刚接触Linux那阵子我基本是一路root走天下——装机用root配环境用root跑服务也用root感觉整个世界都畅通无阻。直到有一次在生产环境上敲错了一条命令看着终端里刷屏的输出我才意识到root给你的是完整的控制权而不是完整的安全感。后来带新人、帮朋友收拾服务器遇到的第一件正事基本上都是把该收敛的权限收一收把该建的普通用户建起来。这篇文章就从Linux里“创建新用户”这件事说起重点说清楚root超级用户和普通用户之间的关系、为什么明明有了root还要建普通账号、以及从零开始创建一个能正常登录、能干活、权限又不过界的新用户需要做的全部步骤。文章里会有命令、有输出示例、有生产环境里的注意事项也有我这些年踩过的坑。适用场景很广刚入门Linux的学生、正在折腾服务器的个人站长、还有需要给团队开账号的初级运维读完基本都能照着操作一遍。1. 为什么要在root超级用户下创建普通用户1.1 root权限的双刃剑效应Linux里的root超级用户说白了就是一个“权限最大、没人拦着你”的账号。它能读任何文件、改任何配置、杀任何进程、删任何目录。这听起来很爽但“为所欲为”的另一面是“承担所有后果”。很多人第一次体会到root的可怕就是在敲错命令的时候。举个最经典的例子rm -rf /这种命令在某些系统上甚至不需要加--no-preserve-root就能执行一旦敲下去系统里的文件会被成片删除单独跑在物理机上的服务器几乎没有恢复的余地。哪怕不是这种毁灭级命令只是把配置文件里的权限写错、把系统目录的owner改错了也足够让一台运行中的服务瞬间挂掉。生产环境里还有一个更隐蔽的风险面服务进程如果以root身份运行那它一旦被外部攻击者找到漏洞攻击者拿到的直接就是最高权限。业内常说的“最小权限原则”核心思想就是进程和账号只需要拥有完成自身任务所必需的最小权限绝不额外多给。这也是为什么你去看那些规范一点的服务器nginx、mysql、redis这些服务都有自己独立的低权限账号而不是全部丢给root去跑。1.2 日常运维和开发场景下的权限规划思路在实际工作中创建普通用户最常见的场景有这么几类。第一类是团队协作。公司服务器不可能只靠一个人给新来的开发、测试、运维同事各自开一个独立的Linux账号是基本操作。每个人用自己的账号登录出了问题可以通过日志追溯是谁在什么时间做了什么操作。如果所有人都合用一个root出了事就是一笔糊涂账。第二类是应用隔离。比如你部署一个Java应用完全没必要让它用root跑。单独建一个应用账号把部署目录、日志目录的权限分配给它即使应用被入侵了攻击者能拿到的权限也被局限在指定目录和指定服务范围内。第三类是学习环境。我刚学Linux的时候也喜欢在虚拟机里一路root操作方便是方便但很多权限问题只有你切换到普通用户之后才能真正遇到、真正理解。如果从一开始就养成“日常操作用普通用户需要特权时再提权”的习惯后面工作中会省很多事。所以在root超级用户下创建普通用户并不是“权限不够用”的退让而是一种主动的安全设计。root留给系统初始化和紧急故障处理日常干活交给普通用户需要提权时通过sudo来完成这一套才是Linux服务器上正确的打开方式。2. 动手前先搞清楚useradd与adduser怎么选2.1 两个命令的底层逻辑差异很多刚开始学Linux的朋友都会问创建用户到底是用useradd还是adduser这个问题在不同的发行版上答案不太一样。Linux里真正“底层”的创建用户命令是useradd它直接调用系统接口去写/etc/passwd、/etc/shadow、/etc/group这些文件并且可以用各种参数精确控制新用户的UID、GID、家目录、登录shell、所属组等信息。而adduser在很多系统上其实是一个Perl写成的交互式脚本它内部会调用useradd但会引导你一步步输入密码、填写用户信息对新手更友好。不同发行版的差别比较明显。在Debian/Ubuntu系里adduser是独立存在的交互工具功能很完善推荐给新手使用。而在RHEL/CentOS系里adduser和useradd其实是同一个程序的硬链接你敲哪个都一样。简单记RHEL系直接统一用useraddDebian/Ubuntu系想图省事用adduser想精细控制也用useradd。作为运维习惯我个人更推荐直接掌握useradd。原因很简单交互式脚本在批量创建用户、写自动化脚本时完全用不上而且useradd的参数一旦理解了很多看似复杂的用户管理问题都能一眼看穿。2.2 useradd常用参数究竟影响了什么useradd之所以让新手觉得难是因为它参数多。但实际工作中高频用到的其实就那么几个。参数作用使用说明-m创建家目录不加这个参数某些发行版上不会自动创建/home下的目录-d指定家目录路径默认是/home/用户名可通过该参数自定义-s指定登录shell一般填/bin/bash禁止登录可填/sbin/nologin-G指定附加组可指定多个组用逗号分隔-u指定UID一般让系统自动分配即可特殊场景才手动指定-c添加备注说明通常填用户全名或角色信息-e设置账号过期日期格式YYYY-MM-DD到期后账号失效-r创建系统用户用于给服务创建运行账号UID会落在系统范围内这里特别要提醒一点-m这个参数在不同发行版的默认行为不一样。CentOS/RHEL上useradd默认会创建家目录Ubuntu/Debian上默认不会。所以为了保险起见跨平台操作时养成显式加-m的习惯能少踩很多莫名其妙的坑。我自己的脚本里只要涉及useradd一律显式写全参数不依赖系统默认值。2.3 系统默认配置对创建结果的影响useradd在运行时会读取两个默认配置文件/etc/default/useradd和/etc/login.defs。前者控制新用户家目录的父路径、默认shell、模板目录等后者控制UID范围、密码过期策略、是否创建家目录等全局规则。你可以直接执行useradd -D查看当前的默认配置输出大概是这个样子[rootserver ~]# useradd -D GROUP100 HOME/home INACTIVE-1 EXPIRE SHELL/bin/bash SKEL/etc/skel CREATE_MAIL_SPOOLyes/etc/login.defs里影响创建用户的关键项包括UID_MIN、UID_MAX、PASS_MAX_DAYS、PASS_WARN_AGE等。举个例子如果系统里CREATE_HOME被设为no那么不带-m参数执行useradd就不会生成家目录用户即使登录进去了工作目录也没有很多依赖家目录配置文件的应用会直接出问题。弄清楚这两个配置文件你就明白为什么两条看起来一模一样的useradd命令在不同服务器上表现完全不同。排查这类问题时不要只盯着命令本身先看看系统默认配置是什么。3. 完整实操流程从root到创建好一个能正常登录的用户3.1 创建前先确认当前身份和系统环境开始创建用户之前第一件事是确认自己当前就是root身份。有些朋友以为自己开了终端就是root结果执行命令全是Permission denied最后发现sudo都没加。用下面几条命令可以快速确认whoami # root id -u # 0id -u输出0表示当前用户是root。因为root的UID固定是0非root用户的UID一般从1000开始。另外也可以用cat /etc/os-release看一下当前是哪个发行版方便后面判断useradd的默认行为。接下来检查一下要创建的用户名是否已存在id lihua # id: lihua: no such user如果输出类似“no such user”说明用户名可用。这一步一定要做因为Linux系统里用户是不能重名的如果重复创建命令会直接报错。3.2 标准创建步骤及参数说明假设现在要给一位新同事李华创建账号用户名我习惯用他的拼音简写lihua。考虑到他需要远程登录服务器执行日常命令需要给他一个正常的bash环境同时还要让他具备sudo提权的能力。具体命令可以这样写useradd -m -d /home/lihua -s /bin/bash -G wheel -c Li Hua - Senior Developer lihua这条命令里每个参数都有明确的意图-m创建家目录/home/lihua-d显式指定家目录路径方便后续确认-s /bin/bash指定登录shell为bash-G wheel把用户加入wheel组在RHEL/CentOS系列中wheel组默认具备sudo提权资格-c添加备注信息以后finger lihua或查看/etc/passwd就知道这个账号是谁如果在Ubuntu/Debian系上操作把-G wheel换成-G sudo即可因为这两个发行版的管理员组名称不同sudo组里的用户才有提权资格。创建完用户后用id命令检查一下结果id lihua # uid1002(lihua) gid1002(lihua) groups1002(lihua),10(wheel)看到输出里出现了uid1002(lihua)和10(wheel)说明用户和附加组都创建成功了。3.3 设置密码与密码策略调整用户创建完成后默认是没有密码的。如果你查看/etc/shadow里对应的那一行密码字段会是一个!或*表示这个账号的密码被锁定或未设置此时用户是无法登录系统的。所以下一步必须设置密码passwd lihua系统会交互式地让你输入两次密码。输入过程中终端不会显示任何字符这是正常现象不要以为卡住了。第一次输完按回车提示再输一遍两次一致就会显示passwd: all authentication tokens updated successfully.关于密码强度CentOS/RHEL和Ubuntu在默认PAM配置下都会对弱密码进行拦截比如纯数字、连续字符、过短密码都有可能被拒。生产环境建议使用足够复杂的密码长度16位以上包含大小写字母、数字和特殊符号。如果需要批量设置或脚本化处理某些发行版支持从标准输入读取密码echo YourPassw0rd_2025! | passwd --stdin lihua注意--stdin参数在Ubuntu上不支持它默认使用chpasswd方式代替。我更推荐脚本里用chpasswd两个发行版都支持echo lihua:YourPassw0rd_2025! | chpasswd顺便用chage把密码过期策略也配置一下比如90天强制换密码、过期前7天提醒chage -M 90 -W 7 lihua chage -l lihua这样做是让账号符合基本的安全规范避免一个密码用好几年。3.4 验证用户是否创建成功创建完成之后做一遍完整验证。先检查家目录是否存在再切换一次用户试试ls -ld /home/lihua # drwx------. 3 lihua lihua 74 Apr 10 14:30 /home/lihua su - lihua这里我建议使用su - lihua而不是su lihua。区别在于su -会完整加载目标用户的环境变量、切换到家目录而su只切换用户身份环境变量还是旧的。用su -模拟出来的登录环境更接近用户真实登录服务器时的状态。切换过来后执行whoami看看whoami # lihua再输入exit退回原来的root终端。验证这一步别偷懒我曾经遇到过一个案例用户创建好了、密码也设了但登录后处于一个非常奇怪的shell环境连基础的ls路径都不对最后排查发现是/etc/passwd里用户的shell字段写成了不存在的路径。这类问题只有在登录验证时才能暴露出来。4. 创建用户背后那些文件和字段4.1 /etc/passwd的7个字段创建用户时看似只是执行了一条命令实际上系统在背后改了多个文件。其中最重要的是/etc/passwd每一行对应一个用户用冒号分隔成7个字段。拿刚才创建的lihua为例/etc/passwd里对应的行是lihua:x:1002:1002:Li Hua - Senior Developer:/home/lihua:/bin/bash7个字段的含义分别是用户名lihua密码占位符x表示密码被转存到/etc/shadow文件中UID1002系统内唯一标识用户的数字GID1002用户主组ID用户备注Li Hua - Senior Developer就是-c参数填的内容家目录/home/lihua登录shell/bin/bash这里最需要注意的是第2个字段。早期的Unix版本的确把加密后的密码直接存在这里但现在几乎所有Linux发行版都用x占位真正的密码哈希保存在/etc/shadow中因为/etc/passwd是所有人可读的文件密码哈希放在里面等于裸奔。4.2 /etc/shadow与密码安全策略/etc/shadow才是存放密码哈希和相关策略的文件只有root用户和少数特权进程可以读取。里面的字段比/etc/passwd更多共有9个字段用冒号分隔lihua:$6$rounds656000$wJGN0...:19000:0:90:7:::9个字段粗略对应用户名加密后的密码哈希最近一次更改密码的日期从1970-01-01开始计算的天数密码最短使用天数0表示可以随时修改密码最长使用天数90表示90天后需要更换密码过期前提醒天数7表示提前7天警告密码过期后宽限天数账号失效日期空表示永久有效保留字段如果在第2个字段看到!或*表示密码被锁定或从未设置该用户不能正常登录。运维中如果想让某个用户临时无法登录可以在root下执行usermod -L lihua或passwd -l lihua效果就是给密码字段前加上!拒绝该用户登录。4.3 家目录模板与用户默认文件很多人以为新用户的家目录是系统凭空“想”出来的其实不是。useradd创建家目录时会从/etc/skel目录复制一份模板文件到这个用户的家目录中。你可以先看看自己系统上的/etc/skel里有什么ls -la /etc/skel/通常里面会有.bash_profile、.bashrc、.bash_logout这些文件。这些是按bash环境规范预设的初始化文件用户登录后bash会自动加载它们用来设置PATH变量、命令别名、提示符样式等。理解这一点后你就知道一个进阶玩法如果希望所有新用户默认自动具备某些配置直接修改/etc/skel下的文件就可以了。比如你想让新用户默认带上几个常用别名可以把别名写进/etc/skel/.bashrc这样以后创建的所有新用户都会自动拥有这些别名。需要注意修改/etc/skel只对之后创建的用户生效对已经存在的用户没有影响。如果你要对已有用户生效还得单独修改他家目录下的对应文件。另外创建用户时如果指定了-k参数也可以指定其他模板目录例如useradd -k /custom/skel -m lihua。创建完用户如果发现家目录里的文件权限不对很可能是模板目录本身的权限被改过了。正常情况下/etc/skel下的文件权限应该是644、目录是755别改成777之类过于开放的值。5. 从“能登录”到“能用好”权限配置与安全维护5.1 给普通用户合理的sudo提权权限普通用户创建好之后很多日常操作其实是做不了的比如安装软件、修改系统配置、管理服务状态。但如果每次系统管理操作都要切回root体验和安全性都很难兼顾。所以实际运维中会给部分需要执行管理任务的普通用户授予sudo权限。sudo的设计思路很简单普通用户通过输入自己的密码在授权范围内以root身份执行特定命令。RHEL/CentOS系的管理员组是wheelUbuntu/Debian系的是sudo组。我之前创建lihua时已经把他加进了wheel组现在需要确认一下/etc/sudoers里是否已经允许wheel组使用sudovisudo编辑/etc/sudoers时一定要用visudo不要直接用vim。原因在于visudo退出前会做语法检查如果配置文件写错了它会在保存前提示你避免把你锁在sudo门外。找到类似下面这一行去掉注释或自行添加%wheel ALL(ALL) ALL这行的含义是wheel组的所有用户可以在所有主机上以所有用户身份执行所有命令。如果只想给某个人授权可以单独写一行lihua ALL(ALL) /usr/bin/systemctl这样lihua就只能用sudo执行systemctl命令其他命令没有权限。需要更精细控制的还能在/etc/sudoers.d/目录下单独建文件这也是规范做法之一。配置完成后让lihua自己执行sudo -l可以查看他被授权执行哪些命令。值得注意的是sudo默认要求输入用户自己的密码但密码输入错误次数过多会触发锁定。如果脚本里需要免密sudo可以配置NOPASSWD例如lihua ALL(ALL) NOPASSWD: ALL生产环境请谨慎使用NOPASSWD它牺牲了密码这层保护换来了无人值守脚本的便利性是否值得完全取决于你的安全策略。5.2 普通用户遇到mount权限不足怎么办创建普通用户之后第二个常见“卡壳”点是挂载操作。比如用户在命令行执行mount /dev/sdb1 /mnt/data很可能得到Operation not permitted的报错。这不是用户笨而是mount操作属于特权操作默认情况下只有root才能执行因为挂载文件系统会影响整个系统的文件视图也可能带来安全风险。如果这个用户确实有合法的挂载需求有几种常见解法。一种是使用/etc/fstab给特定设备加上user选项这样普通用户就能挂载这个设备了/dev/sdb1 /mnt/data ext4 defaults,user,noexec 0 0另一种方式是通过sudo授权这是更灵活的做法。例如给用户授权执行挂载命令lihua ALL(ALL) /usr/bin/mount, /usr/bin/umount桌面环境下插上U盘能自动挂载主要靠的是udisks2和polkit这套机制它对普通用户做了弹性授权。这也是很多Linux新手在桌面上觉得“好像没权限问题”一上服务器就处处碰壁的原因——服务器环境默认没有这些图形化的辅助授权工具。5.3 用户锁定、删除与日常审计前面说过用户创建后不代表永远有效。员工离职、项目下线、账号被滥用都需要对用户做冻结或清理操作。临时禁止某个用户登录可以用usermod -L lihua或passwd -l lihua两者作用类似都是在/etc/shadow的密码字段前加!。恢复登录用usermod -U或passwd -u。彻底删除一个用户可以用userdel -r lihua-r参数会连同用户的家目录和邮件池一起删除这个操作是不可逆的。所以删除前务必确认这个用户的数据是否还需要保留必要时先用tar备份家目录。另外如果某个用户还在跑着进程userdel会提示该用户当前正被使用通常需要先手动清理相关进程再做删除。日常维护时我习惯隔一段时间看一下登录记录和用户变动日志last journalctl -u sshd | tail -50有条件的环境还可以把/etc/passwd、/etc/group的变更纳入监控防止有人私下添加账号。一个健壮的用户管理体系不仅要知道怎么创建用户更要知道怎么撤销用户的权限、怎么跟踪用户的行为。6. 常见问题与排查技巧实录6.1 创建成功却无法登录这是我见过最频繁的新手问题。执行了useradd也执行了passwd设置了密码但登录时就是提示密码错误或者直接拒绝。先排除一个最基础的原因useradd创建的用户如果没有执行passwd设置密码/etc/shadow中的密码字段是!任何密码都登录不了。很多朋友漏掉了设置密码这一步只在/etc/passwd里看到了用户记录以为任务完成了。另一个常见原因是shell设置不对。如果useradd时用了-s /sbin/nologin或者系统默认shell是/sbin/nologin这个用户也无法正常登录shell因为/sbin/nologin就是用来阻止登录的。查看用户当前的shellgrep lihua /etc/passwd如果结尾是/sbin/nologin而你又希望他正常登录可以修改shellusermod -s /bin/bash lihua排查这类问题的统一思路是把用户登录所需的几个条件逐一验证。密码字段是否正常、shell是否合法、家目录是否存在、账号是否过期、管理员是否在SSH配置里加了AllowUsers限制。按这个顺序检查绝大多数登录问题都能定位。6.2 用户执行sudo时报错账号已经创建、用户也能登录了结果一执行sudo命令系统提示xxx is not in the sudoers file. This incident will be reported.这通常意味着该用户或该用户所在的组没有出现在/etc/sudoers的授权列表里。解决办法是回到root身份把用户加入相应的管理员组或者直接在sudoers里追加授权。这里最怕的情况是/etc/sudoers本身写坏了导致没有任何用户能执行sudo。所以再次强调修改sudoers务必用visudo它会先做语法校验。如果真的一不留神把sudo服务搞坏了需要拿root或maintenance模式去恢复原配置文件。还有一点容易被忽略如果系统里之前配置了AllowUsers或者AllowGroups而新用户不在其中也会导致sudo相关操作受限。用户管理不是一个孤立操作它会和系统里的各种策略纠缠在一起排查时要有全局意识。6.3 使用passwd修改密码时遇到的异常设置密码过程中有时会看到类似Password has been used in the past、Password too short之类的提示。这是系统的PAM密码策略在起作用。Linux发行版默认带了一套密码强度校验如果密码规则过严导致你无法设置要么换个更复杂的密码要么以root身份调整PAM策略配置。还有一种情况是passwd执行时报错Have exhausted maximum number of retries for service这是密码不满足规则连续多次确认失败导致的。此时重新执行passwd再试就行不需要重启系统。另外passwd --stdin在部分发行版上不可用这一点我在前面提过建议跨平台脚本里优先用chpasswd。6.4 新用户SSH远程登录被拒绝本地能su -切换过去但用SSH登录却一直失败这也是高频问题。这类问题的排查思路要从SSH服务端配置入手。打开/etc/ssh/sshd_config检查几项PasswordAuthentication是否为yes、是否配置了AllowUsers、DenyUsers、PermitRootLogin等。每次修改SSH配置后记得重启服务systemctl restart sshd注意重启sshd不会断开现有连接只会对后续新连接生效。如果开启了防火墙和安全组还要确认22端口对目标IP是放行的。我在生产环境排查过一次非常隐蔽的问题用户账号、密码、SSH配置全部正常但就是登录不了最后发现是该用户的家目录权限变成了777SSH出于安全考虑拒绝了这种配置。正确的家目录权限通常是700或750所属owner必须是用户本人或root。这个坑很多老手也会遇到所以我把它放在最后压轴。权限管理这事儿粗看全是白花花的细节实际上每一条都是Linux多年沉淀下来的安全设计尊重它、遵守它系统才会回馈你稳定和安全。
刚接触Linux那阵子我基本是一路root走天下——装机用root配环境用root跑服务也用root感觉整个世界都畅通无阻。直到有一次在生产环境上敲错了一条命令看着终端里刷屏的输出我才意识到root给你的是完整的控制权而不是完整的安全感。后来带新人、帮朋友收拾服务器遇到的第一件正事基本上都是把该收敛的权限收一收把该建的普通用户建起来。这篇文章就从Linux里“创建新用户”这件事说起重点说清楚root超级用户和普通用户之间的关系、为什么明明有了root还要建普通账号、以及从零开始创建一个能正常登录、能干活、权限又不过界的新用户需要做的全部步骤。文章里会有命令、有输出示例、有生产环境里的注意事项也有我这些年踩过的坑。适用场景很广刚入门Linux的学生、正在折腾服务器的个人站长、还有需要给团队开账号的初级运维读完基本都能照着操作一遍。1. 为什么要在root超级用户下创建普通用户1.1 root权限的双刃剑效应Linux里的root超级用户说白了就是一个“权限最大、没人拦着你”的账号。它能读任何文件、改任何配置、杀任何进程、删任何目录。这听起来很爽但“为所欲为”的另一面是“承担所有后果”。很多人第一次体会到root的可怕就是在敲错命令的时候。举个最经典的例子rm -rf /这种命令在某些系统上甚至不需要加--no-preserve-root就能执行一旦敲下去系统里的文件会被成片删除单独跑在物理机上的服务器几乎没有恢复的余地。哪怕不是这种毁灭级命令只是把配置文件里的权限写错、把系统目录的owner改错了也足够让一台运行中的服务瞬间挂掉。生产环境里还有一个更隐蔽的风险面服务进程如果以root身份运行那它一旦被外部攻击者找到漏洞攻击者拿到的直接就是最高权限。业内常说的“最小权限原则”核心思想就是进程和账号只需要拥有完成自身任务所必需的最小权限绝不额外多给。这也是为什么你去看那些规范一点的服务器nginx、mysql、redis这些服务都有自己独立的低权限账号而不是全部丢给root去跑。1.2 日常运维和开发场景下的权限规划思路在实际工作中创建普通用户最常见的场景有这么几类。第一类是团队协作。公司服务器不可能只靠一个人给新来的开发、测试、运维同事各自开一个独立的Linux账号是基本操作。每个人用自己的账号登录出了问题可以通过日志追溯是谁在什么时间做了什么操作。如果所有人都合用一个root出了事就是一笔糊涂账。第二类是应用隔离。比如你部署一个Java应用完全没必要让它用root跑。单独建一个应用账号把部署目录、日志目录的权限分配给它即使应用被入侵了攻击者能拿到的权限也被局限在指定目录和指定服务范围内。第三类是学习环境。我刚学Linux的时候也喜欢在虚拟机里一路root操作方便是方便但很多权限问题只有你切换到普通用户之后才能真正遇到、真正理解。如果从一开始就养成“日常操作用普通用户需要特权时再提权”的习惯后面工作中会省很多事。所以在root超级用户下创建普通用户并不是“权限不够用”的退让而是一种主动的安全设计。root留给系统初始化和紧急故障处理日常干活交给普通用户需要提权时通过sudo来完成这一套才是Linux服务器上正确的打开方式。2. 动手前先搞清楚useradd与adduser怎么选2.1 两个命令的底层逻辑差异很多刚开始学Linux的朋友都会问创建用户到底是用useradd还是adduser这个问题在不同的发行版上答案不太一样。Linux里真正“底层”的创建用户命令是useradd它直接调用系统接口去写/etc/passwd、/etc/shadow、/etc/group这些文件并且可以用各种参数精确控制新用户的UID、GID、家目录、登录shell、所属组等信息。而adduser在很多系统上其实是一个Perl写成的交互式脚本它内部会调用useradd但会引导你一步步输入密码、填写用户信息对新手更友好。不同发行版的差别比较明显。在Debian/Ubuntu系里adduser是独立存在的交互工具功能很完善推荐给新手使用。而在RHEL/CentOS系里adduser和useradd其实是同一个程序的硬链接你敲哪个都一样。简单记RHEL系直接统一用useraddDebian/Ubuntu系想图省事用adduser想精细控制也用useradd。作为运维习惯我个人更推荐直接掌握useradd。原因很简单交互式脚本在批量创建用户、写自动化脚本时完全用不上而且useradd的参数一旦理解了很多看似复杂的用户管理问题都能一眼看穿。2.2 useradd常用参数究竟影响了什么useradd之所以让新手觉得难是因为它参数多。但实际工作中高频用到的其实就那么几个。参数作用使用说明-m创建家目录不加这个参数某些发行版上不会自动创建/home下的目录-d指定家目录路径默认是/home/用户名可通过该参数自定义-s指定登录shell一般填/bin/bash禁止登录可填/sbin/nologin-G指定附加组可指定多个组用逗号分隔-u指定UID一般让系统自动分配即可特殊场景才手动指定-c添加备注说明通常填用户全名或角色信息-e设置账号过期日期格式YYYY-MM-DD到期后账号失效-r创建系统用户用于给服务创建运行账号UID会落在系统范围内这里特别要提醒一点-m这个参数在不同发行版的默认行为不一样。CentOS/RHEL上useradd默认会创建家目录Ubuntu/Debian上默认不会。所以为了保险起见跨平台操作时养成显式加-m的习惯能少踩很多莫名其妙的坑。我自己的脚本里只要涉及useradd一律显式写全参数不依赖系统默认值。2.3 系统默认配置对创建结果的影响useradd在运行时会读取两个默认配置文件/etc/default/useradd和/etc/login.defs。前者控制新用户家目录的父路径、默认shell、模板目录等后者控制UID范围、密码过期策略、是否创建家目录等全局规则。你可以直接执行useradd -D查看当前的默认配置输出大概是这个样子[rootserver ~]# useradd -D GROUP100 HOME/home INACTIVE-1 EXPIRE SHELL/bin/bash SKEL/etc/skel CREATE_MAIL_SPOOLyes/etc/login.defs里影响创建用户的关键项包括UID_MIN、UID_MAX、PASS_MAX_DAYS、PASS_WARN_AGE等。举个例子如果系统里CREATE_HOME被设为no那么不带-m参数执行useradd就不会生成家目录用户即使登录进去了工作目录也没有很多依赖家目录配置文件的应用会直接出问题。弄清楚这两个配置文件你就明白为什么两条看起来一模一样的useradd命令在不同服务器上表现完全不同。排查这类问题时不要只盯着命令本身先看看系统默认配置是什么。3. 完整实操流程从root到创建好一个能正常登录的用户3.1 创建前先确认当前身份和系统环境开始创建用户之前第一件事是确认自己当前就是root身份。有些朋友以为自己开了终端就是root结果执行命令全是Permission denied最后发现sudo都没加。用下面几条命令可以快速确认whoami # root id -u # 0id -u输出0表示当前用户是root。因为root的UID固定是0非root用户的UID一般从1000开始。另外也可以用cat /etc/os-release看一下当前是哪个发行版方便后面判断useradd的默认行为。接下来检查一下要创建的用户名是否已存在id lihua # id: lihua: no such user如果输出类似“no such user”说明用户名可用。这一步一定要做因为Linux系统里用户是不能重名的如果重复创建命令会直接报错。3.2 标准创建步骤及参数说明假设现在要给一位新同事李华创建账号用户名我习惯用他的拼音简写lihua。考虑到他需要远程登录服务器执行日常命令需要给他一个正常的bash环境同时还要让他具备sudo提权的能力。具体命令可以这样写useradd -m -d /home/lihua -s /bin/bash -G wheel -c Li Hua - Senior Developer lihua这条命令里每个参数都有明确的意图-m创建家目录/home/lihua-d显式指定家目录路径方便后续确认-s /bin/bash指定登录shell为bash-G wheel把用户加入wheel组在RHEL/CentOS系列中wheel组默认具备sudo提权资格-c添加备注信息以后finger lihua或查看/etc/passwd就知道这个账号是谁如果在Ubuntu/Debian系上操作把-G wheel换成-G sudo即可因为这两个发行版的管理员组名称不同sudo组里的用户才有提权资格。创建完用户后用id命令检查一下结果id lihua # uid1002(lihua) gid1002(lihua) groups1002(lihua),10(wheel)看到输出里出现了uid1002(lihua)和10(wheel)说明用户和附加组都创建成功了。3.3 设置密码与密码策略调整用户创建完成后默认是没有密码的。如果你查看/etc/shadow里对应的那一行密码字段会是一个!或*表示这个账号的密码被锁定或未设置此时用户是无法登录系统的。所以下一步必须设置密码passwd lihua系统会交互式地让你输入两次密码。输入过程中终端不会显示任何字符这是正常现象不要以为卡住了。第一次输完按回车提示再输一遍两次一致就会显示passwd: all authentication tokens updated successfully.关于密码强度CentOS/RHEL和Ubuntu在默认PAM配置下都会对弱密码进行拦截比如纯数字、连续字符、过短密码都有可能被拒。生产环境建议使用足够复杂的密码长度16位以上包含大小写字母、数字和特殊符号。如果需要批量设置或脚本化处理某些发行版支持从标准输入读取密码echo YourPassw0rd_2025! | passwd --stdin lihua注意--stdin参数在Ubuntu上不支持它默认使用chpasswd方式代替。我更推荐脚本里用chpasswd两个发行版都支持echo lihua:YourPassw0rd_2025! | chpasswd顺便用chage把密码过期策略也配置一下比如90天强制换密码、过期前7天提醒chage -M 90 -W 7 lihua chage -l lihua这样做是让账号符合基本的安全规范避免一个密码用好几年。3.4 验证用户是否创建成功创建完成之后做一遍完整验证。先检查家目录是否存在再切换一次用户试试ls -ld /home/lihua # drwx------. 3 lihua lihua 74 Apr 10 14:30 /home/lihua su - lihua这里我建议使用su - lihua而不是su lihua。区别在于su -会完整加载目标用户的环境变量、切换到家目录而su只切换用户身份环境变量还是旧的。用su -模拟出来的登录环境更接近用户真实登录服务器时的状态。切换过来后执行whoami看看whoami # lihua再输入exit退回原来的root终端。验证这一步别偷懒我曾经遇到过一个案例用户创建好了、密码也设了但登录后处于一个非常奇怪的shell环境连基础的ls路径都不对最后排查发现是/etc/passwd里用户的shell字段写成了不存在的路径。这类问题只有在登录验证时才能暴露出来。4. 创建用户背后那些文件和字段4.1 /etc/passwd的7个字段创建用户时看似只是执行了一条命令实际上系统在背后改了多个文件。其中最重要的是/etc/passwd每一行对应一个用户用冒号分隔成7个字段。拿刚才创建的lihua为例/etc/passwd里对应的行是lihua:x:1002:1002:Li Hua - Senior Developer:/home/lihua:/bin/bash7个字段的含义分别是用户名lihua密码占位符x表示密码被转存到/etc/shadow文件中UID1002系统内唯一标识用户的数字GID1002用户主组ID用户备注Li Hua - Senior Developer就是-c参数填的内容家目录/home/lihua登录shell/bin/bash这里最需要注意的是第2个字段。早期的Unix版本的确把加密后的密码直接存在这里但现在几乎所有Linux发行版都用x占位真正的密码哈希保存在/etc/shadow中因为/etc/passwd是所有人可读的文件密码哈希放在里面等于裸奔。4.2 /etc/shadow与密码安全策略/etc/shadow才是存放密码哈希和相关策略的文件只有root用户和少数特权进程可以读取。里面的字段比/etc/passwd更多共有9个字段用冒号分隔lihua:$6$rounds656000$wJGN0...:19000:0:90:7:::9个字段粗略对应用户名加密后的密码哈希最近一次更改密码的日期从1970-01-01开始计算的天数密码最短使用天数0表示可以随时修改密码最长使用天数90表示90天后需要更换密码过期前提醒天数7表示提前7天警告密码过期后宽限天数账号失效日期空表示永久有效保留字段如果在第2个字段看到!或*表示密码被锁定或从未设置该用户不能正常登录。运维中如果想让某个用户临时无法登录可以在root下执行usermod -L lihua或passwd -l lihua效果就是给密码字段前加上!拒绝该用户登录。4.3 家目录模板与用户默认文件很多人以为新用户的家目录是系统凭空“想”出来的其实不是。useradd创建家目录时会从/etc/skel目录复制一份模板文件到这个用户的家目录中。你可以先看看自己系统上的/etc/skel里有什么ls -la /etc/skel/通常里面会有.bash_profile、.bashrc、.bash_logout这些文件。这些是按bash环境规范预设的初始化文件用户登录后bash会自动加载它们用来设置PATH变量、命令别名、提示符样式等。理解这一点后你就知道一个进阶玩法如果希望所有新用户默认自动具备某些配置直接修改/etc/skel下的文件就可以了。比如你想让新用户默认带上几个常用别名可以把别名写进/etc/skel/.bashrc这样以后创建的所有新用户都会自动拥有这些别名。需要注意修改/etc/skel只对之后创建的用户生效对已经存在的用户没有影响。如果你要对已有用户生效还得单独修改他家目录下的对应文件。另外创建用户时如果指定了-k参数也可以指定其他模板目录例如useradd -k /custom/skel -m lihua。创建完用户如果发现家目录里的文件权限不对很可能是模板目录本身的权限被改过了。正常情况下/etc/skel下的文件权限应该是644、目录是755别改成777之类过于开放的值。5. 从“能登录”到“能用好”权限配置与安全维护5.1 给普通用户合理的sudo提权权限普通用户创建好之后很多日常操作其实是做不了的比如安装软件、修改系统配置、管理服务状态。但如果每次系统管理操作都要切回root体验和安全性都很难兼顾。所以实际运维中会给部分需要执行管理任务的普通用户授予sudo权限。sudo的设计思路很简单普通用户通过输入自己的密码在授权范围内以root身份执行特定命令。RHEL/CentOS系的管理员组是wheelUbuntu/Debian系的是sudo组。我之前创建lihua时已经把他加进了wheel组现在需要确认一下/etc/sudoers里是否已经允许wheel组使用sudovisudo编辑/etc/sudoers时一定要用visudo不要直接用vim。原因在于visudo退出前会做语法检查如果配置文件写错了它会在保存前提示你避免把你锁在sudo门外。找到类似下面这一行去掉注释或自行添加%wheel ALL(ALL) ALL这行的含义是wheel组的所有用户可以在所有主机上以所有用户身份执行所有命令。如果只想给某个人授权可以单独写一行lihua ALL(ALL) /usr/bin/systemctl这样lihua就只能用sudo执行systemctl命令其他命令没有权限。需要更精细控制的还能在/etc/sudoers.d/目录下单独建文件这也是规范做法之一。配置完成后让lihua自己执行sudo -l可以查看他被授权执行哪些命令。值得注意的是sudo默认要求输入用户自己的密码但密码输入错误次数过多会触发锁定。如果脚本里需要免密sudo可以配置NOPASSWD例如lihua ALL(ALL) NOPASSWD: ALL生产环境请谨慎使用NOPASSWD它牺牲了密码这层保护换来了无人值守脚本的便利性是否值得完全取决于你的安全策略。5.2 普通用户遇到mount权限不足怎么办创建普通用户之后第二个常见“卡壳”点是挂载操作。比如用户在命令行执行mount /dev/sdb1 /mnt/data很可能得到Operation not permitted的报错。这不是用户笨而是mount操作属于特权操作默认情况下只有root才能执行因为挂载文件系统会影响整个系统的文件视图也可能带来安全风险。如果这个用户确实有合法的挂载需求有几种常见解法。一种是使用/etc/fstab给特定设备加上user选项这样普通用户就能挂载这个设备了/dev/sdb1 /mnt/data ext4 defaults,user,noexec 0 0另一种方式是通过sudo授权这是更灵活的做法。例如给用户授权执行挂载命令lihua ALL(ALL) /usr/bin/mount, /usr/bin/umount桌面环境下插上U盘能自动挂载主要靠的是udisks2和polkit这套机制它对普通用户做了弹性授权。这也是很多Linux新手在桌面上觉得“好像没权限问题”一上服务器就处处碰壁的原因——服务器环境默认没有这些图形化的辅助授权工具。5.3 用户锁定、删除与日常审计前面说过用户创建后不代表永远有效。员工离职、项目下线、账号被滥用都需要对用户做冻结或清理操作。临时禁止某个用户登录可以用usermod -L lihua或passwd -l lihua两者作用类似都是在/etc/shadow的密码字段前加!。恢复登录用usermod -U或passwd -u。彻底删除一个用户可以用userdel -r lihua-r参数会连同用户的家目录和邮件池一起删除这个操作是不可逆的。所以删除前务必确认这个用户的数据是否还需要保留必要时先用tar备份家目录。另外如果某个用户还在跑着进程userdel会提示该用户当前正被使用通常需要先手动清理相关进程再做删除。日常维护时我习惯隔一段时间看一下登录记录和用户变动日志last journalctl -u sshd | tail -50有条件的环境还可以把/etc/passwd、/etc/group的变更纳入监控防止有人私下添加账号。一个健壮的用户管理体系不仅要知道怎么创建用户更要知道怎么撤销用户的权限、怎么跟踪用户的行为。6. 常见问题与排查技巧实录6.1 创建成功却无法登录这是我见过最频繁的新手问题。执行了useradd也执行了passwd设置了密码但登录时就是提示密码错误或者直接拒绝。先排除一个最基础的原因useradd创建的用户如果没有执行passwd设置密码/etc/shadow中的密码字段是!任何密码都登录不了。很多朋友漏掉了设置密码这一步只在/etc/passwd里看到了用户记录以为任务完成了。另一个常见原因是shell设置不对。如果useradd时用了-s /sbin/nologin或者系统默认shell是/sbin/nologin这个用户也无法正常登录shell因为/sbin/nologin就是用来阻止登录的。查看用户当前的shellgrep lihua /etc/passwd如果结尾是/sbin/nologin而你又希望他正常登录可以修改shellusermod -s /bin/bash lihua排查这类问题的统一思路是把用户登录所需的几个条件逐一验证。密码字段是否正常、shell是否合法、家目录是否存在、账号是否过期、管理员是否在SSH配置里加了AllowUsers限制。按这个顺序检查绝大多数登录问题都能定位。6.2 用户执行sudo时报错账号已经创建、用户也能登录了结果一执行sudo命令系统提示xxx is not in the sudoers file. This incident will be reported.这通常意味着该用户或该用户所在的组没有出现在/etc/sudoers的授权列表里。解决办法是回到root身份把用户加入相应的管理员组或者直接在sudoers里追加授权。这里最怕的情况是/etc/sudoers本身写坏了导致没有任何用户能执行sudo。所以再次强调修改sudoers务必用visudo它会先做语法校验。如果真的一不留神把sudo服务搞坏了需要拿root或maintenance模式去恢复原配置文件。还有一点容易被忽略如果系统里之前配置了AllowUsers或者AllowGroups而新用户不在其中也会导致sudo相关操作受限。用户管理不是一个孤立操作它会和系统里的各种策略纠缠在一起排查时要有全局意识。6.3 使用passwd修改密码时遇到的异常设置密码过程中有时会看到类似Password has been used in the past、Password too short之类的提示。这是系统的PAM密码策略在起作用。Linux发行版默认带了一套密码强度校验如果密码规则过严导致你无法设置要么换个更复杂的密码要么以root身份调整PAM策略配置。还有一种情况是passwd执行时报错Have exhausted maximum number of retries for service这是密码不满足规则连续多次确认失败导致的。此时重新执行passwd再试就行不需要重启系统。另外passwd --stdin在部分发行版上不可用这一点我在前面提过建议跨平台脚本里优先用chpasswd。6.4 新用户SSH远程登录被拒绝本地能su -切换过去但用SSH登录却一直失败这也是高频问题。这类问题的排查思路要从SSH服务端配置入手。打开/etc/ssh/sshd_config检查几项PasswordAuthentication是否为yes、是否配置了AllowUsers、DenyUsers、PermitRootLogin等。每次修改SSH配置后记得重启服务systemctl restart sshd注意重启sshd不会断开现有连接只会对后续新连接生效。如果开启了防火墙和安全组还要确认22端口对目标IP是放行的。我在生产环境排查过一次非常隐蔽的问题用户账号、密码、SSH配置全部正常但就是登录不了最后发现是该用户的家目录权限变成了777SSH出于安全考虑拒绝了这种配置。正确的家目录权限通常是700或750所属owner必须是用户本人或root。这个坑很多老手也会遇到所以我把它放在最后压轴。权限管理这事儿粗看全是白花花的细节实际上每一条都是Linux多年沉淀下来的安全设计尊重它、遵守它系统才会回馈你稳定和安全。
