五、查看用户1、w命令 查询登录用户的详细情况。命令格式（用法）： W[-husfV][用户名]参数说明：-h不显示信息头。-u不显示用户的当前进程及占用的CPU时间。-s以简洁格式显示，不显示用户登录的时间、终端机阶段作业和程序所耗费的CPU时间。-f不显示用户登录的地点。-V显示命令版本信息。53五、查看用户（续）示例一：显示当前已登录的用户情况。 $w

13:24:07up8min,3users,loadaverage:0.08,0.37,0.21 USERTTYFROMLOGIN@IDLEJCPUPCPUWHAT zxjtty1-1:22pm1:210.05s0.05s-bash root:0-1:19pm?0.00s1.20s/usr/bin/gnome- rootpts/0:0.01:20pm0.00s0.11s0.02sw第一行为信息头。 13：24：07为系统当前时间 up8min为系统自启动以来的时间 3users为当前登录的用户数 loadaverage:0.08,0.37,0.21为系统平均负载信息，三个数字表示过去1、5、15分钟的平均负载。数字越接近0，表示系统负载越低。54五、查看用户（续）第二行的含义： USER目前登录的用户名称 TTY登录终端名称 FROM登录地点。若从虚拟控制台登录，则为空。 LOGIN@登录时间 IDLE空闲时间 JCPU和该终端连接的所有进程占用的时间 PCPU当前进程所占用的时间 WHAT用户正在执行的命令55五、查看用户（续）示例二：显示指定用户的情况。 $wroot 13:25:00up9min,3users,loadaverage:0.19,0.36,0.22 USERTTYFROMLOGIN@IDLEJCPUPCPUWHAT root:0-1:19pm?0.00s1.22s/usr/bin/gnome- rootpts/0:0.01:20pm0.00s0.11s0.02swroot2、who命令 查询登录用户简要情况命令格式（用法）： Who[-imqsuwHT][--count][--idle][--heading][--help] [--message][--mesg][--version][--writable][file][ami]56五、查看用户（续）参数说明：-i，-u，--idle在“登录时间”之后显示用户的空闲时间。-m与“whoami”命令的功能相同，显示当前终端的登录用户。-q，--count仅显示当前登录的用户名和用户数。-H，--heading显示信息头。-w，-T，--mesg，--message，--writable在登录用户名之后，显示用户的消息状态。“+”表示可以用“write”命令向其他用户发消息，也可以接收其他用户的消息；“-”表示不允许发送和接收消息；“？”表示无法确定终端设备。57五、查看用户（续）示例一：显示当前有哪些用户登录。 $who zxjtty1Sep913:22 root:0Sep913:19 rootpts/0Sep913:20(:0.0)示例二：显示当前是否可以联机收发信息。 $who–w zxj+tty1Sep913:22 root?:0Sep913:19 root+pts/0Sep913:20(:0.0)58五、查看用户（续）3、finger命令 查询系统用户的详细信息命令格式（用法）： Finger[-lmsp][账号名称…]参数说明：注：.plan和.project文件用来记录用户本身想显示给其他用户看的信息，可以用.forward文件来完成电子邮件的转发。-s以短格式显示用户信息，包括登录名、真实名、终端名、消息状态、空闲时间、登录时间等信息。-l以长格式显示用户信息，除包括–s信息外，还包括用户目录、家庭电话、登录shell名、邮件状态的信息。-p禁止显示“.plan”“.project”和“.forward”文件所包含的信息。-m禁止查找用户的真实姓名59五、查看用户（续）示例一：显示指定用户的详细信息。 $fingerzxj Login:zxj Name:zxj Directory:/home/zxj Shell:/bin/bas