flyinweb's blog

I、Linux 用户（user）和用户组（group）管理概述

摘要：本文主要讲述在Linux 系统中用户(user)和用户组(group)管理相应的概念；用户(user)和用户组(group)相关命令的列举；其中也对单用户多任务，多用户多任务也做以解说，本文应该说是比较基础的文档；

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
正文
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++

一、理解Linux的单用户多任务，多用户多任务概念；

Linux 是一个多用户、多任务的操作系统；我们应该了解单用户多任务和多用户多任务的概念；

1、Linux 的单用户多任务；

单用户多任务；比如我们以beinan 登录系统，进入系统后，我要打开gedit 来写文档，但在写文档的过程中，我感觉少点音乐，所以又打开xmms 来点音乐；当然听点音乐还不行，MSN 还得打开，想知道几个弟兄现在正在做什么，这样一样，我在用beinan 用户登录时，执行了gedit 、xmms以及msn等，当然还有输入法fcitx ；这样说来就有点简单了，一个beinan用户，为了完成工作，执行了几个任务；当然beinan这个用户，其它的人还能以远程登录过来，也能做其它的工作。

2、Linux 的多用户、多任务；

有时可能是很多用户同时用同一个系统，但并不所有的用户都一定都要做同一件事，所以这就有多用户多任务之说；

举个例子，比如LinuxSir.Org 服务器，上面有FTP 用户、系统管理员、web 用户、常规普通用户等，在同一时刻，可能有的弟兄正在访问论坛；有的可能在上传软件包管理子站，比如luma 或Yuking 兄在管理他们的主页系统和FTP ；在与此同时，可能还会有系统管理员在维护系统；浏览主页的用的是nobody 用户，大家都用同一个，而上传软件包用的是FTP用户；管理员的对系统的维护或查看，可能用的是普通帐号或超级权限root帐号；不同用户所具有的权限也不同，要完成不同的任务得需要不同的用户，也可以说不同的用户，可能完成的工作也不一样；

值得注意的是：多用户多任务并不是大家同时挤到一接在一台机器的的键盘和显示器前来操作机器，多用户可能通过远程登录来进行，比如对服务器的远程控制，只要有用户权限任何人都是可以上去操作或访问的；

3、用户的角色区分；

用户在系统中是分角色的，在Linux 系统中，由于角色不同，权限和所完成的任务也不同；值得注意的是用户的角色是通过UID和识别的，特别是UID；在系统管理中，系统管理员一定要坚守UID 唯一的特性；

root 用户：系统唯一，是真实的，可以登录系统，可以操作系统任何文件和命令，拥有最高权限；
虚拟用户：这类用户也被称之为伪用户或假用户，与真实用户区分开来，这类用户不具有登录系统的能力，但却是系统运行不可缺少的用户，比如bin、daemon、adm、ftp、mail等；这类用户都系统自身拥有的，而非后来添加的，当然我们也可以添加虚拟用户；
普通真实用户：这类用户能登录系统，但只能操作自己家目录的内容；权限有限；这类用户都是系统管理员自行添加的；

4、多用户操作系统的安全；

多用户系统从事实来说对系统管理更为方便。从安全角度来说，多用户管理的系统更为安全，比如beinan用户下的某个文件不想让其它用户看到，只是设置一下文件的权限，只有beinan一个用户可读可写可编辑就行了，这样一来只有beinan一个用户可以对其私有文件进行操作，Linux 在多用户下表现最佳，Linux能很好的保护每个用户的安全，但我们也得学会Linux 才是，再安全的系统，如果没有安全意识的管理员或管理技术，这样的系统也不是安全的。

从服务器角度来说，多用户的下的系统安全性也是最为重要的，我们常用的Windows 操作系统，它在系纺权限管理的能力只能说是一般般，根本没有没有办法和Linux或Unix 类系统相比；

二、用户(user）和用户组（group）概念；


1、用户（user）的概念；

通过前面对Linux 多用户的理解，我们明白Linux 是真正意义上的多用户操作系统，所以我们能在Linux系统中建若干用户（user）。比如我们的同事想用我的计算机，但我不想让他用我的用户名登录，因为我的用户名下有不想让别人看到的资料和信息（也就是隐私内容）这时我就可以给他建一个新的用户名，让他用我所开的用户名去折腾，这从计算机安全角度来说是符合操作规则的；

当然用户（user）的概念理解还不仅仅于此，在Linux系统中还有一些用户是用来完成特定任务的，比如nobody和ftp 等，我们访问LinuxSir.Org 的网页程序，就是nobody用户；我们匿名访问ftp 时，会用到用户ftp或nobody ；如果您想了解Linux系统的一些帐号，请查看 /etc/passwd ；

2、用户组（group）的概念；

用户组（group）就是具有相同特征的用户（user）的集合体；比如有时我们要让多个用户具有相同的权限，比如查看、修改某一文件或执行某个命令，这时我们需要用户组，我们把用户都定义到同一用户组，我们通过修改文件或目录的权限，让用户组具有一定的操作权限，这样用户组下的用户对该文件或目录都具有相同的权限，这是我们通过定义组和修改文件的权限来实现的；

举例：我们为了让一些用户有权限查看某一文档，比如是一个时间表，而编写时间表的人要具有读写执行的权限，我们想让一些用户知道这个时间表的内容，而不让他们修改，所以我们可以把这些用户都划到一个组，然后来修改这个文件的权限，让用户组可读，这样用户组下面的每个用户都是可读的；

用户和用户组的对应关系是：一对一、多对一、一对多或多对多；

一对一：某个用户可以是某个组的唯一成员；
多对一：多个用户可以是某个唯一的组的成员，不归属其它用户组；比如beinan和linuxsir两个用户只归属于beinan用户组；
一对多：某个用户可以是多个用户组的成员；比如beinan可以是root组成员，也可以是linuxsir用户组成员，还可以是adm用户组成员；
多对多：多个用户对应多个用户组，并且几个用户可以是归属相同的组；其实多对多的关系是前面三条的扩展；理解了上面的三条，这条也能理解；

三、用户（user）和用户组（group）相关的配置文件、命令或目录；


1、与用户（user）和用户组（group）相关的配置文件；

1）与用户（user）相关的配置文件；

/etc/passwd 注：用户（user）的配置文件；
/etc/shadow 注：用户（user）影子口令文件；

2）与用户组（group）相关的配置文件；

/etc/group 注：用户组（group）配置文件；
/etc/gshadow 注：用户组（group）的影子文件；

2、管理用户（user）和用户组（group）的相关工具或命令；


1）管理用户（user）的工具或命令；

2）管理用户组（group）的工具或命令；

3、/etc/skel 目录；

/etc/skel目录一般是存放用户启动文件的目录，这个目录是由root权限控制，当我们添加用户时，这个目录下的文件自动复制到新添加的用户的家目录下；/etc/skel 目录下的文件都是隐藏文件，也就是类似.file格式的；我们可通过修改、添加、删除/etc/skel目录下的文件，来为用户提供一个统一、标准的、默认的用户环境；

/etc/skel 目录下的文件，一般是我们用useradd 和adduser 命令添加用户（user）时，系统自动复制到新添加用户（user）的家目录下；如果我们通过修改 /etc/passwd 来添加用户时，我们可以自己创建用户的家目录，然后把/etc/skel 下的文件复制到用户的家目录下，然后要用chown 来改变新用户家目录的属主；

4、/etc/login.defs 配置文件；

/etc/login.defs 文件是当创建用户时的一些规划，比如创建用户时，是否需要家目录，UID和GID的范围；用户的期限等等，这个文件是可以通过root来定义的；

比如Fedora 的 /etc/logins.defs 文件内容；

5、/etc/default/useradd 文件；

通过useradd 添加用户时的规则文件；

摘要：本文详解用户（User）和用户组（Group）的配置文件，本文是《Linux 用户（User）和用户组（Group）管理概述》文档的关健部份的细化；通过本文，您至少能明白/etc/passwd /etc/group ，以及什么是UID和GID 等；其中对UID的重要性加以详细的论述；最后，本文还以通过修改用户及用户组配置文件的办法来实现管理用户和用户组，进而说明在Linux系统中，系统文件的重要性；
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
正文
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
用户（User）和用户组（Group）的配置文件，是系统管理员最应该了解和掌握的系统基础文件之一，从另一方面来说，了解这些文件也是系统安全管理的重要组成部份；做为一个合格的系统管理员应该对用户和用户组配置文件透彻了解才行；
一、用户（User）相关；
谈到用户，就不得不谈用户管理，用户配置文件，以及用户查询和管理的控制工具；用户管理主要通过修改用户配置文件完成；用户管理控制工具最终目的也是为了修改用户配置文件。 什么是用户查询和管理控制工具呢？用户查询和控制工具是查询、添加、修改和删除用户等系统管理工具，比如查询用户的id和finger命令，添加用户的useradd 或adduser 、userdel 用户的删除 、设置密码的passwd命令 、修改用户usermod 等等；我们需要知道的是通过用户查询和控制工具所进行的动作的最终目的也是修改用户配置文件；所以我们进行用户管理的时候，直接修改用户配置文件一样可以达到用户管理的目的； 通过上面的解说，我们能实实在在的感觉到用户（User）配置文件的重要性；其实用户和用户组在系统管理中是不可分割的，但为了说明问题，我们还是得把用户（User）的配置文件单列出来解说，其中包括/etc/passwd 和/etc/shadow 文件；在这之中，你还能了解UID的重要性； 通过本标题，您可以了解或掌握的内容有：了解/etc/passwd和/etc/shadow；什么UID ； 与用户相关的系统配置文件主要有/etc/passwd 和/etc/shadow，其中/etc/shadow是用户资讯的加密文件，比如用户的密码口令的加密保存等；/etc/passwd 和/etc/shadow 文件是互补的；我们可以通过对比两个文件来差看他们的区别；

1、关于/etc/passwd 和 UID；
/etc/passwd 是系统识别用户的一个文件，做个不恰当的比喻，/etc/passwd 是一个花名册，系统所有的用户都在这里有登录记载；当我们以beinan 这个账号登录时，系统首先会查阅 /etc/passwd 文件，看是否有beinan 这个账号，然后确定beinan的UID，通过UID 来确认用户和身份，如果存在则读取/etc/shadow 影子文件中所对应的beinan的密码；如果密码核实无误则登录系统，读取用户的配置文件；

1）/etc/passwd 的内容理解：
在/etc/passwd 中，每一行都表示的是一个用户的信息；一行有7个段位；每个段位用:号分割，比如下面是我的系统中的/etc/passwd 的两行；

第一字段：用户名（也被称为登录名）；在上面的例子中，我们看到这两个用户的用户名分别是 beinan 和linuxsir；
第二字段：口令；在例子中我们看到的是一个x，其实密码已被映射到/etc/shadow 文件中；
第三字段：UID ；请参看本文的UID的解说；
第四字段：GID；请参看本文的GID的解说；
第五字段：用户名全称，这是可选的，可以不设置，在beinan这个用户中，用户的全称是beinan sun ；而linuxsir 这个用户是没有设置全称；
第六字段：用户的家目录所在位置；beinan 这个用户是/home/beinan ，而linuxsir 这个用户是/home/linuxsir ；
第七字段：用户所用SHELL 的类型，beinan和linuxsir 都用的是 bash ；所以设置为/bin/bash ；
2）关于UID 的理解：
UID 是用户的ID 值，在系统中每个用户的UID的值是唯一的，更确切的说每个用户都要对应一个唯一的UID ，系统管理员应该确保这一规则。系统用户的UID的值从0开始，是一个正整数，至于最大值可以在/etc/login.defs 可以查到，一般Linux发行版约定为60000； 在Linux 中，root的UID是0，拥有系统最高权限；UID 在系统唯一特性，做为系统管理员应该确保这一标准，UID 的唯一性关系到系统的安全，应该值得我们关注！比如我在/etc/passwd 中把beinan的UID 改为0后，你设想会发生什么呢？beinan这个用户会被确认为root用户。beinan这个帐号可以进行所有root的操作；
UID 是确认用户权限的标识，用户登录系统所处的角色是通过UID 来实现的，而非用户名，切记；把几个用户共用一个UID 是危险的，比如我们上面所谈到的，把普通用户的UID 改为0，和root共用一个UID ，这事实上就造成了系统管理权限的混乱。如果我们想用root权限，可以通过su或sudo来实现；切不可随意让一个用户和root分享同一个UID ；
UID是唯一性，只是要求管理员所做的，其实我们修改/etc/passwd 文件，可以修改任何用户的UID的值为0， 一般情况下，每个Linux的发行版都会预留一定的UID和GID给系统虚拟用户占用，虚拟用户一般是系统安装时就有的，是为了完成系统任务所必须的用户，但虚拟用户是不能登录系统的，比如ftp、nobody、adm、rpm、bin、shutdown等； 在Fedora 系统会把前499 个UID和GID 预留出来，我们添加新用户时的UID 从500开始的，GID也是从500开始，至于其它系统，有的系统可能会把前999UID和GID预留出来；以各个系统中/etc/login.defs中的 UID_MIN 的最小值为准； Fedora 系统 login.defs的UID_MIN是500，而UID_MAX 值为60000，也就是说我们通过adduser默认添加的用户的UID的值是500到60000之间；而Slackware 通过adduser不指定UID来添加用户，默认UID 是从1000开始；
2、关于/etc/shadow ；

1）/etc/shadow 概说；
/etc/shadow文件是/etc/passwd 的影子文件，这个文件并不由/etc/passwd 而产生的，这两个文件是应该是对应互补的；shadow内容包括用户及被加密的密码以及其它/etc/passwd 不能包括的信息，比如用户的有效期限等；这个文件只有root权限可以读取和操作，权限如下：

/etc/shadow 的权限不能随便改为其它用户可读，这样做是危险的。如果您发现这个文件的权限变成了其它用户组或用户可读了，要进行检查，以防系统安全问题的发生； 如果我们以普通用户查看这个文件时，应该什么也查看不到，提示是权限不够：

2）/etc/shadow 的内容分析；
/etc/shadow 文件的内容包括9个段位，每个段位之间用:号分割；我们以如下的例子说明；

第一字段：用户名（也被称为登录名），在/etc/shadow中，用户名和/etc/passwd 是相同的，这样就把passwd 和shadow中用的用户记录联系在一起；这个字段是非空的；
第二字段：密码（已被加密），如果是有些用户在这段是x，表示这个用户不能登录到系统；这个字段是非空的；
第三字段：上次修改口令的时间；这个时间是从1970年01月01日算起到最近一次修改口令的时间间隔（天数），您可以通过passwd 来修改用户的密码，然后查看/etc/shadow中此字段的变化；
第四字段：两次修改口令间隔最少的天数；如果设置为0,则禁用此功能；也就是说用户必须经过多少天才能修改其口令；此项功能用处不是太大；默认值是通过/etc/login.defs文件定义中获取，PASS_MIN_DAYS 中有定义；
第五字段：两次修改口令间隔最多的天数；这个能增强管理员管理用户口令的时效性，应该说在增强了系统的安全性；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_MAX_DAYS 中定义；
第六字段：提前多少天警告用户口令将过期；当用户登录系统后，系统登录程序提醒用户口令将要作废；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_WARN_AGE 中定义；
第七字段：在口令过期之后多少天禁用此用户；此字段表示用户口令作废多少天后，系统会禁用此用户，也就是说系统会不能再让此用户登录，也不会提示用户过期，是完全禁用；
第八字段：用户过期日期；此字段指定了用户作废的天数（从1970年的1月1日开始的天数），如果这个字段的值为空，帐号永久可用；
第九字段：保留字段，目前为空，以备将来Linux发展之用； 如果更为详细的，请用 man shadow来查看帮助，您会得到更为详尽的资料；

我们再根据实例分析：

第一字段：用户名（也被称之为登录名），在例子中有峡谷两条记录，也表示有两个用户beinan和linuxsir
第二字段：被加密的密码，如果有的用户在此字段中是x，表示这个用户不能登录系统，也可以看作是虚拟用户，不过虚拟用户和真实用户都是相对的，系统管理员随时可以对任何用户操作；
第三字段：表示上次更改口令的天数（距1970年01月01日），上面的例子能说明beinan和linuxsir这两个用户，是在同一天更改了用户密码，当然是通过passwd 命令来更改的，更改密码的时间距1970年01月01日的天数为13072；
第四字段：禁用两次口令修改之间最小天数的功能，设置为0
第五字段：两次修改口令间隔最多的天数，在例子中都是99999天；这个值如果在添加用户时没有指定的话，是通过/etc/login.defs来获取默认值，PASS_MAX_DAYS 99999；您可以查看/etc/login.defs来查看，具体的值；
第六字段：提前多少天警告用户口令将过期；当用户登录系统后，系统登录程序提醒用户口令将要作废；如果是系统默认值，是在添加用户时由/etc/login.defs文件定义中获取，在PASS_WARN_AGE 中定义；在例子中的值是7 ，表示在用户口令将过期的前7天警告用户更改期口令；
第七字段：在口令过期之后多少天禁用此用户；此字段表示用户口令作废多少天后，系统会禁用此用户，也就是说系统会不能再让此用户登录，也不会提示用户过期，是完全禁用；在例子中，此字段两个用户的都是空的，表示禁用这个功能；
第八字段：用户过期日期；此字段指定了用户作废的天数（从1970年的1月1日开始的天数），如果这个字段的值为空，帐号永久可用；在例子中，我们看到beinan这个用户在此字段是空的，表示此用户永久可用；而linuxsir这个用户表示在距1970年01月01日后13108天后过期，算起来也就是2005年11月21号过期；哈哈，如果有兴趣的的弟兄，自己来算算，大体还是差不多的;)；
第九字段：保留字段，目前为空，以备将来Linux发展之用；
二、关于用户组；

具有某种共同特征的用户集合起来就是用户组（Group）。用户组（Group）配置文件主要有 /etc/group和/etc/gshadow，其中/etc/gshadow是/etc/group的加密信息文件；在本标题下，您还能了解到什么是GID ；
1、/etc/group 解说；
/etc/group 文件是用户组的配置文件，内容包括用户和用户组，并且能显示出用户是归属哪个用户组或哪几个用户组，因为一个用户可以归属一个或多个不同的用户组；同一用户组的用户之间具有相似的特征。比如我们把某一用户加入到root用户组，那么这个用户就可以浏览root用户家目录的文件，如果root用户把某个文件的读写执行权限开放，root用户组的所有用户都可以修改此文件，如果是可执行的文件（比如脚本），root用户组的用户也是可以执行的； 用户组的特性在系统管理中为系统管理员提供了极大的方便，但安全性也是值得关注的，如某个用户下有对系统管理有最重要的内容，最好让用户拥有独立的用户组，或者是把用户下的文件的权限设置为完全私有；另外root用户组一般不要轻易把普通用户加入进去，

2、/etc/group 内容具体分析
/etc/group 的内容包括用户组（Group）、用户组口令、GID及该用户组所包含的用户（User），每个用户组一条记录；格式如下：

在/etc/group 中的每条记录分四个字段： 第一字段：用户组名称；
第二字段：用户组密码；
第三字段：GID
第四字段：用户列表，每个用户之间用,号分割；本字段可以为空；如果字段为空表示用户组为GID的用户名； 我们举个例子：

而/etc/passwd 对应的相关的记录为：

由此可以看出helloer用户组包括 helloer用户；所以我们查看一个用户组所拥有的用户，可以通过对比/etc/passwd和/etc/group来得到；
2、关于GID ；
GID和UID类似，是一个正整数或0，GID从0开始，GID为0的组让系统付予给root用户组；系统会预留一些较靠前的GID给系统虚拟用户（也被称为伪装用户）之用；每个系统预留的GID都有所不同，比如Fedora 预留了500个，我们添加新用户组时，用户组是从500开始的；而Slackware 是把前100个GID预留，新添加的用户组是从100开始；查看系统添加用户组默认的GID范围应该查看 /etc/login.defs 中的 GID_MIN 和GID_MAX 值； 我们可以对照/etc/passwd和/etc/group 两个文件；我们会发现有默认用户组之说；我们在 /etc/passwd 中的每条用户记录会发现用户默认的GID ；在/etc/group中，我们也会发现每个用户组下有多少个用户；在创建目录和文件时，会使用默认的用户组；我们还是举个例子； 比如我把linuxsir 加为root用户组，在/etc/passwd 和/etc/group 中的记录相关记录为：
linuxsir用户在 /etc/passwd 中的记录；我们在这条记录中看到，linuxsir用户默认的GID为502；而502的GID 在/etc/group中查到是linuxsir用户组；

linuxsir 用户在 /etc/group 中的相关记录；在这里，我们看到linuxsir用户组的GID 为502，而linuxsir 用户归属为root、beinan用户组；

我们用linuxsir 来创建一个目录，以观察linuxsir用户创建目录的权限归属；

通过我们用linuxsir 来创建目录时发现，testdir的权限归属仍然是linuxsir用户和linuxsir用户组的；而没有归属root和beinan用户组，明白了吧； 但值得注意的是，判断用户的访问权限时，默认的GID 并不是最重要的，只要一个目录让同组用户可以访问的权限，那么同组用户就可以拥有该目录的访问权，在这时用户的默认GID 并不是最重要的；
3、/etc/gshadow 解说；
/etc/gshadow是/etc/group的加密资讯文件，比如用户组（Group）管理密码就是存放在这个文件。/etc/gshadow和/etc/group是互补的两个文件；对于大型服务器，针对很多用户和组，定制一些关系结构比较复杂的权限模型，设置用户组密码是极有必要的。比如我们不想让一些非用户组成员永久拥有用户组的权限和特性，这时我们可以通过密码验证的方式来让某些用户临时拥有一些用户组特性，这时就要用到用户组密码；/etc/gshadow 格式如下，每个用户组独占一行；

第一字段：用户组
第二字段：用户组密码，这个段可以是空的或!，如果是空的或有!，表示没有密码；
第三字段：用户组管理者，这个字段也可为空，如果有多个用户组管理者，用,号分割；
第四字段：组成员，如果有多个成员，用,号分割； 举例：

第一字段：这个例子中，有两个用户组beinan用linuxsir
第二字段：用户组的密码，beinan用户组无密码；linuxsir用户组有已经，已经加密；
第三字段：用户组管理者，两者都为空；
第四字段：beinan用户组所拥有的成员是linuxsir ，然后还要对照一下/etc/group和/etc/passwd 查看是否还有其它用户，一般默认添加的用户，有时同时也会创建用户组和用户名同名称； linuxsir 用户组有成员linuxisir ； 如何设置用户组的密码？ 我们可以通过 gpasswd 来实现；不过一般的情况下，没有必要设置用户组的密码；不过自己实践一下也有必要；下面是一个为linuxsir用户组设置密码的例子；gpasswd 的用法：gpasswd 用户组

用户组之间的切换，应该用 newgrp ，这个有点象用户之间切换的su ；我先举个例子：

说明：我是以beinan用户组切换到linuxsir用户组，并且建了一个目录，然后再切换回beinan用户组，又建了一个目录，请观察两个目录属用户组的不同；还是自己体会吧；
三、通过用户和用户组配置文件来查询或管理用户；

1、用户和用户组查询的方法；


1）通过查看用户（User）和用户组的配置文件的办法来查看用户信息
我们已经用户（User）和用户组（Group）的配置文件已经有个基本的了解，通过查看用户（User）和用户组的配置文件，我们就能做到对系统用户的了解，当然您也可以通过id 或finger 等工具来进行用户的查询等任务。 对于文件的查看，我们可以通过 more 或cat 来查看，比如 more /etc/passwd 或cat /etc/passwd ；其它工具也一样，能对文本查看就行，比如less 也好 比如我们可以通过more 、cat 、less命令对/etc/passwd 的查看，虽然命令不同，但达到的目的是一样的， 都是得到/etc/passwd 的内容；

2）通过id和finger 工具来获取用户信息；
除了直接查看用户（User）和用户组（Group）配置文件的办法除外，我们还有id和finger工具可用，我们一样通过命令行的操作，来完成对用户的查询；id和finger，是两个各有测重的工具，id工具更测重用户、用户所归属的用户组、UID 和GID 的查看；而finger 测重用户资讯的查询，比如用户名（登录名）、电话、家目录、登录SHELL类型、真实姓名、空闲时间等等；
id 命令用法；

比如：我想查询beinan和linuxsir 用户的UID、GID 以及归属用户组的情况：

关于id的详细用法，我会在专门用户查询的文章来介绍；您可以通过man id 来查看用法，用起来还是比较简单的； finger 的用法

详细用法请参看man finger ；关于更为详细用法，我会在专门用户查询的文章来介绍； 如果finger 不加任何参数和用户，会显示出当前在线用户，和w命令类似；对比一下；不过各有测重；

如果我们在finger 后面加上用户名，就可以看到用户更为详细的信息，可以一次查看多个用户，用空格分开，比如下面的例子中，我们一次查询两个用户beinan和linuxsir的信息；

3）用户组查询的办法；
我们可以通过用户来查询所归属的组，用groups 来查询；比如我查询beinan和linuxsir 所归属的组，我们可以用groups 来查询；

2、通过修改用户（User）和用户组（Group）配置文件的办法来添加；
由于我们已经在前面说过，可以通过修改配置文件的办法来管理用户，所以此主题应该包括此内容；当然通过用户及用户组管理工具（比如 adduser、userdel、usermod 、userinfo、groupadd 、groupdel 、groupmod等）也是可以的，通过管理工具对用户的管理我们将要在专门一篇文章中介绍；
通过修改用户（User）和用户组（Group）配置文件的方法管理用户之用户的添加流程；
我们先以添加用户为例，对用户的删除和修改都比较简单；
1）修改 /etc/passwd ，添加用户记录；
我们按/etc/passwd的格式的约定来添加新的用户记录；当然您要让一个用户失效，可以删除您想要删除的用户记录；值得注意的是，不能让UID 重复； 比如我想添加lanhaitun 这个用户，我发现UID 508没有用户用，并且我想把其用户组也设置为lanhaitun ，用户组的GID 也设置为508,如果GID 没有占用的话； 我们要打开 /etc/passwd ，在最下面加一行；

然后执行pwconv ，让/etc/passwd 和/etc/shadow同步，您可以查看 /etc/shadow的内容是否同步；

2）修改/etc/group
首先，我们得查看是否有lanhaitun用户组，以及GID 508 是否被其它用户组占用；

通过查看，我们发现没有被占用；所以我们要添加lanhaitun 的记录到 /etc/group

其次，是运行 grpconv 来同步/etc/group 和/etc/gshadow内容，您可以通过查看/etc/gshadow的内容变化确认是不是添加组成功了；

3）创建用户的家目录，并把用户启动文件也复制过去；
创建用户的家目录，我们要以/etc/passwd 中添加的新用户的记录为准，我们在/etc/passwd 中添加新用户lanhaitun ，她的家目录是处于/home/lanhaitun ；另外我们还需要把/etc/skel 目录下的.*隐藏文件复制过去；

4）改变新增用户家目录的属主和权限；
我们发现新增用户的家目录的属主目前是root ，并且家目录下的隐藏文件也是root权限；

所以我们要通过chown 命令来改变/home/lanhaitun目录归属为lanhaitun用户；

查看是否已经更换了属主为lanhaitun用户所有；

看来已经实现了； 但这样还是不够的，因为/home/lanhaitun/的目录权限可能会过于公开；

我们看到 /home/lanhaitun/ 目录的权限为 drwxr-xr-x ，也就是同组用户和其它用户组所能查看，为了保密，我们有理由把新增用户家目录的权限设置为只有其自己可读可写可执行；于是... ...

我们用其它用户，当然得把具有超级权限的root用户除外；比如我以beinan用户来查看lanhaitun的家目录会得到如下信息；

如此看来，lanhaitun用户的家目录是安全的 ;)

5）设置新增用户的密码；
以上各步骤都就序了，我们得为新增用户设置密码了；要通过passwd 命令来生成；这个没有办法通过修改文件解决；

passwd 的用法：

6）测试添增用户是否成功；
您可以用新增用户登录测试，也可以通过su 来切换用户测试；

通过上面一系列动作，我们会发现所创建的lanhaitun用户已经成功；

2、通过修改用户（User）和用户组（Group）配置文件的办法来修改用户或用户组；
我们可以修改/etc/passwd 和/etc/group 来达到修改用户和用户所归属的组，这个过程和添加新用户时差不多；比如我想修改lanhaitun的用户名全称、公司以及电话等信息；我们可以修改/etc/passwd 实现；
1）修改用户信息；

我们可以修改为

当然我们还可以修改用户的bash 类型，家目录等，当然如果修改家目录，还得进行建家目录、属主和权限的操作，这和前面添加用户的办法在程序上有些是相同的； 修改完成后，我们要进行pwconv 同步，通过finger 来查看用户的信息等；

2）修改用户所归属的组，可以通过/etc/group 修改实现；

当然修改用户和用户组，不仅能通过修改配置文件来实现，还能过过 usermod 及chfn来实现；我将在以后的文档中写一写，也比较简单；您可以通过man来查看用法；在这里我们先讲一讲如何通过修改配置文件来达到目的； 如果我们想把lanhaitun 这个用户归属到root用户组，所以我们还能修改/etc/group 的办法来达到目的；找到/etc/group 中的root开头的一行，按其规划加入lanhaitun；

如果不明白，看前面/etc/group的解释，谢谢； 然后执行 grpconv 命令来同步/etc/group 和/etc/gshadow两个文件的内容；

查看lanhaitun归属组的信息；

3）删除用户及用户组的办法；
这个比较简单，我们可以通过删除/etc/passwd 和/etc/group 相应的用户和用户组记录就能达到目的，也能过过userdel 和groupdel 来实现对用户及用户组的删除； 如果是通过修改用户和用户组配置文件的办法来删除用户，就是删除相应的记录就行了，如果不想保留其家目录，删除就是了。

注：可以用userdel 来删除lanhaitun 用户，我们看到第二个例子中多了一个参数-r ，第一个例子是说只删除lanhaitun用户，其家目录和mail等仍会保存；加上-r 参数，是删除家目录及mail等；所以要小心操作；用userdel 删除用户的同时，也会把其用户组删除；我们可以通过/etc/passwd 和/etc/group 的内容变化来查看；

 

III、Linux 用户（User）查询篇

摘要： 本文主要介绍在用户管理中，查询用户的几种工具介绍 id 、finger、groups 以及 w、who、users ；

目录索引

一、用户查询工具的原理；

二、用户（User）和用户组（Group）查询工具；

1、id 工具: 查询用户所对应的UID 和GID 及GID所对应的用户组；
2、finger 工具：用来查询用户信息，侧重用户家目录、登录SHELL等；
3、查询登录主机的用户工具：w 、who 、users
4、groups 用户所归属的用户组查询；

三、后记；
四、参与修正本文；
五、致谢；
六、相关文档；

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
正文
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++

一、用户查询工具的原理；

在用户管理中，用户查询是通过几个常用的工具来完成的，比如id 、finger、groups、users ... ... ，我们都知道用户的配置文件是/etc/passwd，用户组的配置文件是/etc/groups 文件，我们对用户的查询除了通过查询工具以外，我们还能直接查看用户和用户组的配置文件来达到查询的目的；

用户查询工具的原理也是读取与用户和用户组有关的配置文件，然后按一定的规则和条件输出，用户和用户组配置文件很重要，所以您有必要先读一下关有用户管理的文档：

《Linux 用户（user）和用户组（group）管理概述》
《用户（user）和用户组（group）配置文件详解》

二、用户（User）和用户组（Group）查询工具；

1、id 工具: 查询用户所对应的UID 和GID 及GID所对应的用户组；

id 工具是用来查询用户信息，比如用户所归属的用户组，UID 和GID等；id 用法极为简单；我们举个例子说明一下；

至于有哪些参数，自己查一下 id --help 或man id ；如果id后面不接任何参数和任何用户，默认显示当前操作用户的用户名、所归属的用户组、UID和GID等；

实例一：不加任何参数和用户名；

注解：在没有加任何参数的情况下，查询的是当前操作用户的用户名、UID 、GID 和所处的主用户组和附属用户组；在本例中，用户名是beinan，UID是500,所归属的主用户组是beinan，GID是500 ；

实例二： id 后面接用户名；

如果我们想查询系统中用户的UID和GID 相应的内容，可以直接接用户名，但用户名必须是真实的 ，能在/etc/passwd中查到的；

注解：查询用户linuxsir 的信息，用户linuxsir ，UID 为505，所归属的主用户组是linuxsir，主用户组的GID是502；同时linuxsir用户也是GID为0的root用户组成员，也是GID为500用户组beinan的成员；

这个例子和实例一在用户组方面有所不同，我们在 《Linux 用户（user）和用户组（group）管理概述》 中有提到；用户和用户组的对应关系，可以是一对一、一对多、多对一、或多对多的交叉关系，请参考之；另外您还需要掌握《用户（user）和用户组（group）配置文件详解》一文；

2、finger 工具：用来查询用户信息，侧重用户家目录、登录SHELL等；

finger 工具侧重于用户信息的查询；查询的内容包括用户名（也被称为登录名Login），家目录，用户真实的名字（Name）... ... 办公地址、办公电话；也包括登录终端、写状态、空闭时间等；

我们最常用finger 来查询用户家目录、用户真实名、所用SHELL 类型、以及办公地址和电话，这是以参数 -l 长格式输出的；而修改用户的家目录、真实名字、办公地址及办公电话，我们一般要能过chfn命令进行；

语法格式：


finger [参数选项] [用户名］
-l 采用长格式（默认），显示由-s选项所包含的所有信息，以及主目录、办公地址、办公电话、登录SHELL、邮件状态、.plan、.project和.forward；
-m 禁止对用户真实名字进行匹配；
-p 把.plan和.project文件中的内容省略；
-s 显示短格式，用户名（也被称为登录名Login）、真实名字（NAME）、在哪个终端登录（Tty）、写状态、空闲时间（Idle）、登录时间（Login Time）、办公地点、办公电话等；

至于finger 有哪些参数，您可以通过 finger --help 或man finger 来获取，我们在本文中以实例讲述最常用的参数；

实例一：不接任何参数，也不指定查询用户名；默认为加了-s参数；

等价命令

注解：不加任何参数，也没有指定查询哪个用户，finger 会以默认以短格-s 来输出登录本机的所有用户的用户名（也被称为登录名Login）、真实名字（NAME）、在哪个终端登录（Tty）、写状态、空闲时间（Idle）、登录时间（Login Time）、办公地点、办公电话等；

在这个例子中，有beinan用户登录，真实名字是beinan sun （这个名字是用户的真实名字，如果在添加用户时没有设置，是不会显示的），在tty1终端登录，空闭时间是1分39秒，登录时间是Nov /2/08:27 ，没有办公室名称，没有办公电话；

请对照本例中beinan用户记录的解说，我们来看看本例中的 linuxsir用户信息；应该不难。

关于写状态，如果在Tty 后面 没有任何输出，表示正在写入，如果有*出现，表示没有写入或被禁止，比如下面的例子，ftp用户没有通过终端登录系统，因为Tty是*，同时Tty后面还有一个* ，表示禁止写入或没有写入状态(当用户没有登录时）；

我们可以以短格式的来查询某个用户信息以短格式输出，比如下面的例子；

实例二：关于长格式的用户信息的输出 -l 参数的实例；

finger -l 如果不加用户名的情况下，可以列出所有通过tty登录的用户信息；如果您想查询某个用户，就直接指定用户，可以指定一个或多个；什么是tty登录？如果您在全屏文本界面操作的话，您可以通过按CTRL+F2或CTRL+F3 或CTRL+F4等， 以几个不同的用户登录到主机上，您就会看到，每个用户都有不同的tty；

在本例中，所查询的用户是beinan，真实名字是beinan sun ，家目录位于 /home/beinan ，所用SHELL类型是bash ；然后就是通过哪个终端登录的，登录时间，是不是有mail ，有Plan 等；

实例三：参数组合的例子；

注解：查询beinan用户信息，以长格式输出，并且不输出.Plan和.Project的内容；

实例四： finger -s 和w 及who的比较；

对于finger 就说这么多吧，极为简单的工具，当用到-s 参数时，您最好和w和who工具对照，看看finger -s 和w 及who的输出有什么异同，w和who是查询哪些用户登录主机的；而finger -s 呢，无论是登录还是不登录的用户都可以查；但所查到的内容侧重有所不同；自己看看例子；

3、查询登录主机的用户工具：w 、who 、users

w、who和users工具，是查询已登录当前主机的用户；另外finger -s 也同样能查询；侧重点不一样；请自己对比着看；毕竟简单，这里只是介绍 ；

4、groups 用户所归属的用户组查询；

groups 用法很简单，就是查询用户所归属哪个或哪些用户组；

实例：

groups 主要是查询用户所归属的用户组名，最好和id命令相对比；这样对这两个工具都有所了解；

IV、Linux 用户管理工具介绍 

摘要： 本文主要介绍Linux系统的用户和用户组的查询、添加、修改及删除等管理工具；

目录索引


一、与用户管理相关的配置文件；

• 1、/etc/passwd 和/etc/groups
• 2、超级权限控制 sudo 的配置文件/etc/sudoers ；
• 3、添加用户规则文件 /etc/login.defs 和 /etc/default/useradd

二、添加用户工具和方法；

• 1、useradd 工具；
• 1.1、useraadd 命令中的 -D运用
• 1.2、useradd 添加用户；
• 2、通过修改/etc/passwd 管理（添加、删除、修改）用户的方法；
• 3、添加用户组命令 groupadd ；

三、passwd 设置或修改用户密码；

• 1、passwd 简单说明；
• 2、passwd 几个比较重要的参数；
• 3、chage 修改用户密码有效期限的命令；

四、删除用户和用户组的工具， userdel和 groupdel 介绍；

• 1、userdel 用法；
• 2、groupdel的用法；

五、修改用户的工具介绍；

• 1、chfn 修改用户信息工具；
• 2、chsh 改变用户的SHELL类型；
• 3、usermod 用户修改工具（极其强大）
• 4、userinfo 图形介面的修改工具；

六、后记；
七、关于本文；
八、致谢；
九、参考文档；
十、相关文档；

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
正文
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++

Linux是一个多用户的操作系统，她有完美的用户管理工具，这些工具包括用户的查询、添加、修改，以及用户之间相互切换的工具等；通过这些工具，我们能安全、轻松的完成用户管理；

在这里我们要引入用户控制工具的概念，比如对用户添加的useradd或adduser ，对用户删除的 userdel ，与修改用户相关信息的 usermod、chfn、chsh ，还有密码设置工具passwd 等等；这些工具只所以被称为用户控制工具，理由是她们是控制和管理用户的工具。

一、与用户管理相关的配置文件；


1、/etc/passwd 和/etc/groups

我们对用户和用户组进行添加、修改、删除最终目的是修改系统用户 /etc/passwd和其加密资讯文件 /etc/shadows 以及用户组的 /etc/groups和其加密资讯文件/etc/gshadow，所以对用户和用户组的添加并不仅仅是只能通过用户添加、修改、删除等用户控制工具来完成，我们还能直接修改与用户和用户组相应的配置文件来达到目的。在 《用户（user）和用户组（group）配置文件详解》一文中，我有谈过通过修改用户及用户组配置文件的办法来添加、删除、修改用户，进而达到对系统用户的管理；

参考文档：

《Linux 用户（user）和用户组（group）管理概述》
《用户（user）和用户组（group）配置文件详解》

2、超级权限控制sudo 的配置文件 /etc/sudoers ；

参考文档：《Linux 系统中的超级权限的控制》

3、添加用户规则文件 /etc/login.defs 和 /etc/default/useradd

参考文档：《Linux 用户（user）和用户组（group）管理概述》

二、添加用户工具和方法；

添加用户工具有useradd和adduser ，这两个工具所达到的目的都是一样的，在Fedora 发行版中,useradd 和adduser 用法是一样的；但在slackware发行版本中，adduser和useradd 还是有所不同，表现为adduser 是以人机交互的提问的方式来添加用户；

除了useradd和adduser工具以外，我们还能通过修改用户配置文件/etc/passwd和/etc/groups的办法来实现；

当然我们也不要忽略一些发行版独有用户管理工具，比如Fedora 中有 system-config-users 工具；这个工具比较简单，点几下鼠标就能完成；

1、useradd 工具；

useradd 不加参数选项时，后面直接跟所添加的用户名时，系统时读取添加用户配置文件/etc/login.defs和/etc/default/useradd文件，然后读取/etc/login.defs和/etc/default/useradd中所定义的规则添加用户；并向/etc/passwd和/etc/groups文件添加用户和用户组记录；当然/etc/passwd和/etc/groups的加密资讯文件也同步生成记录；同时发生的还有系统会自动在/etc/add/default中所约定的目录中建用户的家目录，并复制/etc/skel中的文件（包括隐藏文件）到新用户的家目录中；

useradd 的语法：

当我们执行useradd 用户名 来添加用户时，我们会发现一个比较有意思的现象，新添中的用户的家目录总是被自动添加到 /home目录下，我们先举个例子；

实例一：不加任何参数，直接添加用户；

在这个例子中，我们添加了beinanlinux用户，我们在查看/home/目录时，会发现系统自建了一个beinanlinux的目录；

我们再来查看 /etc/passwd 文件有关beinanlinux的记录，也会有新发现；我们通过more 来读取 /etc/passwd 文件，并且通过grep 来抽取 beinanlinux字段，得出如下一行；

从得出的beinanlinux的记录来看，以adduser 工具添加beinanlinux用户时，设置用户的UID和GID分别为509 ，并且把beinanlinux的家目录设置在 /home/beinanlinux ，所有的SHELL是 bash ； 我们再来看看 /etc/shadow、/etc/groups和/etc/gshadow 文件，是不是也有与beinanlinux有关的行；我们还要查看/etc/default/useradd 和/etc/login.defs文件的规则，看一下beinanlinux用户的增加是不是和这两个配置文件有关；我们还要查看 /home/beinanlinux目录下的文件，是不是和/etc/skel目录中的一样；

由此我们引出我们下面所要谈的内容：

useradd -D [-g group] [-b base] [-s shell] [-f inactive] [-e expire ]

1）/etc/default/useradd 配置文件的定义；

useradd -D [-g group] [-b base] [-s shell] [-f inactive] [-e expire ]

useradd 加-D参数后，就是用来改变配置文件 /etc/default/useradd的；

useradd -D [-g group] [-b base] [-s shell] [-f inactive] [-e expire ]

实例二：
useradd -D 如不指定任何参数，useradd显示目前预设的值；

我们看一下/etc/default/useradd 文件就明白了，应该和上面的输出是一样的；所以如果我们想改变useradd配置文件/etc/default/adduser 的内容，也可以用编辑器直接操作，如果你会用vi编辑器或者其它编辑器的话，这个应该不成问题吧；

实例三：

我想把添加用户时的默认SHELL /bin/bash 改为 /bin/tcsh ，则应该用下面的命令；

这个-D参数的解说就这样了，也是比较简单，如果不会用命令，直接改参数配置文件总会吧；Linux解决问题是极为灵活的，就看我们怎么解决了，对不对？

2）useradd 添加用户；

新帐号建立，当不加-D参数,useradd指令使用命令列来指定新帐号的设定值and使用系统上的预设值.新用户帐号将产生一些系统档案，用户目录建立，拷备起始档案等，这些均可以利用命令列选项指定。此版本为RedHat Linux提供，可帮每个新加入的用户建立个别的group,毋须添加-n选项。

useradd 这么多的参数看上去头有点晕，我们如何用呢？？其实很简单；一个参数一个参数的试一试不就明白了？？这是最好的学习方法。实践是检验真理的唯一标准；

如果useradd 后面直接跟用户名，不加任何参数，表示添加用户时按事先/etc/default/adduser 和/etc/login.defs 添加新用户的配置文件的规则来添加用户；其实我们为了方便，也可以把这两个文件修改以适合我们添加用户需要；

useradd 为什么还需要那么多的参数呢？

原因很简单，主要是为了管理员方便管理用户。useradd 是灵活的，可以跳过/dev/default/adduser 和/etc/login.defs 两个配置文件中的规则来自定义添加用户；比如在用户的家目录，在/etc/default/adduser 中可能定义在/home目录下建立，如果我们的机器/home独立占一个分区，并且有点紧张，但我们又不想改变/etc/default/adduser 关于家目录的定义，这里我们就可以通过 adduser -d 参数把新增用户家目录定义到空间比较空闭的分区；

通过下面的几个例子，可能有助于我们理解useradd ，其实很简单~，学习也是这样，先从简单的入手，一步一步的走过来，没有什么难的~~

实例四：以/etc/logins.defs和/etc/default/adduser 默认的规则添加用户；

注解：如果useradd 后面直接用户名，表示系统读取 /etc/login.defs和/etc/default/adduser 配置文件，根本这两个配置文件所定义的规则来添加用户，比如用户的家目录哪里，用什么SHELL，UID和GID的分配... ... 查看/etc/passwd的新增记录，然后根据 /etc/login.defs和/etc/default/adduser 查看新增用户是否符合这两个配置文件所约定的规则；

实例五：练习参数的使用；

注：看上去是已经有amdcpu用户了；x是密码段；UID和GID 都是510，ChinaCpu表示是什么意思？ 家目录位于/home/amdcpu，SHELL是bash ；

[root@localhost ~]# finger longcpu 注：我们查询一下amdcpu 用户的信息；
Login: longcpu Name: ChinaCpu 注：-c ChinaCpu 表示用户真实的名字或全名；
Directory: /home/longcpu Shell: /bin/bash
Never logged in.
No mail.
No Plan.

注解：这个例子，我们做了添加用户、查看/etc/passwd 的变化； 并且通过finger 来查询longcpu用户的信息，目的是理解参数-c的用处；

参数-c 后面的就是就是UID:GID后面说明文字，这段文字中包括用户真实姓名，办公地址，办公电话等，可以通过chfn 来更改，我们可以通过chfn 来修改用户信息，然后查看 /etc/passwd 的变化，再来用finger 来查询用户信息。几个工具组合练习一下，也容易忘记；

实例六：自定义用户的家目录、SHELL类型、所归属的用户组等；

添加用户longcpu，并设置其用户真实名字为ChinaCpu，其家目录在/opt/longcpu，让其归属为用户组 linuxsir、root、beinan成员，其SHELL类型为tcsh ；

注：添加用户longcpu ，真实名是ChinaCpu ，家目录设置在 /opt/longcpu ，是linuxsir,root,beinan 用户组成员， SHELL是tcsh ；

关于在添加新用户时用户组，添加用户时，如果不使用-n 参数，系统会自动建一个与用户名同名的用户组；

实例七：练习用户有效期限；

在本例中，我们主要来看看-e参数，这个参数还是比较重要的，是设定用户的帐号什么时候过期；

在本例中，我们添加了一个帐号，并且设置其帐号在 2005年11月04日之前是有效的，一旦过了这个日期，便停止其登录；

如何验证-e 是不是真的有效？我写这篇文档的时间是 2005年11月05号，所以添加这个cooler用户肯定是过期的，就是他有密码也不能登录；

有的弟兄会问，他把有效期的记录放在哪里了呢？其实我们在以前的文档中已经说过了，是写在/etc/shadow文件中了；

请参考：《用户（user）和用户组（group）配置文件详解》

2、adduser 工具；

在Fedora 系统中，adduser和useradd 用法是一样的，但在 Slackware 系统中 adduser 是通过人机交互的方法来添加用户，其实和useradd 加各项参数来自定义添加用户所达到的目的是一样的，只不过在Slackware 中，useradd 是以人机交互的提问式的进行；这样我们没有必要知道那么多的参数，一样可以达到自定义添加用户；

3、通过修改/etc/passwd 管理（添加、删除、修改）用户的方法；

请参考：《用户（User）和用户组（Group）配置文件详解》

4、添加用户组命令groupadd ；

语法格式：

groupadd [-g gid [-o]] [-r] [-f] group

其实增加用户组的，用起来还是简单一点为好；比如下面的例子，添加GID为666的用户组google；

三、passwd 设置或修改用户密码；

1、passwd 简单说明；

我们已经学会如何添加用户了，所以我们还要学习设置或修改用户的密码；passwd命令的用法也很多，我们只选如下的几个参数加以说明；想了解更多，请参考man passwd或passwd --help ；

passwd [OPTION...]

passwd 作为普通用户和超级权限用户都可以运行，但作为普通用户只能更改自己的用户密码，但前提是没有被root用户锁定；如果root用户运行passwd ，可以设置或修改任何用户的密码；

passwd 命令后面不接任何参数或用户名，则表示修改当前用户的密码；请看下面的例子；

如果是普通用户执行passwd 只能修改自己的密码；

如果新建用户后，要为新用户创建密码，则用 passwd 用户名 ，注意要以root用户的权限来创建；

普通用户如果想更改自己的密码，直接运行passwd即可；比如当前操作的用户是beinan；

2、passwd 几个比较重要的参数；

比如我们让某个用户不能修改密码，可以用-l 参数来锁定：

再来一例：

注意： 当我们清除一个用户的密码时，登录时就无需密码；这一点要加以注意；

3、chage 修改用户密码有效期限的命令；

chage 用语法格式：

前面已经说的好多了，这个只是一笔带过吧，知道有这个命令就行，自己实践实践再说，大体和psswd有些参数的用法差不多；

四、删除用户和用户组的工具， userdel和 groupdel 介绍；


1、userdel 用法；

userdel 的语法格式：

userdel [-r] 名称

userdel很简单，只有一个参数可选 -r ；如果加参数-r ，表示在删除用户的同时，一并把用户的家目录及本地邮件存储的目录或文件也一同删除；比如我们现在有两个用户bnnb和lanhaitun，其家目录都位于/home目录中，现在我们来删除这两个用户；

警告： 请不要轻易用-r参数；他会删除用户的同时删除用户所有的文件和目录，切记；如果用户目录下有重要的文件，在删除前请备份；

其实也有最简单的办法，但这种办法有点不安全，也就是直接在/etc/passwd中删除您想要删除用户的记录；但最好不要这样做，/etc/passwd 是极为重要的文件，可能您一不小心会操作失误；

2、groupdel的用法；

groupdel 是用来删除用户组的；

语法格式：groupdel 用户组

比如：

五、修改用户的工具介绍；

我们前面已经多次说过用户配置文件的重要性了，其实我们无论怎么改，都是改与用户相关的配置文件；如果我们与用户相关的配置文件的规则，可以直接修改配置文件，在这里就不再多说了，请参看相关文档吧，谢谢；

1、chfn 修改用户信息工具；

chfn 这个工具主要是用来改用户的全名，办公室地址，电话之类的；用法如下：

最简单的方法是

chfn 用户名

我们怎么能知道更改好了呢？？可以通过finger 或直接查看/etc/passwd文件；

chfn 究竟改了/etc/passwd 文件中beinanlinux用户的哪部份呢？？

[root@localhost ~]# more /etc/passwd |grep beinanlinux
beinanlinux:x:509:509:BeiNan.Linux,ChinaDL,66666666,99999999:/home/beinanlinux:/bin/bash

通过more /etc/passwd ，然后来抽取 beinanlinux记录，看一下红字标出的，就是我们通过chfn 修改过的地方，所以我们可以直接通过修改/etc/passwd文件来达到目的；

2、chsh 改变用户的SHELL类型；

如果chsh 不加任何参数及用户名的情况下，默认为更改当前操作用户的SHELL类型；

举例说明：

chsh 还是有用的，特加是不允许用户登录时，我们可以把用户的SHELL改到 /sbin/nologin；系统中一些虚拟用户大多是不能登录系统的，这对于系统安全来说是极为重要；通过下面的命令查看一下系统中哪些用户是没有登录权限的？

3、usermod 用户修改工具（极其强大）

usermod 不仅能改用户的SHELL类型，所归属的用户组，也能改用户密码的有效期，还能改登录名。usermod 如此看来就是能做到用户帐号大转移；比如我把用户A改为新用户B；

举个简单的例子，我们在前面说了关于useradd的工具，而usermod 工具和useradd的参数差不多；两者不同之处在于useradd是添加，usermod 是修改；

通过上面的例子，我们发现文件的用户组还没有变，如果您想改变为fishlinux用户组，如果想用通过 usermod来修改，就要先添加fishlinux用户组；然后用usermod -g 来修改 ，也可以用chown -R fishlinux:fishlinux /opt/finshlinux 来改；

警告： usermod 最好不要用它来改用户的密码，因为他在/etc/shadow中显示的是明口令；修改用户的口令最好用passwd ；

4、userinfo 图形介面的修改工具；

userinfo 系统普通用户都能调用，但都是修改当前操作用户的；还是点鼠标完成吧，多点几下就OK了。

IIV、Linux 系统中的超级权限的控制

摘要： 超级用户是系统最高权限的拥有者，是系统管理唯一的胜任者；由于权限的超级并且达到无所不能的地步，如果管理不擅，必会对系统安全造成威胁。 除了尽可能的避免用直接用超级用户root登录系统外，我们还要学会在普通用户下临时切换到超级用户root下完成必要的系统管理工作；从用户管理和系统安全角度来说是极有意义的；

本文对普通用户切换到root用户的实现命令 su 和sudo 做了实例解说；希望能为初学者学习带来方便；

目录索引

一、对超级用户和普通用户的理解；

1、什么是超级用户；
2、理解 UID 和用户的对应关系
3、普通用户和伪装用户

二. 超级用户（权限）在系统管理中的作用

1、对任何文件、目录或进程进行操作；
2、对于涉及系统全局的系统管理；
3、超级权限的不可替代性；

三、使用 su 命令临时切换用户身份；

1、su 的适用条件和威力；
2、su 的用法；
3、su 的范例；
4、su 的优缺点

四、sudo 授权许可使用的su，也是受限制的su

1. sudo 的适用条件；
2、从编写 sudo 配置文件/etc/sudoers开始；
3、/etc/sudoers 配置文件中别名规则
4、/etc/sudoers中的授权规则：
5、/etc/sudoers中其它的未尽事项；
6、sudo的用法；

五、后记；
六、关于本文；
七、致谢；
八、参考文档；
九、相关文档；

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
正文
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++

在Linux操作系统中，root的权限是最高的，也被称为超级权限的拥有者。普通用户无法执行的操作，root用户都能完成，所以也被称之为超级管理用户。

在系统中，每个文件、目录和进程，都归属于某一个用户，没有用户许可其它普通用户是无法操作的，但对root除外。root用户的特权性还表现在root可以超越任何用户和用户组来对文件或目录进行读取、修改或删除（在系统正常的许可范围内）；对可执行程序的执行、终止；对硬件设备的添加、创建和移除等；也可以对文件和目录进行属主和权限进行修改，以适合系统管理的需要（因为root是系统中权限最高的特权用户）；

一、对超级用户和普通用户的理解；

1、什么是超级用户；

在所有Linux系统中，系统都是通过UID来区分用户权限级别的，而UID为0的用户被系统约定为是具有超级权限。超级用户具有在系统约定的最高权限满园内操作，所以说超级用户可以完成系统管理的所有工具；我们可以通过/etc/passwd 来查得UID为0的用户是root，而且只有root对应的UID为0，从这一点来看，root用户在系统中是无可替代的至高地位和无限制权限。root用户在系统中就是超级用户；

2、理解 UID 和用户的对应关系

当系统默认安装时，系统用户和UID 是一对一的对关系，也就是说一个UID 对应一个用户。我们知道用户身份是通过UID 来确认的，我们在 《用户（user）和用户组（group）配置文件详解》中的UID 的解说中有谈到“UID 是确认用户权限的标识，用户登录系统所处的角色是通过UID 来实现的，而非用户名；把几个用户共用一个UID 是危险的，比如我们把普通用户的UID 改为0，和root共用一个UID ，这事实上就造成了系统管理权限的混乱。如果我们想用root权限，可以通过su或sudo来实现；切不可随意让一个用户和root分享同一个UID ；”

在系统中，能不能让UID 和用户是一对多的关系？是可以的，比如我们可以把一个UID为0这个值分配给几个用户共同使用，这就是UID 和用户的一对多的关系。但这样做的确有点危险；相同UID的用户具有相同的身份和权限。比如我们在系统中把beinan这个普通用户的UID改为0后，事实上这个普通用户就具有了超级权限，他的能力和权限和root用户一样；用户beinan所有的操作都将被标识为root的操作，因为beinan的UID为0,而UID为0的用户是root ，是不是有点扰口？也可以理解为UID为0的用户就是root ，root用户的UID就是0；

UID和用户的一对一的对应关系 ，只是要求管理员进行系统管理时，所要坚守的准则，因为系统安全还是第一位的。所以我们还是把超级权限保留给root这唯一的用户是最好的选择；

如果我们不把UID的0值的分享给其它用户使用，只有root用户是唯一拥有UID=0的话，root用户就是唯一的超级权限用户；

3、普通用户和伪装用户

与超级用户相对的就是普通用户和虚拟（也被称为伪装用户），普通和伪装用户都是受限用户；但为了完成特定的任务，普通用户和伪装用户也是必须的；Linux是一个多用户、多任务的操作系统，多用户主要体现在用户的角色的多样性，不同的用户所分配的权限也不同；这也是Linux系统比Windows系统更为安全的本质所在，即使是现在最新版本的Windows 2003 ，也无法抹去其单用户系统的烙印；

二. 超级用户（权限）在系统管理中的作用

超级权限用户（UID为0的用户）到底在系统管理中起什么作用呢？主要表现在以下两点；


1、对任何文件、目录或进程进行操作；

但值得注意的是这种操作是在系统最高许可范围内的操作；有些操作就是具有超级权限的root也无法完成；

比如/proc 目录，/proc 是用来反应系统运行的实时状态信息的，因此即便是root也无能为力；它的权限如下

就是这个目录，只能是读和执行权限，但绝对没有写权限的；就是我们把/proc 目录的写权限打开给root，root用户也是不能进行写操作；

2、对于涉及系统全局的系统管理；

硬件管理、文件系统理解、用户管理以及涉及到的系统全局配置等等......如果您执行某个命令或工具时，提示您无权限，大多是需要超级权限来完成；

比如用adduser来添加用户，这个只能用通过超级权限的用户来完成；

3、超级权限的不可替代性；

由于超级权限在系统管理中的不可缺少的重要作用，为了完成系统管理任务，我们必须用到超级权限；在一般情况下，为了系统安全，对于一般常规级别的应用，不需要root用户来操作完成，root用户只是被用来管理和维护系统之用；比如系统日志的查看、清理，用户的添加和删除......

在不涉及系统管理的工作的环境下，普通用户足可以完成，比如编写一个文件，听听音乐；用gimp 处理一个图片等...... 基于普通应用程序的调用，大多普通用户就可以完成；

当我们以普通权限的用户登录系统时，有些系统配置及系统管理必须通过超级权限用户完成，比如对系统日志的管理，添加和删除用户。而如何才能不直接以root登录，却能从普通用户切换到root用户下才能进行操作系统管理需要的工作，这就涉及到超级权限管理的问题；

获取超级权限的过程，就是切换普通用户身份到超级用户身份的过程；这个过程主要是通过su和sudo 来解决；

三、使用 su 命令临时切换用户身份；

1、su 的适用条件和威力

su命令就是切换用户的工具，怎么理解呢？比如我们以普通用户beinan登录的，但要添加用户任务，执行useradd ，beinan用户没有这个权限，而这个权限恰恰由root所拥有。解决办法无法有两个，一是退出beinan用户，重新以root用户登录，但这种办法并不是最好的；二是我们没有必要退出beinan用户，可以用su来切换到root下进行添加用户的工作，等任务完成后再退出root。我们可以看到当然通过su 切换是一种比较好的办法；

通过su可以在用户之间切换，如果超级权限用户root向普通或虚拟用户切换不需要密码，什么是权力？这就是！而普通用户切换到其它任何用户都需要密码验证；

2、su 的用法：

至于更详细的，请参看man su ；

3、su 的范例：

su 在不加任何参数，默认为切换到root用户，但没有转到root用户家目录下，也就是说这时虽然是切换为root用户了，但并没有改变root登录环境；用户默认的登录环境，可以在/etc/passwd 中查得到，包括家目录，SHELL定义等；

su 加参数 - ，表示默认切换到root用户，并且改变到root用户的环境；

su 参数 - 用户名

4、su的优缺点；

su 的确为管理带来方便，通过切换到root下，能完成所有系统管理工具，只要把root的密码交给任何一个普通用户，他都能切换到root来完成所有的系统管理工作；

但通过su切换到root后，也有不安全因素；比如系统有10个用户，而且都参与管理。如果这10个用户都涉及到超级权限的运用，做为管理员如果想让其它用户通过su来切换到超级权限的root，必须把root权限密码都告诉这10个用户；如果这10个用户都有root权限，通过root权限可以做任何事，这在一定程度上就对系统的安全造成了威协；想想Windows吧，简直就是恶梦；

“没有不安全的系统，只有不安全的人”，我们绝对不能保证这10个用户都能按正常操作流程来管理系统，其中任何一人对系统操作的重大失误，都可能导致系统崩溃或数据损失；

所以su 工具在多人参与的系统管理中，并不是最好的选择，su只适用于一两个人参与管理的系统，毕竟su并不能让普通用户受限的使用；

超级用户root密码应该掌握在少数用户手中，这绝对是真理！所以集权而治的存在还是有一定道理的；

四、sudo 授权许可使用的su，也是受限制的su

1. sudo 的适用条件；

由于su 对切换到超级权限用户root后，权限的无限制性，所以su并不能担任多个管理员所管理的系统。如果用su 来切换到超级用户来管理系统，也不能明确哪些工作是由哪个管理员进行的操作。特别是对于服务器的管理有多人参与管理时，最好是针对每个管理员的技术特长和管理范围，并且有针对性的下放给权限，并且约定其使用哪些工具来完成与其相关的工作，这时我们就有必要用到 sudo。

通过sudo，我们能把某些超级权限有针对性的下放，并且不需要普通用户知道root密码，所以sudo 相对于权限无限制性的su来说，还是比较安全的，所以sudo 也能被称为受限制的su ；另外sudo 是需要授权许可的，所以也被称为授权许可的su；

sudo 执行命令的流程是当前用户切换到root（或其它指定切换到的用户），然后以root（或其它指定的切换到的用户）身份执行命令，执行完成后，直接退回到当前用户；而这些的前提是要通过sudo的配置文件/etc/sudoers来进行授权；

2、从编写 sudo 配置文件/etc/sudoers开始；

sudo的配置文件是/etc/sudoers ，我们可以用他的专用编辑工具visodu ，此工具的好处是在添加规则不太准确时，保存退出时会提示给我们错误信息；配置好后，可以用切换到您授权的用户下，通过sudo -l 来查看哪些命令是可以执行或禁止的；

/etc/sudoers 文件中每行算一个规则，前面带有#号可以当作是说明的内容，并不执行；如果规则很长，一行列不下时，可以用\号来续行，这样看来一个规则也可以拥有多个行；

/etc/sudoers 的规则可分为两类；一类是别名定义，另一类是授权规则；别名定义并不是必须的，但授权规则是必须的；

3、/etc/sudoers 配置文件中别名规则

别名规则定义格式如下：

或

别名类型（Alias_Type）：别名类型包括如下四种

Host_Alias定义主机别名；
User_Alias用户别名，别名成员可以是用户，用户组（前面要加%号）
Runas_Alias用来定义runas别名，这个别名指定的是“目的用户”，即sudo 允许切换至的用户；
Cmnd_Alias定义命令别名；

NAME就是别名了，NMAE的命名是包含大写字母、下划线以及数字，但必须以一个大写字母开头，比如SYNADM、SYN_ADM或SYNAD0是合法的，sYNAMDA或1SYNAD是不合法的；

item 按中文翻译是项目，在这里我们可以译成成员，如果一个别名下有多个成员，成员与成员之间，通过半角,号分隔；成员在必须是有效并事实存在的。什么是有效的呢？比如主机名，可以通过w查看用户的主机名（或ip地址），如果您只是本地机操作，只通过hostname 命令就能查看；用户名当然是在系统中存在的，在/etc/paswd中必须存在；对于定义命令别名，成员也必须在系统中事实存在的文件名（需要绝对路径）；

item成员受别名类型 Host_Alias、User_Alias、Runas_Alias、Cmnd_Alias 制约，定义什么类型的别名，就要有什么类型的成员相配。我们用Host_Alias定义主机别名时，成员必须是与主机相关相关联，比如是主机名（包括远程登录的主机名）、ip地址（单个或整段）、掩码等；当用户登录时，可以通过w命令来查看登录用户主机信息；用User_Alias和Runas_Alias定义时，必须要用系统用户做为成员；用Cmnd_Alias 定义执行命令的别名时，必须是系统存在的文件，文件名可以用通配符表示，配置Cmnd_Alias时命令需要绝对路径；

其中 Runas_Alias 和User_Alias 有点相似，但与User_Alias 绝对不是同一个概念，Runas_Alias 定义的是某个系统用户可以sudo 切换身份到Runas_Alias 下的成员；我们在授权规则中以实例进行解说；

别名规则是每行算一个规则，如果一个别名规则一行容不下时，可以通过\来续行；同一类型别名的定义，一次也可以定义几个别名，他们中间用:号分隔，

注：我们通过Host_Alias 定义主机别名时，项目可以是主机名、可以是单个ip（整段ip地址也可以），也可以是网络掩码；如果是主机名，必须是多台机器的网络中，而且这些机器得能通过主机名相互通信访问才有效。那什么才算是通过主机名相互通信或访问呢？比如 ping 主机名，或通过远程访问主机名来访问。在我们局域网中，如果让计算机通过主机名访问通信，必须设置/etc/hosts，/etc/resolv.conf ，还要有DNS做解析，否则相互之间无法通过主机名访问；在设置主机别名时，如果项目是中某个项目是主机名的话，可以通过hostname 命令来查看本地主机的主机名，通过w命令查来看登录主机是来源，通过来源来确认其它客户机的主机名或ip地址；对于主机别名的定义，看上去有点复杂，其实是很简单。

如果您不明白Host_Alias 是怎么回事，也可以不用设置主机别名，在定义授权规则时通过ALL来匹配所有可能出现的主机情况。如果您把主机方面的知识弄的更明白，的确需要多多学习。

在上面的例子中，有KILL和PWMAG的命令别名定义，我们可以合并为一行来写，也就是等价行；

4、/etc/sudoers中的授权规则：

授权规则是分配权限的执行规则，我们前面所讲到的定义别名主要是为了更方便的授权引用别名；如果系统中只有几个用户，其实下放权限比较有限的话，可以不用定义别名，而是针对系统用户直接直接授权，所以在授权规则中别名并不是必须的；

授权规则并不是无章可寻，我们只说基础一点的，比较简单的写法，如果您想详细了解授权规则写法的，请参看man sudoers

这三个要素缺一不可，但在动作之前也可以指定切换到特定用户下，在这里指定切换的用户要用( )号括起来，如果不需要密码直接运行命令的，应该加NOPASSWD:参数，但这些可以省略；举例说明；

实例一：

如果我们在/etc/sudoers 中添加这一行，表示beinan 可以在任何可能出现的主机名的系统中，可以切换到root用户下执行 /bin/chown 和/bin/chmod 命令，通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令；

值得注意的是，在这里省略了指定切换到哪个用户下执行/bin/shown 和/bin/chmod命令；在省略的情况下默认为是切换到root用户下执行；同时也省略了是不是需要beinan用户输入验证密码，如果省略了，默认为是需要验证密码。

为了更详细的说明这些，我们可以构造一个更复杂一点的公式；

授权用户 主机=[(切换到哪些用户或用户组)] [是否需要密码验证] 命令1,[(切换到哪些用户或用户组)] [是否需要密码验证] [命令2],[(切换到哪些用户或用户组)] [是否需要密码验证] [命令3]......

注解：

凡是[ ]中的内容，是可以省略；命令与命令之间用,号分隔；通过本文的例子，可以对照着看哪些是省略了，哪些地方需要有空格；
在[(切换到哪些用户或用户组)] ，如果省略，则默认为root用户；如果是ALL ，则代表能切换到所有用户；注意要切换到的目的用户必须用()号括起来，比如(ALL)、(beinan)

实例二：

如果我们把第一个实例中的那行去掉，换成这行；表示的是beinan 可以在任何可能出现的主机名的主机中，可以切换到root下执行 /bin/chown ，可以切换到任何用户招执行/bin/chmod 命令，通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令；

实例三：

如果换成这个例子呢？表示的是beinan 可以在任何可能出现的主机名的主机中，可以切换到root下执行 /bin/chown ，不需要输入beinan用户的密码；并且可以切换到任何用户下执行/bin/chmod 命令，但执行chmod时需要beinan输入自己的密码；通过sudo -l 来查看beinan 在这台主机上允许和禁止运行的命令；

关于一个命令动作是不是需要密码，我们可以发现在系统在默认的情况下是需要用户密码的，除非特加指出不需要用户需要输入自己密码，所以要在执行动作之前加入NOPASSWD: 参数；

有可能有的弟兄对系统管理的命令不太懂，不知道其用法，这样就影响了他对 sudoers定义的理解，下面我们再举一个最简单，最有说服务力的例子；

实例四：

比如我们想用beinan普通用户通过more /etc/shadow文件的内容时，可能会出现下面的情况；

这时我们可以用sudo more /etc/shadow 来读取文件的内容；就就需要在/etc/soduers中给beinan授权；

于是我们就可以先su 到root用户下通过visudo 来改/etc/sudoers ；（比如我们是以beinan用户登录系统的）

加入如下一行，退出保存；退出保存，在这里要会用vi，visudo也是用的vi编辑器；至于vi的用法不多说了；

退回到beinan用户下，用exit命令；

查看beinan的通过sudo能执行哪些命令？

最后，我们看看是不是beinan用户有能力看到/etc/shadow文件的内容；

beinan 不但能看到 /etc/shadow文件的内容，还能看到只有root权限下才能看到的其它文件的内容，比如；

对于beinan用户查看和读取所有系统文件中，我只想把/etc/shadow 的内容可以让他查看；可以加入下面的一行；

题外话：有的弟兄会说，我通过su 切换到root用户就能看到所有想看的内容了，哈哈，对啊。但咱们现在不是在讲述sudo的用法吗？如果主机上有多个用户并且不知道root用户的密码，但又想查看某些他们看不到的文件，这时就需要管理员授权了；这就是sudo的好处；

实例五：练习用户组在/etc/sudoers中写法；

如果用户组出现在/etc/sudoers 中，前面要加%号，比如%beinan ，中间不能有空格；

如果我们在 /etc/sudoers 中加上如上一行，表示beinan用户组下的所有成员，在所有可能的出现的主机名下，都能切换到root用户下运行 /usr/sbin和/sbin目录下的所有命令；

实例六：练习取消某类程序的执行；

取消程序某类程序的执行，要在命令动作前面加上!号； 在本例中也出现了通配符的*的用法；

本规则表示beinan用户在所有可能存在的主机名的主机上运行/usr/sbin和/sbin下所有的程序，但fdisk 程序除外；

[beinan@localhost ~]$ sudo -l
Password: 注：在这里输入beinan用户的密码；
User beinan may run the following commands on this host:
(root) /usr/sbin/*
(root) /sbin/*
(root) !/sbin/fdisk

[beinan@localhost ~]$ sudo /sbin/fdisk -l
Sorry, user beinan is not allowed to execute '/sbin/fdisk -l' as root on localhost.

注：不能切换到root用户下运行fdisk 程序；

实例七：别名的运用的实践；

假如我们就一台主机localhost，能通过hostname 来查看，我们在这里就不定义主机别名了，用ALL来匹配所有可能出现的主机名；并且有beinan、linuxsir、lanhaitun 用户；主要是通过小例子能更好理解；sudo虽然简单好用，但能把说的明白的确是件难事；最好的办法是多看例子和man soduers ；

注解：

第一行：定义用户别名SYSADER 下有成员 beinan、linuxsir和beinan用户组下的成员，用户组前面必须加%号；
第二行：定义用户别名 DISKADER ，成员有lanhaitun
第三行：定义Runas用户，也就是目标用户的别名为OP，下有成员root
第四行：定义SYSCMD命令别名，成员之间用,号分隔，最后的!/usr/bin/passwd root 表示不能通过passwd 来更改root密码；
第五行：定义命令别名DSKCMD，下有成员parted和fdisk ；
第六行： 表示授权SYSADER下的所有成员，在所有可能存在的主机名的主机下运行或禁止 SYDCMD和DSKCMD下定义的命令。更为明确遥说，beinan、linuxsir和beinan用户组下的成员能以root身份运行 chown 、chmod 、adduser、passwd，但不能更改root的密码；也可以以root身份运行 parted和fdisk ，本条规则的等价规则是；

第七行：表示授权DISKADER 下的所有成员，能以OP的身份，来运行 DSKCMD ，不需要密码；更为明确的说 lanhaitun 能以root身份运行 parted和fdisk 命令；其等价规则是：

可能有的弟兄会说我想不输入用户的密码就能切换到root并运行SYDCMD和DSKCMD 下的命令，那应该把把NOPASSWD:加在哪里为好？理解下面的例子吧，能明白的；

5、/etc/sudoers中其它的未尽事项；

在授权规则中，还有 NOEXEC:和EXEC的用法，自己查man sudoers 了解；还有关于在规则中通配符的用法，也是需要了解的。这些内容不多说了，毕竟只是一个入门性的文档。soduers配置文件要多简单就有多简单，要多难就有多难，就看自己的应用了。

6、sudo的用法；

我们在前面讲的/etc/sudoers 的规则写法，最终的目的是让用户通过sudo读取配置文件中的规则来实现匹配和授权，以便替换身份来进行命令操作，进而完成在其权限下不可完成的任务；

我们只说最简单的用法；更为详细的请参考man sudo

sudo [参数选项] 命令
-l 列出用户在主机上可用的和被禁止的命令；一般配置好/etc/sudoers后，要用这个命令来查看和测试是不是配置正确的；
-v 验证用户的时间戳；如果用户运行sudo 后，输入用户的密码后，在短时间内可以不用输入口令来直接进行sudo 操作；用-v 可以跟踪最新的时间戳；
-u 指定以以某个用户执行特定操作；
-k 删除时间戳，下一个sudo 命令要求用求提供密码；

举列：

首先我们通过visudo 来改/etc/sudoers 文件，加入下面一行；

然后列出beinan用户在主机上通过sudo 可以切换用户所能用的命令或被禁止用的命令；

通过上面的sudo -l 列出可用命令后，我想通过chown 命令来改变/opt目录的属主为beinan ；

我们通过上面的例子发现beinan用户能切换到root后执行改变用户口令的passwd命令；但上面的sudo -l 输出又明文写着不能更改root的口令；也就是说除了root的口令，beinan用户不能更改外，其它用户的口令都能更改。下面我们来测试；

对于一个普通用户来说，除了更改自身的口令以外，他不能更改其它用户的口令。但如果换到root身份执行命令，则可以更改其它用户的口令；

比如在系统中有linuxsir这个用户, 我们想尝试更改这个用户的口令，

出处：LinuxSir.Org