第4章 用户组与权限治理
第4章 · 用户组与权限治理
章节摘要：权限模型的技术细节在上一章已经拆解，本章处理"人"的层面——账号生命周期、组的设计、sudo 授权与 root 直登的禁用。从一起 SSH 暴力破解后的账号治理讲起，两节内容覆盖用户管理全流程与组协作授权，核心主张只有一句：让每个动作可追溯到一个人，让每个人只拿到够用的权力。
学习目标
阅读完本章，你应当能够：
- 完成账号的创建、配置、锁定、删除全生命周期管理，理解系统账号与登录账号的区别
- 读懂 passwd 相关文件的每一列，手工检查账号健康状态
- 设计组结构实现文件协作，用 setgid 统一属组归属
- 用 sudo 的细粒度授权替代 root 密码共享，写出规范的授权条目
- 禁用 root 远程直登，建立密钥登录的账号安全基线
- 对一次入侵事件做账号层面的取证与加固
核心概念速览
账号体系三个对象、两层授权，关系如下。
治理的第一性原理：授权要具体到人和动作，出事时要能回答"是谁干的"。
子章节导航
4.1 用户管理全流程
从一次 SSH 暴力破解事件讲起，覆盖账号创建、登录配置、密钥体系、离职回收，以及 passwd 文件逐列解读与账号体检清单。
4.2 组管理与sudo授权
组是协作的单位，sudo 是权力的闸门。这节讲组设计模式、共享目录的权限方案、sudoers 的规范写法与 root 直登的禁用。
子章节之间的逻辑关系
两节从个体到群体：4.1 管单个账号的一生，4.2 把账号组织起来并约束权力的使用。
4.1 账号生命周期 ──► 4.2 组织与授权 创建 登录 回收 组结构 共享目录 │ │ └── 密钥与认证 ──► sudo 审计收口
前置知识与后续延伸
- 前置知识：第 3 章的属主属组与权限位概念，本章直接在其上展开
- 为后续铺垫：第 5 章软件包管理里的签名与信任机制，与本章的账号信任是同构思想
账号安全的三条底线
本章反复强调的三条底线，先立在这里：root 不远程直登、密码不共享、授权最小化。每一条都对应着一类真实事故——暴力破解得手、离职账号残留、误操作无审计。读完本章你会发现，账号治理没有高深技术，全是纪律。
技术好学，纪律难守。这一章的每一节都在回答同一个问题：怎么让纪律变得容易守。答案往往是把正确的事情变成默认的事情——密钥默认代替密码、sudo 默认代替 root、组默认统一归属。默认值设计好了，人不需要天天做英雄式的正确选择。
下一节从一次真实的暴力破解事件开始。
本章与最小权限原则
最小权限原则是本章所有内容背后的那条主线，值得单独说透。它的完整表述是：任何主体（用户、进程、脚本）只应拥有完成其当前任务所必需的权限，不多一分。落到账号层是服务账号不可登录，落到文件层是权限位开到刚好够用，落到提权层是 sudo 条目精确到命令，落到组层是按职能进组而非按人情进组。最小权限的反面不是"无权限"，而是"方便的过度授权"——777 与共享 root 都是它。判断一个授权是否过度，问一个假设性问题：如果这个身份明天被攻破，损失边界在哪里？答不出边界的授权，就是过度的授权。这个问句值得贴在每个运维的显示器边上。
另外要说明，本章聚焦传统的自主访问控制体系。企业里还有更强的强制访问控制体系，它由集中策略定义谁可访问谁，适用于安全等级更高的环境。入门阶段把本章体系做扎实，遇到强制体系时你会发现概念是相通的，多的是策略层的复杂度。
本章还埋了一条通往更大话题的线：身份的集中化。机器到几十台时，逐台维护账号与 sudoers 开始变得荒谬——同一个入职动作要重复几十遍。下一站是集中式身份服务：账号信息 centrally 存储、机器联网认证、授权一处生效。但集中化只是把本章的每一条纪律搬到了更大的舞台，个人账号、最小权限、审计留痕，三条底线一寸不让。所以本章看似在讲单机操作，实际是在给未来的集中化打底——单机都管不明白的团队，上了集中式只会把混乱放大几十倍。把本章的清单在自己环境里跑顺，是通往下一阶段的门票。
本章两节的阅读节奏建议：4.1 节偏流程与规范，适合通读；4.2 节偏结构设计，组方案与授权模板值得在自己的环境里照着搭一遍——建一个组、配一个共享目录、写一条细粒度 sudoers，一个下午能全部练完。练过与没练过的差别在故障时刻最为明显：权限问题永远是半夜出得最多的那类，而那时你脑子里能直接浮现的，只有亲手搭过的结构。
治理话题的最后一句叮咛：所有制度都要有人定期看才有生命。把本章的体检项挂进日历，比写进文档更有效。