在 Linux 权限体系里用户、用户组与附加组是最常被提起也最容易被用错的一组概念。我见过不少类似的翻车现场为了给某个用户加入新项目组一条usermod -G把原有的附加组整个覆盖掉了用户那边文件权限瞬间全乱或者想删一个组结果系统提示这是某用户的主组怎么都删不掉。这些问题的根子都在于没搞清用户、用户组、附加组底层的数据结构以及主组、附加组、有效组之间的区别。这篇文章就从四张底层数据表讲起再用十个能直接照抄的实战例子把useradd、usermod、gpasswd、umask这些命令真正的行为逻辑串起来。适合刚接触 Linux 权限管理的新手也适合要写账号批量维护脚本或者排查权限问题的运维同学对照自查。1. 用户与组的四张底层表想理解命令在改什么先看数据存在哪很多人学 Linux 用户管理一上来就背命令useradd怎么加用户、groupadd怎么加组背得滚瓜烂熟。但一旦遇到为什么这个用户在组里却写不进目录为什么组删不掉这类问题就卡壳原因就是不知道命令背后到底改了哪些文件。Linux 的用户和组信息本质上就是四个文本文件在支撑/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow。所有用户和组相关命令都是在读写这几张表。搞清它们命令行为就全通了。1.1 /etc/passwd 与 /etc/shadow用户身份的正面与背面/etc/passwd是用户信息的正面每一行代表一个用户用冒号分成七个字段。取个典型的例子user01:x:1001:1001::/home/user01:/bin/bash七个字段从左到右依次是登录名、密码占位符真正的密码不在这里、UID、主组 GID、用户备注信息、家目录、登录 shell。其中那个x就是密码占位说明密码存在影子文件里。主组 GID 这个字段非常关键它决定了用户创建文件时默认所属的组后面实战里切换主组本质上改的就是这一列。/etc/shadow就是用户身份的背面只有 root 能读权限通常是000或600。里面同样按行存储密码字段是加密后的哈希开头是!或!!表示账户被锁定。除了密码还记录了密码的最后修改日期、最短使用天数、最长使用天数、过期警告天数、宽限天数、账户过期日期等。这些字段平时看似没人管但企业环境里要求定期改密、账户到期回收全都靠它。1.2 /etc/group 与 /etc/gshadow组信息的存储方式组信息也存在两个文件里。/etc/group每行代表一个组格式是四段devteam:x:1002:user01,user02分别是组名、组密码占位、GID、附加成员列表。注意第四段里只列附加成员不列主组成员。很多人第一次看这个文件会疑惑为什么明明很多用户的主组是devteam第四段却是空的因为主组成员关系已经通过/etc/passwd里的 GID 字段记录过了group文件不需要重复存储。这个设计对整个用户组体系影响很大理解它才能理解为什么改了passwd里的 GID主组就变了而附加组却要改group文件。/etc/gshadow对应存放组密码和组管理员平时用得少但如果要用gpasswd让普通用户管理组内成员组管理员信息就存在这里。1.3 主组、附加组与有效组一个用户到底有几种组身份一个用户在同一时刻可以有三个层面的组身份。主组primary group在创建时由/etc/passwd的 GID 指定用户默认创建的文件和目录都属于它。附加组supplementary groups记录在/etc/group的第四段用来给用户追加权限让用户可以访问其他组的资源。有效组effective group则是当前进程实际生效的组身份默认等于主组但可以用newgrp临时切换。用生活化的类比主组就像身份证上的籍贯是一个人默认的归属附加组像各种社团会员证代表你额外能进哪些门有效组则是你进门时实际刷的那张卡。大多数情况下三张卡指向同一个地方一旦需要共享目录协作、跨部门授权这三者的区别就立刻显现出来了。后面十个别实战例子每一个都会落实到这四个文件的具体字段变化上这样你在执行命令时就能预估它会产生什么影响不至于改完命令还要靠重启来验证。2. 实战例子1-4建号、密码、主组切换与附加组的覆盖陷阱这一节先从最基础的四个操作入手看useradd、passwd、chage、usermod这些命令真正做了什么。每一步我都会贴出关键输出并解释它影响的是哪张表。2.1 例子1useradd 创建用户时默认动作比你想的多执行一条最简单的创建命令useradd user01看起来只是建了个用户实际上系统默认做了四件事在/etc/passwd追加一行、在/etc/shadow追加一行、在/etc/group新增一个同名组、创建家目录/home/user01并从/etc/skel复制初始化文件。验证一下grep user01 /etc/passwd /etc/shadow /etc/group id user01输出大致是/etc/passwd:user01:x:1001:1001::/home/user01:/bin/bash /etc/shadow:user01:!!:19723:0:99999:7::: /etc/group:user01:x:1001: uid1001(user01) gid1001(user01) groups1001(user01)注意几个默认值UID 通常从 1000 往后自动分配主组 GID 默认为新创建的同名组 ID家目录自动生成shell 默认/bin/bash。如果想改变这些默认行为就用参数显式指定比如useradd -s /sbin/nologin -d /data/home/user01 -g devteam -G extragroup user01分别对应 shell、家目录、主组、附加组。实际运维中给某类服务建账号时最好显式指定-s /sbin/nologin防止账号被用来登录交互 shell这是很常见的安全加固项。2.2 例子2passwd 与 chage 组合的密码生命周期管理新用户创建后默认是不能登录的从上面 shadow 输出可以看到密码位是!!表示未设置。接下来要设密码passwd user01 chage -l user01passwd交互式设置密码也可以用管道配合--stdin在脚本里批量处理CentOS 系支持。chage -l会列出密码的过期信息包括最近一次修改日期、密码有效期限、失效前警告天数、账户到期时间。如果要求用户首次登录必须改密码一条命令就能做到chage -d 0 user01-d 0表示将密码最后修改日期设为 1970-01-01这样系统认为密码已过期下次登录必然提示修改密码。这个技巧在批量创建账号时非常实用后面例子 6 还会结合脚本演示。锁定与解锁也是高频操作passwd -l user01锁定shadow 密码字段前会多出!passwd -u user01解锁。遇到员工离职、账号暂停等场景建议用锁定而不是直接删号。账号锁定后文件还在权限关系不乱恢复也方便。2.3 例子3usermod -g 切换主组改的其实是 passwd 文件有时需要把用户的主组从默认的同名组切到某个业务组比如usermod -g devteam user01 id user01输出里gid1002(devteam)主组变了。但此时去看/etc/group里devteam这一行第四段并没有新增user01。原因前面提过主组关系记录在/etc/passwd的 GID 字段usermod -g改的就是这一列group文件自然无需变化。这也引出一个常见误区有人以为把用户加进组就是改 group 文件其实要加入的是主组还是附加组操作的文件完全不同。主组切换后该用户之后新建的文件会归入新主组但已存在的文件不会自动改名。如果想把已有文件也批量改归属需要配合chown -R user01:devteam /path手动处理。另外要注意usermod -g的参数可以是组名也可以是 GID保险起见用组名避免手滑写错 ID。2.4 例子4usermod -G 多次执行的覆盖问题你有没有踩过这是所有用户与组管理里最经典的坑。假设user01本来在devteam组里现在要让它也能访问opsgroup于是一条命令usermod -G opsgroup user01 id user01输出中附加组列表只剩1003(opsgroup)之前的devteam不见了。再执行一条usermod -G devteam,opsgroup user01这次才同时保留两个附加组。原因在于-G的语义是设置附加组列表而不是追加每次执行都会用新列表覆盖旧列表。正确的追加姿势是加-a参数usermod -aG opsgroup user01-a表示 append与-G联用才能实现保留原有并追加。但必须强调-a单独用没有任何效果必须和-G一起。另一种更不容易出错的方案是直接用gpasswd -a user01 opsgroup追加gpasswd -d user01 opsgroup移除语义清晰无需关心原有列表。如果你的脚本里要批量给不同用户追加不同组建议优先用gpasswd避免多条usermod -G互相覆盖。3. 实战例子5-8删除清理、批量建号、共享目录与组成员管理基础四个例子讲完这一节进入更贴近真实工作场景的操作删除用户时怎么处理遗留物、批量创建账号、以及多人协作时如何设计共享目录和管控组成员。3.1 例子5删用户别只顾删人遗留文件和主组问题要一起解决删除用户时很多人只知道一条userdel user01就完事了。但默认情况下userdel并不会删除用户的家目录、邮件池和/var/spool/mail下对应用户文件。如果想连同家目录和邮件目录一起删除需要用userdel -r user01即便如此用户还可能留下一些散落的文件比如以前在/tmp、/data等目录下创建的文件或者定时任务。删除账号后这些文件的所有者会变成一个数字 UID时间久了会出现一堆匿名文件谁也说不清是谁的。清理思路是用find / -nouser查找所有 UID 无主的文件再人工确认处理。实测时建议限定查找范围比如/home、/data、/tmp全盘find /在文件多的时候会很慢。另外如果被删用户的主组是某个业务组直接groupdel会失败提示组是某用户的主组无法删除。所以删除顺序应该先删用户或先把这个用户的主组切走再删组usermod -g tempgroup user01 # 先把主组移走 groupdel devteam3.2 例子6循环脚本批量建号强制首次登录改密批量创建账号是运维的常见需求比如一次给项目组开通 10 个账号。基于例子 2 的知识可以写一个简单的循环for u in user{01..10}; do useradd $u echo $u:InitialPass123 | chpasswd chage -d 0 $u done三条核心动作分别是建号、设初始密码、强制首次登录改密。这里我没有用passwd --stdin是因为它在 Debian/Ubuntu 系列默认不可用而chpasswd在主流发行版通用兼容性更好。若要追加附加组把useradd $u换成useradd -G devteam $u即可。批量清理也讲究顺序反过来执行for u in user{01..10}; do userdel -r $u done如果这批用户建号时同时创建了同名组组未必会随userdel删除需要再循环groupdel $u。批量操作脚本跑完后务必抽几个用户做id、chage -l验证别等用户反馈登录不上才发现问题。3.3 例子7用附加组 setgid 搭一个真正的共享协作目录多用户协作某个目录最常见的设计就是把相关用户都加入同一个附加组再给目录设置组权限。假设有两位开发人员user01、user02要共享/data/projectgroupadd devteam usermod -aG devteam user01 usermod -aG devteam user02 mkdir -p /data/project chown -R root:devteam /data/project chmod 2770 /data/project关键在最后的2770。2是 setgid 位表示目录下新建的文件会自动继承目录的用户组避免后创建的文件变成用户自己的私有组导致其他成员读不了770是目录权限组成员可读写执行。这个模式比简单chmod 777安全得多也比反复改主组灵活。共享目录建好后组成员如果发现新建文件的权限仍然只有自己能读rw-r--r--多半是 umask 的问题例子 10 会专门展开。3.4 例子8gpasswd 管理组内成员的生命周期与 newgrp 临时切组用gpasswd管理组成员非常直观gpasswd -a user01 devteam # 添加成员 gpasswd -d user01 devteam # 移除成员 gpasswd -A user01 devteam # 设置组管理员设置组管理员后user01 不需要 root 权限就可以自行管理devteam的成员进出这对一线项目组自助维护很有价值省去每次加人减人都要提审批找管理员敲命令的沟通成本。还有一个容易被忽略的命令newgrp。当用户临时需要以某个组的身份创建文件时可以执行newgrp devteam touch /data/project/testfile exitnewgrp会开辟一个子 shell这个 shell 里进程的有效组临时变成devteam新建文件的组归属就是devteam用exit返回原来的 shell。这个技巧在用户主组不是 devteam、但需要偶尔向共享目录写文件时特别有用不需要修改主组也不会产生副作用。4. 实战例子9-10查询用户组信息与 umask 对组权限的隐形影响最后两个例子侧重看和防怎么准确查询用户和组的归属关系以及协作时最容易忽略的 umask 问题。4.1 例子9id、groups、getent、finger 看用户组各有侧重查询用户属于哪些组常用命令有四种输出形式和使用场景不同id user01 groups user01 finger user01 getent passwd user01id输出最完整直接展示 UID、主组 GID 以及所有附加组的数字和名称排查权限问题我习惯第一眼看它。groups只显示组名列表简洁但不显示主组和附加组的区别。finger需要额外安装信息较全但偏人类可读日常诊断我并不常用。getent走的是系统名称服务接口这台机器如果接了 LDAP 或集中认证getent能看到远程用户而直接grep /etc/passwd只会看本地文件所以排查集中认证环境时必须用getent。判断用户在不在某个组里最可靠的还是id user01这一条。4.2 例子10umask 022、002、007 在共享目录里的实测差异umask 代表创建文件时要减掉的权限位。默认一般022所以新文件是644、新目录是755。共享目录场景下如果组员希望互相可写必须改变 umask 的组写权限位umask 002 touch /data/project/a.txt mkdir /data/project/sub ls -l /data/projectumask 002下新文件是664组员可写新目录是775。如果要求组内文件完全对组可读可写、对外完全关闭可以用umask 007得到660和770。但注意无论 umask 如何设置新建的普通文件永远不会带上执行权限这是内核的安全设计防止误创建可执行文件。实际协作中常见的怪象是明明用户已经加入组、目录也配好 2770但用户新建的文件其他组员只能看不能改。这时八成的锅就是 umask 是022新建文件是644同组的人只有读权限。解决办法是按共享目录的安全要求统一设置 umask可以在/etc/profile或其profile.d下的脚本里按账号或场景设置如果希望更精细就该上 ACL 了那是另一个话题。4.3 权限排查中容易误判的两个点第一个误判是用户明明在组里却写不进去。查一下id发现用户确实在组里于是怀疑系统坏了。其实很可能是用户当前登录会话的附加组列表没有刷新因为用户登录那一刻系统才读取组信息。解决办法是重新登录或者用newgrp刷新当前会话的组身份不需要重启。第二个误判是删了用户组还在。企业里经常出现离职员工的主组是某个业务组直接userdel后组还在成员列表里还显示这个人。这不是没删干净而是因为主组关系存在passwd文件里删了用户不等于删了主组删组前必须确保没有用户以它为主组。5. 知识点提取命令速查表与故障定位路径这一节把全文涉及的细节集中提取成两张速查表方便你把这篇文章当工具书用遇到问题直接翻对应行。5.1 核心文件与命令对照先看四个核心文件各自记录什么修改什么命令会影响它们文件记录内容典型影响命令权限/etc/passwd用户名、UID、主组GID、家目录、登录shelluseradd、usermod -g、userdel所有用户可读/etc/shadow密码哈希、密码周期、账户过期信息passwd、chage、passwd -l/-uroot 独享/etc/group组名、GID、附加成员列表groupadd、usermod -G、gpasswd -a/-d所有用户可读/etc/gshadow组密码、组管理员gpasswd -Aroot 独享再看常用命令与操作对照这部分是知识点提取的重点。操作意图推荐命令注意事项创建用户useradd 用户名默认建同名组、建家目录需要禁登录加-s /sbin/nologin设置密码passwd 用户名加--stdin可非交互但注意发行版兼容性批量设初始密码echo 用户:密码 | chpasswd跨发行版通用强制首次改密chage -d 0 用户名配合批量建号效果好修改主组usermod -g 组名 用户名改 passwd 文件的 GID 字段添加附加组gpasswd -a 用户名 组名语义清晰不覆盖原有列表追加附加组usermod -aG 组名 用户名-a 必须与 -G 联用移除附加组gpasswd -d 用户名 组名不需要 root 也可由组管理员执行删除用户userdel -r 用户名-r 才删家目录和邮件池删除组groupdel 组名该组不能是任何用户的主组查询用户组id 用户名主组、附加组一次看清临时切换有效组newgrp 组名进入子 shellexit 返回5.2 从现象到根因的快速定位平时收到权限不对用户登不上这类反馈我的排查顺序通常是这样。用户登录失败先看passwd -S 用户名检查账户是否锁定再看 shadow 文件确认是否密码过期最后看 shell 是不是被改成了/sbin/nologin。如果是新账号首次登录要求改密还要确认有没有执行过chage -d 0。组权限不生效先id 用户名确认附加组列表里有没有目标组注意当前会话是否过期需要重登然后看目标目录的组权限位和 setgid 位是否齐全用ls -ld 目录一条命令就能检查drwxrws---中的s最后看看目标目录下新建文件的组归属如果文件组变成了用户自己的私有组说明 setgid 没设置生效。组删不掉提示 cannot remove the primary group 时说明有用户以这个组为主组。把这些用户的主组切到其他组或者删除对应用户再执行groupdel即可。5.3 我的一点实操心得这几个例子写下来最深的体会是用户和组管理出问题九成以上不是命令不熟而是没想清楚一条命令到底在改passwd文件还是在改group文件。动手之前花十秒钟想想这一步会落到哪张表很多事故都能提前避免。另外共享目录的权限设计里组号、setgid、umask 三者要一起考虑少配一个都会在排查时绕远路。文中这些命令在我日常环境里反复使用按照例子里的顺序操作基本可以覆盖用户和组管理的绝大多数日常工作场景。