Linux 用户与组管理：useradd 到权限回收

入职建号、离职收号，看似琐碎，做规范了能省掉日后一堆麻烦。以给新同事 deploy 开通为例，四步走完一个完整周期。 ## 第一步：建号 ``` sudo useradd -m -s /bin/bash deploy sudo passwd deploy ``` -m 自动建家目录，-s 指定 shell；缺省时有些系统不给 /bin/bash，登录后体验很怪。只用于跑服务、不需要登录的账号，反过来要加 -s /sbin/nologin。想让新账号默认带上某些配置，把模板放进 /etc/skel，useradd 会自动拷贝到家目录。常见做法是预置别名、提示语和说明文件，新人登录第一眼就有环境介绍。 ## 第二步：加组授权 把用户加进需要的附加组，而不是全靠放大权限： ``` sudo usermod -aG wheel deploy # CentOS 的 sudo 组 sudo usermod -aG sudo deploy # Ubuntu 的 sudo 组 ``` -aG 是追加，漏了 -a 会把用户踢出其他组，这是最常见的误操作。文件层面的协作目录用组管理：chgrp deploy /data/release && chmod 2775 /data/release，置位 2 让新文件自动继承组。开通后验证：id deploy 看所属组，sudo -l 看能执行的命令，家目录权限建议保持 700。授权清单同步记到内部文档，注明是谁、什么时候、为什么开的。 ## 第三步：临时停用 员工休假或出现异常时，锁号比删号稳妥： ``` sudo usermod -L deploy # 锁定密码 sudo usermod -U deploy # 解锁 ``` 公钥登录不走密码，要另行处理：把 ~/.ssh/authorized_keys 里对应行清掉，或临时 chattr +i 锁住该文件再逐行核对。密码策略用 chage 管理：chage -l deploy 看有效期，chage -d 0 deploy 让对方下次登录强制改密，新开通的外包账号建议都加这条。有明确结束日期的账号，chage -E 直接设过期时间，到期自动失效。 ## 第四步：离职回收 确认交接完成后一次收干净：先锁密码、清 authorized_keys，再剔除附加组（gpasswd -d deploy wheel），最后 userdel -r 删除账号与家目录。有留存价值的业务文件先归档再删。收完用 id deploy 验证，应提示用户不存在。回收记录同样入档，与开通记录一一对应。 规范的价值在于节奏固定：建号当天记录，离职当天回收，中间每隔一段抽查 /etc/passwd 里不认识的账号。日常不乱，应急不慌。