Linux: Пользователи и группы

# Полная информация: uid, gid, все группы
id
# uid=1001(deployer) gid=1001(deployer) groups=1001(deployer),27(sudo),998(docker)

# Только UID / GID
id -u
id -g

# Только имя пользователя
whoami

# Полная запись из /etc/passwd
getent passwd deployer
# deployer:x:1001:1001:Deploy Bot,,:/home/deployer:/bin/bash

# Группа
getent group docker
# docker:x:998:deployer,ci

ls -la /var/log/nginx/
# drwxr-xr-x  2 root     adm    4096 Mar 26 09:00 .
# -rw-r-----  1 www-data adm  187234 Mar 26 10:41 access.log
# -rw-r-----  1 www-data adm    1204 Mar 26 07:22 error.log
#
# Структура строки:
# тип+права  links  owner    group  size  дата  имя

процесс (UID/GID) → owner? → group? → others

UID_MIN          1000
UID_MAX         60000
SYS_UID_MIN      201
SYS_UID_MAX      999
CREATE_HOME      yes
PASS_MIN_LEN       8

# Посмотреть системных пользователей (UID < 1000)
awk -F: '$3 < 1000 && $3 > 0 {print $1, $3, $7}' /etc/passwd
# Специфические просмотры(для инструментов и др.)
# daemon   1   /usr/sbin/nologin
# www-data 33  /usr/sbin/nologin
# postgres 117 /bin/bash     ← исключение: нужен для psql
# nginx    998 /sbin/nologin

# Все группы текущего пользователя
groups
# deployer sudo docker adm

# То же с GID
id
# uid=1001(deployer) gid=1001(deployer) groups=1001(deployer),27(sudo),998(docker)

# Группы конкретного пользователя
groups maria

# Все члены группы docker
getent group docker
# docker:x:998:deployer,maria,ci-bot

deployer : x : 1001 : 1001 : Deploy Bot,, : /home/deployer : /bin/bash
   1        2    3      4         5                6               7

deployer:$6$rounds=5000$xPwF...$kE9...hash...:19800:0:99999:7:::

docker : x : 998 : deployer,ci-bot
  1      2    3         4

vipw        # редактировать /etc/passwd (с блокировкой и валидацией)
vipw -s     # редактировать /etc/shadow
vigr        # редактировать /etc/group
vigr -s     # редактировать /etc/gshadow

# После ручного редактирования — проверить целостность
pwck        # проверка /etc/passwd и /etc/shadow
grpck       # проверка /etc/group и /etc/gshadow

# Создать обычного пользователя с home и bash
useradd -m -s /bin/bash ivan

# Пользователь для CI/CD — без home, с nologin
useradd -r -s /usr/sbin/nologin -c "CI Bot" ci-bot

# Разработчик с несколькими группами
useradd -m -s /bin/bash -G sudo,docker,adm -c "Maria Ivanova" maria

# Сервисный пользователь с нестандартным home
useradd -r -m -d /var/lib/prometheus -s /usr/sbin/nologin prometheus

# Интерактивно (запросит дважды)
passwd ivan

# В скриптах — через chpasswd
echo 'ivan:secretpass' | chpasswd

# Сгенерировать случайный пароль
NEW_PASS=$(openssl rand -base64 16)
echo "ivan:${NEW_PASS}" | chpasswd
echo "Пароль: ${NEW_PASS}"   # сохрани в менеджер!

# Принудить сменить пароль при первом входе
passwd -e ivan

ls -la /etc/skel/
# .bash_logout  .bashrc  .profile

# Добавить корпоративный .gitconfig для всех новых пользователей
cat > /etc/skel/.gitconfig <<'EOF'
[core]
    autocrlf = input
    editor = vim
[pull]
    rebase = true
EOF

# Посмотреть текущую маску
umask
# 0022

# Расчёт: файл  666 & ~022 = 644 (rw-r--r--)
#         дирек 777 & ~022 = 755 (rwxr-xr-x)

touch test.txt && ls -l test.txt
# -rw-r--r-- 1 deployer deployer 0 Mar 26 12:00 test.txt

# Поменять для текущей сессии
umask 027   # файлы: 640, директории: 750

# Глобально — в /etc/login.defs:
# UMASK 022

# Для PAM — в /etc/pam.d/common-session:
# session optional pam_umask.so umask=002

# Изменить логин-шелл
usermod -s /bin/zsh ivan

# Переименовать пользователя
usermod -l ivan-petrov ivan

# Изменить домашний каталог (с перемещением файлов)
usermod -d /home/ivan-petrov -m ivan-petrov

# Установить дату истечения
usermod -e 2025-12-31 contractor

# Сменить первичную группу
usermod -g developers ivan-petrov

# Добавить в дополнительную группу
usermod -aG docker ivan-petrov    # -a ОБЯЗАТЕЛЕН!

# Интерактивно (сам пользователь может сменить свою оболочку)
chsh
# New shell [/bin/bash]: /bin/zsh

# Неинтерактивно (только root)
chsh -s /bin/fish ivan

# Доступные оболочки — только из /etc/shells
cat /etc/shells

# Заблокировать (ставит ! перед хешем в shadow)
passwd -l ivan
usermod -L ivan   # эквивалент

# Разблокировать
passwd -u ivan
usermod -U ivan

# Проверить статус пароля
passwd -S ivan
# ivan L 03/26/2026 0 99999 7 -1
#      ^ L=Locked, P=Password set, NP=No Password

# Удалить пользователя (home НЕ удаляется)
userdel ivan

# Удалить вместе с home-каталогом и почтовым ящиком
userdel -r ivan

# Предварительно сохранить данные
tar -czf /backup/ivan-$(date +%F).tar.gz /home/ivan
userdel -r ivan

# Найти «осиротевшие» файлы
find / -nouser -nogroup -ls 2>/dev/null

# Создать группу
groupadd developers
groupadd -g 5000 infra          # с явным GID
groupadd -r appservice          # системная группа

# Переименовать
groupmod -n backend developers

# Изменить GID (осторожно: файлы со старым GID станут orphaned)
groupmod -g 5100 backend

# Удалить
groupdel backend

# Правильно: -aG (append + Groups)
usermod -aG docker ivan

# Сразу в несколько групп
usermod -aG docker,sudo,adm maria

newgrp docker         # запускает subshell с активной группой docker
# или
exec su -l $USER      # перезапускает логин-сессию без выхода

getent group docker
# docker:x:998:deployer,maria,ci-bot

id maria
groups maria

# Переключиться на root без загрузки окружения
su

# Переключиться на root с полным login shell (рекомендуется)
su -
su -l root

# Переключиться на другого пользователя
su - maria

# Выполнить одну команду
su -c "whoami; id" - maria

# Выполнить команду от root
sudo apt update

# Получить root-шелл (login shell)
sudo -i

# Получить root-шелл (non-login)
sudo -s

# Выполнить от имени другого пользователя
sudo -u www-data id

# Посмотреть, что тебе разрешено
sudo -l

# Повторить последнюю команду с sudo
sudo !!

# Аудит: все sudo-действия
grep sudo /var/log/auth.log | tail -20

visudo

# Группа sudo — полные права со своим паролем
%sudo   ALL=(ALL:ALL) ALL

# Конкретный пользователь — только restart nginx без пароля
deployer ALL=(root) NOPASSWD: /usr/sbin/service nginx restart

# CI-бот — только docker
ci-bot ALL=(root) NOPASSWD: /usr/bin/docker

# Запретить конкретную команду для группы
%developers ALL=(ALL) ALL, !/usr/sbin/visudo

visudo -f /etc/sudoers.d/ci-bot
# Содержимое:
# ci-bot ALL=(root) NOPASSWD: /usr/bin/docker pull *, /usr/bin/docker run *

# Права файла обязательно 0440
chmod 0440 /etc/sudoers.d/ci-bot

id                          # uid/gid/groups текущего пользователя
whoami                      # имя текущего пользователя
id username                 # uid/gid/groups указанного пользователя
groups username             # группы пользователя
getent passwd username      # запись из passwd (учитывает LDAP)
getent group groupname      # запись о группе
passwd -S username          # статус пароля
last                        # история входов
w                           # кто сейчас залогинен

useradd -m -s /bin/bash -G sudo user    # создать пользователя
passwd user                              # установить пароль
usermod -aG group user                   # добавить в группу
usermod -L / -U user                     # блокировать / разблокировать
userdel -r user                          # удалить с home

groupadd groupname                       # создать группу
groupmod -n newname oldname              # переименовать
groupdel groupname                       # удалить
groupname                         # активировать группу в текущей сессии

visudo                                   # /etc/sudoers
vipw                                     # /etc/passwd
vipw -s                                  # /etc/shadow
vigr                                     # /etc/group
pwck && grpck                            # проверить целостность