第27集：用户组管理

教学目标

理解Linux系统中用户组的基本概念
掌握使用groupadd命令创建用户组
掌握使用groupmod命令修改用户组属性
掌握使用groupdel命令删除用户组
了解/etc/group和/etc/gshadow文件的结构
掌握管理用户组成员的方法
了解用户组的类型和作用
掌握用户组管理的最佳实践

核心知识点讲解

1. 用户组概述

用户组是Linux系统中用于管理用户权限的重要机制。通过将用户分配到不同的组中，可以更方便地管理用户对系统资源的访问权限。

2. 用户组类型

Linux系统中的用户组类型：

主组（Primary Group）：用户创建时默认所属的组，在/etc/passwd文件中指定
附加组（Secondary Group）：用户可以加入的其他组，用于获取额外的权限
系统组：GID范围通常为1-999，用于系统服务
普通组：GID范围通常为1000及以上，用于日常权限管理

3. 用户组配置文件

/etc/group文件

/etc/group文件存储用户组的基本信息，格式为：

组名:密码占位符:GID:组成员列表

字段说明：

组名：用户组的名称
密码占位符：通常为"x"，表示密码存储在/etc/gshadow文件中
GID：组ID
组成员列表：属于该组的用户，多个用户用逗号分隔

/etc/gshadow文件

/etc/gshadow文件存储用户组的密码信息，格式为：

组名:加密密码:组管理员:组成员列表

字段说明：

组名：与/etc/group中的组名对应
加密密码：使用哈希算法加密后的组密码
组管理员：可以管理该组的用户
组成员列表：属于该组的用户

4. groupadd命令

groupadd命令用于创建新的用户组。

基本语法：

groupadd [选项] 组名

常用选项：

选项	描述
`-g`	指定组ID（GID）
`-r`	创建系统组（GID范围通常为1-999）
`-K`	覆盖配置文件中的默认值
`-o`	允许创建非唯一GID的组

5. groupmod命令

groupmod命令用于修改用户组的属性。

基本语法：

groupmod [选项] 组名

常用选项：

选项	描述
`-g`	修改组ID（GID）
`-n`	修改组名
`-o`	允许使用非唯一的GID

6. groupdel命令

groupdel命令用于删除用户组。

基本语法：

groupdel 组名

注意：不能删除用户的主组，必须先将该组从所有用户的主组中移除或删除相关用户。

7. 管理用户组成员

gpasswd命令

gpasswd命令用于管理用户组的密码和成员。

基本语法：

gpasswd [选项] 组名

常用选项：

选项	描述
`-a`	添加用户到组
`-d`	从组中删除用户
`-M`	设置组的成员列表
`-A`	设置组的管理员列表
`-r`	移除组的密码
`-R`	限制组的访问

usermod命令

也可以使用usermod命令管理用户的附加组：

# 添加用户到附加组
usermod -aG 组名 用户名

# 设置用户的主组
usermod -g 组名 用户名

8. 查看用户组信息的命令

groups：查看用户所属的所有组
id：查看用户的UID、GID和所属组
getent：查看系统数据库中的信息，如getent group
grep：通过grep命令搜索/etc/group文件

9. 用户组的作用

用户组的主要作用：

权限管理：通过组权限控制用户对文件和目录的访问
资源共享：同一组的用户可以共享文件和目录
管理简化：通过组管理多个用户的权限，简化管理
安全控制：可以更精细地控制用户的权限范围

10. 用户组管理的最佳实践

使用有意义的组名：组名应该反映其用途
遵循最小权限原则：只授予用户完成任务所需的最小权限
定期检查：定期检查系统中的用户组，删除不需要的组
使用集中管理：对于大型系统，考虑使用LDAP等集中式用户管理
备份配置文件：定期备份/etc/group和/etc/gshadow文件
避免使用组密码：组密码安全性较低，应尽量避免使用

操作示例

示例1：创建用户组

# 创建基本用户组
groupadd developers

# 创建用户组并指定GID
groupadd -g 1001 testers

# 创建系统组
groupadd -r systemgroup

# 查看创建的用户组
grep developers /etc/group
grep testers /etc/group
grep systemgroup /etc/group

示例2：修改用户组

# 修改用户组的GID
groupmod -g 1002 developers

# 修改用户组的名称
groupmod -n devs developers

# 查看修改后的用户组
grep devs /etc/group

示例3：删除用户组

# 删除用户组
groupdel testers

# 查看是否删除成功
grep testers /etc/group

# 注意：不能删除用户的主组
# 例如：如果user1的主组是devs，需要先修改user1的主组
# usermod -g users user1
# 然后才能删除devs组
# groupdel devs

示例4：管理用户组成员

# 创建测试用户
useradd -m user1
useradd -m user2
useradd -m user3

# 使用gpasswd添加用户到组
gpasswd -a user1 devs
gpasswd -a user2 devs

# 查看组成员
grep devs /etc/group

# 使用gpasswd从组中删除用户
gpasswd -d user1 devs

# 查看组成员
grep devs /etc/group

# 使用gpasswd设置多个组成员
gpasswd -M user1,user2,user3 devs

# 查看组成员
grep devs /etc/group

# 使用usermod添加用户到附加组
usermod -aG devs user3

# 查看用户所属的组
groups user3
id user3

示例5：查看用户组信息

# 查看当前用户所属的组
groups

# 查看指定用户所属的组
groups user1

# 使用id命令查看用户信息
id user1

# 使用getent命令查看组信息
getent group devs

# 查看所有用户组
getent group

# 查看系统组（GID小于1000）
getent group | awk -F: '$3 < 1000 {print $1}'

示例6：用户组管理脚本

# 创建用户组管理脚本
cat > group_management.sh << 'EOF'
#!/bin/bash

# 显示菜单
echo "用户组管理脚本"
echo "1. 创建用户组"
echo "2. 修改用户组"
echo "3. 删除用户组"
echo "4. 管理组成员"
echo "5. 查看用户组信息"
echo "6. 退出"

read -p "请选择操作：" choice

case $choice in
    1)
        read -p "请输入组名：" groupname
        read -p "是否创建系统组？(y/n)：" system_group
        if [ "$system_group" = "y" ]; then
            groupadd -r $groupname
        else
            read -p "请输入GID（可选）：" gid
            if [ -n "$gid" ]; then
                groupadd -g $gid $groupname
            else
                groupadd $groupname
            fi
        fi
        echo "用户组 $groupname 创建成功"
        ;;
    2)
        read -p "请输入要修改的组名：" groupname
        read -p "请选择修改内容：1. 组名 2. GID：" modify_choice
        if [ "$modify_choice" = "1" ]; then
            read -p "请输入新的组名：" new_groupname
            groupmod -n $new_groupname $groupname
            echo "用户组 $groupname 已修改为 $new_groupname"
        elif [ "$modify_choice" = "2" ]; then
            read -p "请输入新的GID：" new_gid
            groupmod -g $new_gid $groupname
            echo "用户组 $groupname 的GID已修改为 $new_gid"
        else
            echo "无效的选择"
        fi
        ;;
    3)
        read -p "请输入要删除的组名：" groupname
        groupdel $groupname
        echo "用户组 $groupname 删除成功"
        ;;
    4)
        read -p "请输入组名：" groupname
        read -p "请选择操作：1. 添加成员 2. 删除成员 3. 设置成员列表：" member_choice
        case $member_choice in
            1)
                read -p "请输入要添加的用户名：" username
                gpasswd -a $username $groupname
                echo "用户 $username 已添加到组 $groupname"
                ;;
            2)
                read -p "请输入要删除的用户名：" username
                gpasswd -d $username $groupname
                echo "用户 $username 已从组 $groupname 中删除"
                ;;
            3)
                read -p "请输入成员列表（用逗号分隔）：" members
                gpasswd -M $members $groupname
                echo "组 $groupname 的成员列表已设置为 $members"
                ;;
            *)
                echo "无效的选择"
                ;;
        esac
        ;;
    5)
        read -p "请输入要查看的组名（留空查看所有组）：" groupname
        if [ -n "$groupname" ]; then
            getent group $groupname
        else
            getent group
        fi
        ;;
    6)
        echo "退出脚本"
        exit 0
        ;;
    *)
        echo "无效的选择"
        ;;
esac
EOF

# 使脚本可执行
chmod +x group_management.sh

# 运行脚本
sudo ./group_management.sh

示例7：批量管理用户组

# 创建批量添加用户到组的脚本
cat > add_users_to_group.sh << 'EOF'
#!/bin/bash

# 组名
groupname="developers"

# 要添加的用户列表
users=(user1 user2 user3 user4 user5)

# 确保组存在
if ! getent group $groupname > /dev/null; then
    groupadd $groupname
    echo "组 $groupname 创建成功"
fi

# 批量添加用户到组
for user in "${users[@]}"; do
    # 检查用户是否存在
    if getent passwd $user > /dev/null; then
        gpasswd -a $user $groupname
        echo "用户 $user 已添加到组 $groupname"
    else
        echo "警告：用户 $user 不存在"
    fi
done

# 查看组成员
echo "\n组 $groupname 的成员："
grep $groupname /etc/group
EOF

# 使脚本可执行
chmod +x add_users_to_group.sh

# 运行脚本
sudo ./add_users_to_group.sh

示例8：用户组权限管理示例

# 创建组和用户
groupadd project
useradd -m -G project user1
useradd -m -G project user2

# 创建项目目录
mkdir -p /opt/project/files

# 设置目录所有者和组
chown root:project /opt/project/files

# 设置目录权限（组可写）
chmod 770 /opt/project/files

# 验证权限
ls -la /opt/project/

# 测试用户访问
# 以user1身份创建文件
su -c "echo 'Test file' > /opt/project/files/test.txt" user1

# 查看文件
ls -la /opt/project/files/

# 以user2身份修改文件
su -c "echo 'Modified by user2' >> /opt/project/files/test.txt" user2

# 查看文件内容
cat /opt/project/files/test.txt

# 以非project组成员身份尝试访问
useradd -m user3
su -c "echo 'Test' > /opt/project/files/test2.txt" user3  # 应该失败

课后练习

基础练习：
- 创建一个用户组
- 修改用户组的属性
- 删除用户组
- 添加用户到用户组
进阶练习：
- 创建系统组
- 批量添加用户到组
- 修改用户的主组
- 使用用户组管理文件权限
思考问题：
- /etc/group和/etc/gshadow文件的作用是什么？
- 主组和附加组有什么区别？
- 如何查看用户所属的所有组？
- 为什么不能删除用户的主组？

总结

本集介绍了Linux系统中用户组管理的相关知识，包括：

用户组的基本概念和类型
用户组配置文件（/etc/group和/etc/gshadow）的结构
使用groupadd命令创建用户组
使用groupmod命令修改用户组属性
使用groupdel命令删除用户组
使用gpasswd和usermod命令管理用户组成员
查看用户组信息的方法
用户组的作用和最佳实践

用户组管理是Linux系统权限管理的重要组成部分，通过合理的用户组管理，可以更有效地控制用户对系统资源的访问权限，提高系统的安全性和可管理性。在下一集中，我们将介绍Linux系统中用户密码管理的相关知识。