AI 助理
备案控制台
开发者社区 云原生 文章 正文

三、Linux用户与权限管理详解

2025-09-24 311
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
Serverless 应用引擎免费试用套餐包，4320000 CU，有效期3个月
云原生网关 MSE Higress，422元/月
应用实时监控服务-应用监控，每月50GB免费额度
简介： 管理Linux系统就像当一个大楼的管家。首先，你得用useradd和passwd给新员工发“钥匙”（创建用户并设密码），并用groupadd把他们分到不同“部门”（用户组）。然后，你要为每个“房间”（文件或目录）设定规矩，这就是文件权限：用chmod命令设置谁（所有者、同部门、其他人）可以“进入”（x）、“读取”（r）或“写入”（w）。最后，用chown还能把房间的归属权转让给别人。

思维导图

image.png
image.png
image.png
image.png

一、Linux 用户与组管理

1.1 用户管理命令

Linux是一个多用户操作系统，精确地管理用户是系统安全和资源分配的核心。

创建用户 (useradd)
语法结构: useradd [选项] 用户名
常用选项:
-u <UID>: 指定用户ID (UID)。系统会自动分配一个，但可以手动指定。
-g <组名或GID>: 指定初始组 (Primary Group)。用户登录后所属的默认组。
-G <组名列表>: 指定附加组 (Supplementary Groups)。用户可以同时属于多个附加组。
-d <家目录>: 指定用户的家目录。如果省略，默认为 /home/用户名。
-s <Shell路径>: 指定用户的登录Shell。/sbin/nologin 或 /bin/false 用于创建不能登录系统的服务账户。
-c <注释>: 为用户添加注释或描述信息 (Comment)，例如全名或部门。
-m: 创建家目录 (如果不存在)。这是非常常用的选项。
-M: 不创建家目录。
代码示例:

# 创建一个名为 newuser 的普通用户，自动创建家目录并使用默认设置
useradd -m newuser

# 创建一个名为 ftpuser 的系统服务用户，不创建家目录，禁止其登录
useradd -M -s /sbin/nologin ftpuser

# 创建一个名为 devuser 的用户，添加注释，指定UID、主组和附加组
groupadd developers
groupadd testers
useradd -u 1001 -g developers -G testers -c "Senior Developer" -m -s /bin/bash devuser

设置密码 (passwd)
语法结构: passwd [选项] [用户名]
常用选项:
-l: 锁定用户账户 (Lock)。
-u: 解锁用户账户 (Unlock)。
-d: 删除用户密码，使其无需密码即可登录 (不安全，慎用)。
-S: 显示账户状态 (Status)。
代码示例:

# 为用户 newuser 设置密码 (由root执行)
passwd newuser

# 锁定用户 devuser 的账户，使其无法登录
passwd -l devuser

# 查看用户 devuser 的密码状态
passwd -S devuser

# 解锁用户 devuser
passwd -u devuser

修改用户 (usermod)
语法结构: usermod [选项] 用户名
常用选项: (大部分与 useradd 相同，用于修改现有属性)
-l <新用户名>: 修改用户名 (Login name)。
-u <新UID>: 修改用户ID。
-g <新主组>: 修改用户的主组。
-G <新附加组列表>: 覆盖用户现有的附加组列表。
-aG <组名>: 追加一个或多个附加组，-a (append) 必须和 -G 一起使用，这是最常用的添加组的方式。
-d <新家目录>: 修改用户的家目录。配合 -m (move) 可以移动现有家目录内容。
-s <新Shell>: 修改用户的登录Shell。
-c <新注释>: 修改用户的注释。
代码示例:

# 将用户 devuser 的用户名修改为 senior_dev
usermod -l senior_dev devuser

# 将用户 newuser 追加到 sudoers 和 docker 两个附加组中
usermod -aG sudoers,docker newuser

# 复杂的组合修改：为用户 user10 修改UID, 注释, 家目录, Shell, 主组, 并覆盖其附加组为 group21
# 假设组 group20 和 group21 已存在
usermod -u 1020 -c "Test User 100" -d /home/wx -s /bin/bash -g group20 -G group21 user10

删除用户 (userdel)
语法结构: userdel [选项] 用户名
常用选项:
-r: 同时删除用户的家目录及其内容。这是非常常用的选项，以避免留下孤立文件。
代码示例:

# 只删除用户 newuser，保留其家目录和邮件池
userdel newuser

# 彻底删除用户 ftpuser，包括其家目录和邮件池
userdel -r ftpuser

1.2 组管理命令

用户组是管理具有相同权限用户的一种方式。

创建组 (groupadd)
语法结构: groupadd [选项] 组名
常用选项:
-g <GID>: 指定组ID (GID)。
代码示例:

# 创建一个名为 developers 的组
groupadd developers

修改组 (groupmod)
语法结构: groupmod [选项] 组名
常用选项:
-n <新组名>: 修改组名。
-g <新GID>: 修改组ID。
代码示例:

# 将 developers 组改名为 webdevs
groupmod -n webdevs developers

删除组 (groupdel)
语法结构: groupdel 组名
代码示例:

# 删除 webdevs 组
groupdel webdevs

1.3 相关配置文件与命令

  • /etc/passwd: 存储用户信息。
  • /etc/shadow: 存储加密密码和策略。
  • /etc/group: 存储组信息。
  • id [用户名]: 查看用户的UID, GID和所属组信息。
  • groups [用户名]: 查看用户所属的所有组。

代码示例:

# 查看用户 newuser 的详细ID信息
id newuser

# 查看当前用户所属的所有组
groups

二、文件权限管理

2.1 理解文件权限

使用 ls -l 命令可以查看文件的详细信息，其中第一列就是权限描述。

示例: -rwxr-xr-- 1 user group 4096 Jan 1 10:00 filename

权限字段解析 (共10个字符):

  • 第1位: 文件类型。- (普通文件), d (目录), l (符号链>接)。
  • 第2-4位: 所有者 (Owner/User) 的权限。
  • 第5-7位: 所属组 (Group) 的权限。
  • 第8-10位: 其他人 (Others) 的权限。

权限类型:

  • r (Read): 读权限。对文件，可查看内容；对目录，可列出目录内容 (ls)。
  • w (Write): 写权限。对文件，可修改内容；对目录，可在目录中创建、删除、重命名文件。
  • x (Execute): 执行权限。对文件，可作为程序执行；对目录，可进入该目录 (cd)。

2.2 修改权限

chmod (Change Mode) 命令用于修改文件或目录的访问权限。

语法结构1: 符号模式
chmod [ugoa...][+-=][rwx...] 文件或目录...

u, g, o, a: 分别代表 用户, 组, 其他, 所有。
+, -, =: 分别代表 添加, 移除, 设置 权限。
r, w, x: 权限类型。

代码示例:

# 为文件 my_script.sh 的所有者添加执行权限
chmod u+x my_script.sh

# 移除其他人对 my_secret.txt 的所有权限
chmod o-rwx my_secret.txt

# 为组和其他人添加对 public_dir 目录的读和执行权限
chmod go+rx public_dir

# 设置 my_file.txt 的权限为：所有者读写，所属组读，其他人无权限
chmod u=rw,g=r,o= my_file.txt

语法结构2: 数字模式
使用八进制数字表示权限。
r = 4, w = 2, x = 1

rwx = 4+2+1 = 7
rw- = 4+2+0 = 6
r-x = 4+0+1 = 5
r-- = 4+0+0 = 4

代码示例:

# 设置 my_app.py 权限为 rwxr-xr-x (所有者读写执行，组和其他人读执行)
chmod 755 my_app.py

# 设置 a_private_file.dat 权限为 rw------- (只有所有者可读写)
chmod 600 a_private_file.dat

# 设置 a_shared_dir 目录权限为 rwxrwxr-x (所有者和组可读写执行，其他人可读执行)
chmod 775 a_shared_dir

递归修改:
-R: 递归地修改目录及其下所有文件和子目录的权限。

# 递归地为 project_dir 目录及其所有内容添加组的写权限
chmod -R g+w project_dir

2.3 修改所有权

chown (Change Owner) 和 chgrp (Change Group) 用于修改文件或目录的所有者和所属组。

chown
语法结构: chown [选项] [用户][:组] 文件或目录...
代码示例:

# 将 file.txt 的所有者修改为 newuser
chown newuser file.txt

# 将 dir/ 的所有者修改为 newuser，所属组修改为 developers
chown newuser:developers dir/

# 递归地修改 /var/www/html 目录及其所有内容的所有权给 apache 用户和组
chown -R apache:apache /var/www/html

chgrp
语法结构: chgrp [选项] 组 文件或目录...
代码示例:

# 将 my_report.docx 的所属组修改为 editors
chgrp editors my_report.docx

# 递归地将 project/ 目录及其所有内容的所属组修改为 devteam
chgrp -R devteam project/

2.4 特殊权限

  • SUID (Set User ID): s (在所有者 x 位)。当执行一个带有SUID权限的文件时，进程会以文件所有者 (通常是root) 的身份运行，而不是执行者的身份。数字表示为 4000。
  • SGID (Set Group ID): s (在所属组 x 位)。对文件，效果类似SUID (以所属组身份运行)；对目录，在该目录中创建的新文件或目录会继承该目录的所属组。数字表示为 2000。
  • Sticky Bit (粘滞位): t (在其他人 x 位)。应用于目录时，只有目录所有者、文件所有者或root用户才能删除或重命名该目录下的文件，即使其他人对该目录有写权限。常用于 /tmp 目录。数字表示为 1000。

代码示例:

# 为 /usr/bin/passwd 添加 SUID 权限 (它本身就有)
chmod u+s /usr/bin/passwd
# 或者使用数字模式
chmod 4755 /usr/bin/passwd

# 为 /shared/project 目录添加 SGID 权限
chmod g+s /shared/project
# 或者使用数字模式
chmod 2775 /shared/project

# 为 /public/upload 目录添加粘滞位
chmod +t /public/upload
# 或者使用数字模式
chmod 1777 /public/upload

三、总结

掌握这些核心命令和概念，是每一位Linux用户和系统管理员的必备技能。它们共同构成了Linux安全模型的基石，通过精确控制“谁能对什么文件做什么事”，确保了系统的安全性、稳定性和多用户环境的有序协作。

练习题

题目：

  1. 创建一个名为 finance 的新用户组。
  2. 创建一个名为 sara 的新用户，为其添加注释 "Finance Analyst"，并自动创建其家目录。
  3. 为用户 sara 设置一个密码。
  4. 创建一个名为 hr 的新用户组。
  5. 将用户 sara 追加到 hr 组，使其同时属于默认组和 hr 组。
  6. 创建一个名为 monthly_report.xlsx 的空文件。
  7. 修改 monthly_report.xlsx 的权限，使其所有者拥有读写权限，所属组拥有读权限，其他人没有任何权限。请分别使用符号模式和数字模式实现。
  8. 将 monthly_report.xlsx 的所有者更改为 sara。
  9. 将 monthly_report.xlsx 的所属组更改为 finance。
  10. 创建一个名为 /apps/shared_data 的目录 (可能需要 sudo mkdir -p)。
  11. 将 /apps/shared_data 目录的所有权同时设置为用户 sara 和组 finance。
  12. 为 /apps/shared_data 目录设置权限，使得 sara 和 finance 组的成员可以在其中创建和删除文件，而其他人只能进入并读取文件。
  13. 为 /apps/shared_data 目录设置 SGID 权限，以确保在该目录中创建的任何新文件或目录都自动属于 finance 组。
  14. 锁定用户 sara 的账户，使其暂时无法登录。
  15. 彻底删除名为 sara 的用户，包括她的家目录和邮件池。
答案与解析：

  1. 创建 finance 组：

    groupadd finance

    解析： groupadd 是创建新用户组的标准命令。

  2. 创建用户 sara：

    useradd -m -c "Finance Analyst" sara

    解析： -m 创建家目录，-c 添加注释。未指定主组，将自动创建一个同名的 sara 组作为其主组。

  3. 为 sara 设置密码：

    passwd sara

    解析： passwd 命令后跟用户名，允许root用户为指定用户设置密码，执行后会提示输入新密码。

  4. 创建 hr 组：

    groupadd hr

    解析： 同第1题，创建新组。

  5. 将 sara 追加到 hr 组：

    usermod -aG hr sara

    解析： usermod 用于修改用户属性。-aG 将用户追加到指定的附加组，而不会影响其已有的组关系。

  6. 创建空文件：

    touch monthly_report.xlsx

    解析： touch 命令可以创建空文件。

  7. 修改 monthly_report.xlsx 权限：

    • 符号模式：
      chmod u=rw,g=r,o= monthly_report.xlsx
    • 数字模式：
      chmod 640 monthly_report.xlsx
      解析： 符号模式 u=rw,g=r,o= 精确设置了三类用户的权限。数字模式 640 是 rw- (4+2=6), r-- (4), --- (0) 的八进制表示。

  8. 更改文件所有者：

    chown sara monthly_report.xlsx

    解析： chown 命令用于改变文件的所有者。

  9. 更改文件所属组：

    chgrp finance monthly_report.xlsx

    解析： chgrp 命令用于改变文件的所属组。

  10. 创建目录：

    sudo mkdir -p /apps/shared_data

    解析： mkdir -p 可以创建多级目录。在根目录下创建目录通常需要 sudo 权限。

  11. 同时更改所有者和所属组：

    sudo chown sara:finance /apps/shared_data

    解析： chown 命令使用 用户:组 的格式可以一次性修改所有者和所属组。

  12. 设置目录权限：

    sudo chmod 775 /apps/shared_data

    解析： 775 对应 rwxrwxr-x。这意味着所有者(sara)和所属组(finance)成员拥有读、写(可以在目录中增删文件)、执行(可以进入目录)的全部权限。其他人只有读和执行权限。

  13. 设置 SGID：

    sudo chmod g+s /apps/shared_data
# 或者，结合上一步的权限
sudo chmod 2775 /apps/shared_data

    解析： g+s 在现有权限基础上添加SGID位。数字模式2775中的2代表SGID，775是基本权限。设置后，该目录权限会显示为 drwxrwsr-x。

  14. 锁定用户账户：

    passwd -l sara

    解析： passwd 的 -l 选项用于锁定用户的密码，使其无法登录。

  15. 彻底删除用户 sara：

    userdel -r sara

    解析： userdel 的 -r 选项会一并删除用户的家目录 (/home/sara) 和邮件池，实现彻底清理。

文章标签：
数据安全/隐私保护
Linux
Shell
存储
安全
IvanCodes
目录
相关文章
IvanCodes
|
28天前
|
存储 安全 Unix
七、Linux Shell 与脚本基础
别再一遍遍地敲重复的命令了，把它们写进Shell脚本，就能一键搞定。脚本本质上就是个存着一堆命令的文本文件，但要让它“活”起来，有几个关键点：文件开头最好用#!/usr/bin/env bash来指定解释器，并用chmod +x给它执行权限。执行时也有讲究：./script.sh是在一个新“房间”（子Shell）里跑，不影响你；而source script.sh是在当前“房间”里跑，适合用来加载环境变量和配置文件。
IvanCodes
307 9
IvanCodes
|
1月前
|
存储 Unix Linux
五、Linux进程与磁盘管理
管理Linux服务器就像身兼两职：既是“医生”，又是“城市规划师”。作为“医生”，你得用ps和top给系统“体检”，看看哪些进程在运行；必要时用kill命令做“外科手术”，终止掉问题进程。作为“规划师”，你得先用fdisk把“土地”（磁盘）划分成“地块”（分区），再用mkfs铺上“地基”（文件系统），最后用mount把地块“挂牌”使用。而df和du就是你随时查看“土地”使用情况的测量工具。
IvanCodes
178 2
IvanCodes
|
1月前
|
安全 Ubuntu Unix
一、初识 Linux 与基本命令
玩转Linux命令行，就像探索一座新城市。首先要熟悉它的“地图”，也就是/根目录下/etc（放配置）、/home（住家）这些核心区域。然后掌握几个“生存口令”：用ls看周围，cd去别处，mkdir建新房，cp/mv搬东西，再用cat或tail看文件内容。最后，别忘了随时按Tab键，它能帮你自动补全命令和路径，是提高效率的第一神器。
IvanCodes
548 56
IvanCodes
|
1月前
|
Linux 应用服务中间件 Shell
二、Linux文本处理与文件操作核心命令
熟悉了Linux的基本“行走”后，就该拿起真正的“工具”干活了。用grep这个“放大镜”在文件里搜索内容，用find这个“探测器”在系统中寻找文件，再用tar把东西打包带走。最关键的是要学会使用管道符|，它像一条流水线，能把这些命令串联起来，让简单工具组合出强大的功能，比如 ps -ef | grep 'nginx' 就能快速找出nginx进程。
IvanCodes
282 1
二、Linux文本处理与文件操作核心命令
IvanCodes
|
1月前
|
安全 Linux Shell
四、Linux核心工具：Vim, 文件链接与SSH
要想在Linux世界里游刃有余，光会“走路”还不够，还得配上几样“高级装备”。首先是Vim编辑器，它像一把瑞士军刀，让你能在命令行里高效地修改文件。然后要懂“软硬链接”，软链接像个快捷方式，硬链接则是给文件起了个别名。最后，SSH是你的“传送门”，不仅能让你安全地远程登录服务器，还能用scp轻松传输文件，设置好密钥更能实现免-密登录，极大提升效率。
IvanCodes
265 3
IvanCodes
|
28天前
|
缓存 安全 Linux
六、Linux核心服务与包管理
在没有网络的情况下，使用系统安装光盘是获取RPM包的常用方法。场景二：配置本地文件镜像源 (使用系统安装光盘/ISO)(检查RPM包的GPG签名以保证安全) 或。YUM/DNF包管理工具 (yum/dnf)(此处可以放置您为本主题制作的思维导图)处理依赖问题的危险选项 (应极力避免)(覆盖文件、替换已安装包)。(list) 则是列出文件。(query file) 是。(假设系统安装光盘已挂载到。信息 (verbose)。(upgrade) 选项。(all) 已安装的包。(package) 选项
IvanCodes
219 11
建站专业户
|
20天前
|
安全 数据可视化 开发者
有什么值得推荐的网站源码分享下载？
本文指出开发者找优质安全网站源码耗时，介绍了多种获取渠道：有 GitHub 等综合开源社区，虽资源多但新手筛选难；有垂直领域平台，其中 PageAdmin CMS 系统因源码完整、易上手、扩展性强受青睐；还有贴合国内需求的国内社区。同时提醒注意版权与安全检测，助力开发者高效搭建项目。
建站专业户
285 9
人工智能 关系型数据库 分布式数据库
236 19
灵杰开发者
|
1月前
|
人工智能 运维 Java
Flink Agents：基于Apache Flink的事件驱动AI智能体框架
本文基于Apache Flink PMC成员宋辛童在Community Over Code Asia 2025的演讲，深入解析Flink Agents项目的技术背景、架构设计与应用场景。该项目聚焦事件驱动型AI智能体，结合Flink的实时处理能力，推动AI在工业场景中的工程化落地，涵盖智能运维、直播分析等典型应用，展现其在AI发展第四层次——智能体AI中的重要意义。
灵杰开发者
709 27
Flink Agents：基于Apache Flink的事件驱动AI智能体框架