（1）账户管理概述

（1.1）账户实质

Linux操作系统是多用户的操作系统，它允许多个用户同时登录到系统上，使用系统资原。当多个用户能同时使用系统时，为了使所有用户的工作都能顺利进行，保护每个用户的文件和进程，也为了系统自身的安全和稳定，必须建立起一种秩序，使每个用户的权限都能得到规范。为此，首先需要区分不同的用户，这样就产生了用户账户。

账户实质上就是一个用户在系统上的标识，系统依据账户ID来区分每个用户的文件、进程、任务，给每个用户提供特定的工作环境(如用户的工作目录、Shell 版本以及X Window环境的配置等)，使每个用户的工作都能独立不受干扰地进行。

(1.2)用户和组

广义上讲, Linux的账户包括用户账户和组账户两种。

Linux系统下的用户账户(简称用户)有两种，普通用户账户和超级用户账户(或管理员账户)。普通用户在系统上的任务是进行日常工作，管理员在系统上的任务是对普通用户和整个系统进行管理。管理员账户对系统具有绝对的控制权，能够对系统进行一切操作，如操作不当很容易对系统造成损坏。因此即使系统只有一个用户使用，也应该在管理员账户之外建立一个普通用户账户，在用户进行日常工作的时候以普通用户账户登录系统。

除了用户账户之外，在Linux 下还存在组账户(简称组)。组是用户的集合。在RHEL/CentOS中组有两种类型：私有组和标准组。当创建一个新用户时，若没有指定其所属的组，RHEL/CentOS 就建立一个和该用户同名的私有组，此私有组中只包含这个用户自己。

标准组可以包含多个用户，若使用标准组，在创建一个新的用户时就应该指定其所属的组。

从另一方面讲，同一个用户可以同属于多个组，如某单位有领导组和技术组等，Tom是该单位的技术主管，所以他既应该属于领导组又应该属于技术组。当一个用户属于多个组时，其登录后所属的组称为主组，其他的组称为附加组。

(1.3) Linux 环境下的账户系统文件

Linux下的账户系统文件主要有/etc/passwd、/etc/shadow、/etc/group和/etc/gshadow 4个文件。

1)/etc/passwd文件中每行定义一个用户账户，一行中又划分为多个字段定义用户账号的不同属性，各字段间用“:”分隔。例如：

root:x:0:0:root:/root:/bin/bash

bin:x:1:1:bin:/bin:/sbin/nologin

daemon:x:2:2:daemon:/sbin:/sbin/nologin

adm:x:3:4:adm:/var/adm:/sbin/nologin

lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin

……（此处省略n行）

下表中描述了这些字段的意义。

2)/etc/passwd文件对任何用户均可读，为了增加系统的安全性，CentOS默认使用shadow passwords保护，将经过加密的用户口令保存在/etc/shadow文件里，它只对root用户可读且提供了一些口令时效字段。/etc/shadow文件的内容形式如下：

root:$6$6OWB.8Dhhw179jID$syizd99UMbV2z.CWhR3Z52CzHUhtXRo51IizZgAtaRqTUuNYlCszISFyLX0BizXEbT6L3i5ybwnnXxeY9cJLQ0::0:99999:7:::

bin:*:17110:0:99999:7:::

daemon:*:17110:0:99999:7:::

adm:*:17110:0:99999:7:::

lp:*:17110:0:99999:7:::

sync:*:17110:0:99999:7:::

shutdown:*:17110:0:99999:7:::

halt:*:17110:0:99999:7:::

……（此处省略n行）

其中各字段的意义如下表所示。

3) /et/group文件，将用户分组是Linux中对用户进行管理及控制访问权限的一种手段。每个用户都属于某一个组；一个组中可以有多个用户，一个用户也可以属于不同的组。当一个用户同时是多个组的成员时，在/etc/passwd文件中记录的是用户所属的主组，也就是登录时所属的主组，而其他组称为附加组。用户要访问附加组的文件时，必须首先使用newgrp 命令使自己成为所要访问的组的成员。组的所有属性都存放在/etc/group文件中。etc/group 文件对任何用户均可读。下面是一个/etc/group文件的例子。

   root:x:0:

bin:x:1:

daemon:x:2:

sys:x:3:

adm:x:4:

……（此处省略n行）

   与/etc/passwd文件类似，其中每一行记录了一个组的信息。每行包括4个字段，不同字段之间用冒号隔开。各字段的内容说明如下表所示。

4)/etc/gshadow文件用于定义用户组口令、组管理员等信息，该文件只有root用户可以读取。下面是一个/etc/gshadow文件的例子：

root:::

bin:::

daemon:::

sys:::

adm:::

tty:::

disk:::

lp:::

mem:::

kmem:::

wheel:::localhost

cdrom:::

……（此处省略n行）

与/etc/group文件类似，其中每一行记录了一个组的信息。每行包括4个字段，不同字段之间用冒号隔开。其中各字段的内容说明如下表所示。

注意：

账户管理的实质就是管理上述的4个账户系统文件，可以使用图形界面工具进行，也可以使用命令行工具进行，甚至还可以使用Web工具进行。