用户与组管理
添加、删除并审计用户和组，配置 sudo，并应用最小权限原则
用户与组管理 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
Linux 用户模型
Linux 是一种多用户 OS。每个进程都以特定用户身份运行。了解用户和组是实施访问控制和权限分离的基础。
/etc/passwd 文件
/etc/passwd 存储用户账户信息：用户名、UID、GID、主目录和 shell。密码以哈希形式存储在 /etc/shadow 中，只有超级用户可以读取。
cat /etc/passwd
# format: username:x:UID:GID:comment:home:shell创建和管理用户
主要命令：
useradd -m -s /bin/bash alice # create user with home dir
passwd alice # set password
usermod -aG sudo alice # add to sudo group
userdel -r alice # delete user and home dir组与访问控制
组允许多个用户共享权限。一个用户可以属于多个附加组。主组在创建用户时设置；次要组则为文件和设备提供额外访问权限。
groupadd developers
usermod -aG developers bob
id bob # show UID, GID, groups/etc/shadow 文件
/etc/shadow 包含哈希后的密码和密码老化信息。只有超级用户可以读取它。哈希格式为：$id$salt$hash，其中标识符表示算法（6=SHA-512，2y=bcrypt）。
sudo cat /etc/shadow
# $6$salt$hash = SHA-512最小权限原则
每个用户和服务都应仅以完成所需任务的最低权限运行。除非绝对必要，否则不要以超级用户身份运行应用程序。请使用专用服务账户，不为其提供登录 shell，并限制其主目录。
sudo 与 su
sudo 使用提升后的权限运行单个命令，并记录该操作。su 会切换到另一个用户（通常是超级用户），并持续整个会话。为便于审计，请优先使用 sudo——每条提升权限的命令都会记录到 /var/log/auth.log。
sudo apt update # single command as root
sudo -u postgres psql # run as specific service user
su - alice # switch to alice (full login)Sudoers 配置
/etc/sudoers 文件（使用 visudo 编辑）控制哪些用户可以以超级用户身份运行哪些命令。请授予细粒度权限，而不是完整的 sudo 权限。例如，只允许部署用户重启 nginx。
visudo
# deploy ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx锁定和使账户过期
请禁用未使用的账户，而不要删除它们（这样可以保留审计记录）：
passwd -l alice # lock account
usermod -e 2024-12-31 alice # set expiry date
chage -l alice # view password aging info服务账户
应用程序应以专用服务账户运行，并满足以下条件：没有交互式登录 shell（/usr/sbin/nologin）、无权写入主目录，以及仅属于最少数量的组。切勿以超级用户身份运行 Web 服务器或数据库。
审计用户活动
通过日志监控用户操作：
last # recent logins
lastb # failed login attempts
journalctl _UID=1000 # journal entries for UID 1000
grep sudo /var/log/auth.log # sudo usage快速检查：用户管理
Linux 中哪个文件包含哈希后的密码，并且只有超级用户可以读取？
课程回顾
Linux 用户和组管理通过 UID、GID 以及组成员关系控制访问权限。请使用 useradd、usermod 和 groupadd。遵循最小权限原则：为服务账户设置无登录 shell。出于可审计性考虑，请使用 sudo 而不是 su。监控 /var/log/auth.log 中的可疑活动。
常见问题解答
「用户与组管理」课时是免费的吗？
是的 — 「用户与组管理」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「用户与组管理」这节课中我会学到什么？
添加、删除并审计用户和组，配置 sudo，并应用最小权限原则 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「用户与组管理」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。