stolen's blog

# 基本创建（使用默认配置）
sudo useradd username

# 指定家目录
sudo useradd -d /home/custom username

# 指定 UID
sudo useradd -u 1001 username

# 指定主组
sudo useradd -g groupname username

# 指定附加组
sudo useradd -G group1,group2 username

# 指定 shell
sudo useradd -s /bin/zsh username

# 创建时不创建家目录
sudo useradd -M username

# 创建系统用户（UID < 1000）
sudo useradd -r username

# 创建时设置注释信息
sudo useradd -c "Full Name,Dept" username

# 交互式创建（更友好）
sudo adduser username  # Debian/Ubuntu

# 修改用户名
sudo usermod -l newname oldname

# 修改 UID
sudo usermod -u 1002 username

# 修改家目录
sudo usermod -d /new/home username
sudo usermod -d /new/home -m username  # 同时移动文件

# 修改主组
sudo usermod -g newgroup username

# 修改附加组（覆盖）
sudo usermod -G group1,group2 username

# 添加附加组（追加）
sudo usermod -aG groupname username

# 修改 shell
sudo usermod -s /bin/bash username

# 锁定用户
sudo usermod -L username

# 解锁用户
sudo usermod -U username

# 设置密码过期
sudo chage -E 2026-12-31 username  # 账号过期
sudo chage -M 90 username          # 密码 90 天过期
sudo chage -m 7 username           # 7 天内不可改密码

# 删除用户（保留家目录）
sudo userdel username

# 删除用户及家目录
sudo userdel -r username

# 强制删除用户及家目录
sudo userdel -r -f username

# 查看用户信息
id username
id -u username  # 仅 UID
id -g username  # 仅 GID
id -G username  # 所有组

# 查看用户详细信息
finger username

# 查看用户所属组
groups username

# 查看当前用户
whoami
who am i

# 查看用户密码信息
sudo grep username /etc/shadow
sudo chage -l username  # 密码过期信息

# 查看最后登录
last username
lastlog -u username

# 切换用户
su username

# 切换用户并加载环境变量
su - username

# 以 root 执行命令
su -c "command"

# 退出当前 shell
exit

# 基本创建
sudo groupadd groupname

# 指定 GID
sudo groupadd -g 1001 groupname

# 创建系统组
sudo groupadd -r groupname

# 修改组名
sudo groupmod -n newname oldname

# 修改 GID
sudo groupmod -g 1002 groupname

# 删除组
sudo groupdel groupname

# 强制删除（即使为某用户主组）
sudo groupdel -f groupname

# 添加用户到组
sudo usermod -aG groupname username
sudo gpasswd -a username groupname

# 从组中移除用户
sudo gpasswd -d username groupname

# 设置组管理员
sudo gpasswd -A user1,user2 groupname

# 设置组成员（覆盖现有成员）
sudo gpasswd -M user1,user2,user3 groupname

# 查看组信息
getent group groupname
grep groupname /etc/group

# 查看组所有成员
members groupname  # 需安装 libnss-extrausers

# 详细列表
ls -l file
ls -la       # 包含隐藏文件
ls -ld dir   # 查看目录本身而非内容

# 权限说明
# -rwxr-xr-- 表示：
# - : 普通文件 (d=目录，l=链接)
# rwx : 所有者权限
# r-x : 组权限
# r-- : 其他用户权限

# 符号模式
chmod u+x file          # 给所有者添加执行权限
chmod g-w file          # 移除组写权限
chmod o=r file          # 设置其他用户只有读权限
chmod a+x file          # 给所有人添加执行权限
chmod u+x,g+rx,o+r file # 组合设置
chmod -R u+rwx dir      # 递归设置

# 数字模式
chmod 755 file          # rwxr-xr-x
chmod 644 file          # rw-r--r--
chmod 700 file          # rwx------
chmod 4755 file         # 带 setuid
chmod 6755 file         # 带 setuid+setgid

# 修改所有者
sudo chown username file

# 修改所有者和组
sudo chown username:groupname file
sudo chown username:group file

# 仅修改组
sudo chgrp groupname file
sudo chown :groupname file

# 递归修改
sudo chown -R username:group dir

# 查看 SUID 文件
find / -perm -4000 2>/dev/null

# 设置 SUID
chmod u+s file
chmod 4755 file

# 移除 SUID
chmod u-s file
chmod 0755 file

# 常见 SUID 程序
/usr/bin/passwd
/usr/bin/sudo
/usr/bin/su

# 查看 SGID 文件
find / -perm -2000 2>/dev/null

# 设置 SGID
chmod g+s file
chmod 2755 file

# 目录 SGID（协作目录）
mkdir /shared
chmod 2775 /shared
# 在此目录创建的文件自动继承 shared 组

# 查看粘滞位目录
ls -ld /tmp
# drwxrwxrwt ... /tmp

# 设置粘滞位
chmod +t dir
chmod 1777 dir

# 移除粘滞位
chmod -t dir
chmod 0777 dir

# 典型应用：/tmp 目录

# 查看 ACL
getfacl file

# 设置用户 ACL
setfacl -m u:username:rw file
setfacl -m u:username:rwx file

# 设置组 ACL
setfacl -m g:groupname:rx file

# 设置默认 ACL（目录中新文件继承）
setfacl -d -m u:username:rw dir
setfacl -d -m g:groupname:rx dir

# 删除 ACL
setfacl -x u:username file
setfacl -b file  # 删除所有 ACL

# 递归设置
setfacl -R -m u:username:rw dir

# 设置掩码（限制最大权限）
setfacl -m m::rx file

# 查看有效权限
getfacl file | grep mask

# 项目协作目录
mkdir /project
setfacl -m g:devteam:rwx /project
setfacl -m u:manager:rwx /project
setfacl -d -m g:devteam:rx /project
setfacl -d -m u:manager:rw /project

# 安全编辑
sudo visudo

# 使用指定编辑器
sudo EDITOR=vim visudo

# 格式
用户名/组 主机=(目标用户) 命令

# 允许用户执行所有命令
username ALL=(ALL) ALL

# 允许组执行所有命令
%groupname ALL=(ALL) ALL

# 允许执行特定命令
username ALL=(ALL) /usr/bin/systemctl, /usr/bin/journalctl

# 允许无密码执行
username ALL=(ALL) NOPASSWD: ALL
username ALL=(ALL) NOPASSWD: /usr/bin/apt

# 限制命令参数
username ALL=(ALL) /usr/bin/docker exec mycontainer *

# 别名定义
User_Alias ADMINS = alice, bob
Cmnd_Alias SERVICES = /usr/bin/systemctl, /usr/bin/service
ADMINS ALL=(ALL) SERVICES

# /etc/sudoers.d/deploy
# 部署用户可重启服务
deploy ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx
deploy ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart mysql

# 开发团队可查看所有日志
%developers ALL=(ALL) NOPASSWD: /usr/bin/journalctl

# DBA 可操作数据库
%dba ALL=(ALL) NOPASSWD: /usr/bin/mysql, /usr/bin/mysqldump

# 以 root 执行
sudo command

# 以指定用户执行
sudo -u username command

# 获取 root shell
sudo -i
sudo -s

# 查看 sudo 权限
sudo -l
sudo -l -U username

# 清除凭证缓存
sudo -k

/home/username/
├── .bashrc          # bash 配置
├── .bash_profile    # bash 登录配置
├── .profile         # 通用登录配置
├── .zshrc          # zsh 配置
├── .ssh/           # SSH 密钥和配置
├── .config/        # 应用程序配置
└── ...

# 系统级环境变量
/etc/profile
/etc/environment
/etc/profile.d/*.sh

# 用户级环境变量
~/.bashrc
~/.bash_profile
~/.profile
~/.zshrc

# 查看环境变量
env
printenv
echo $PATH

# /etc/security/limits.conf
# 格式：域名 类型 项目 值

# 限制最大进程数
username hard nproc 100

# 限制最大打开文件数
username hard nofile 65535
username soft nofile 65535

# 限制内存使用
username hard as 2097152

# 组限制
@developers hard nproc 200

# 查看当前限制
ulimit -a
ulimit -n  # 文件描述符
ulimit -u  # 进程数

# PAM 配置文件位置
/etc/pam.d/

# 常用模块
pam_limits.so      # 资源限制
pam_access.so      # 访问控制
pam_time.so        # 时间限制
pam_listfile.so    # 列表检查

# /etc/pam.d/sshd 示例
auth required pam_nologin.so
auth required pam_env.so