第十四章、 Linux 帐号与身份管理 - for Fedora Core 4

1. 先找寻 /etc/passwd 里面是否有这个帐号？如果没有则跳出，如果有的话则将该帐号对应的 UID ( User ID )与 GID ( Group ID )读出来，另外，该帐号的家目录与 shell 设置也一并读出；
2. 再来则是核对密码表啦！这时 Linux 会进入 /etc/shadow 里面找出对应的帐号与 UID，然后核对一下你刚刚输入的密码与里头的密码是否相符？
3. 如果一切都 OK 的话，就进入 Shell 控管的阶段啰！

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin

1. 帐号名称：就是帐号名称啦！对应 UID 用的！例如 root 就是缺省的系统管理员的帐号名称；


2. 密码：早期的 Unix 系统的密码是放在这个文件中的， 但是因为这个文件的特性是所有的进程都能够读取，所以，这样一来很容易造成数据的被窃取， 因此后来就将这个字段的密码数据给他改放到 /etc/shadow 中了，关于 /etc/shadow 这一部份等一下再说。而这里你会看到一个 x ，呵呵！别担心，这表示密码已经被移动到 shadow 这个加密过后的文件啰；


3. UID：这个就是用户识别码 (ID) 啰！通常 Linux 对于 UID 有几个限制需要说给您了解一下：

id 范围	该 ID 用户特性
0	当 UID 是 0 时，代表这个帐号是『系统管理员』！所以当你要作另一个系统管理员帐号时， 你可以将该帐号的 UID 改成 0 即可；这也就是说，一部系统上面的系统管理员不见得只有 root 喔！ 不过，不很建议有多个帐号的 UID 是 0 啦～
1~499	保留给系统使用的 ID，其实 1~65534 之间的帐号并没有不同， 也就是除了 0 之外，其他的 UID 并没有不一样，缺省 500 以下给系统作为保留帐号只是一个习惯。这样的好处是，以有名的 DNS 服务器的启动服务『 named 』为例，这个程序的缺省所有人 named 的帐号 UID 是 25 ，当有其他的帐号同样是 25 时，很可能会造成系统的一些小问题！为了杜绝这样的问题，建议保留 500 以前的 UID 给系统吧！ 不过，一般来说， 1~99 会保留给系统缺省的帐号，另外 100~499 则保留给一些服务来使用。
500~65535	给一般用户用的。事实上，目前的 linux 内核 (2.6.x 版)已经可以支持到 4294967295 (2^32-1) 这么大的 UID 号码喔！


上面这样说明可以了解了吗？是的， UID 为 0 的时候，就是 root 呦！所以请特别留意一下你的 /etc/passwd 文件！


4. GID：这个与 /etc/group 有关！其实 /etc/group 的观念与 /etc/passwd 差不多，只是他是用来规范 group 的而已！


5. 用户信息说明栏：这个字段基本上并没有什么重要用途， 只是用来解释这个帐号的意义而已！不过，如果您提供使用 finger 的功能时， 这个字段可以提供很多的消息呢！底下的 chfn 可以解释一下啰！


6. 家目录：这是用户的家目录，以上面为例， root 的家目录在 /root ，所以当 root 登录之后，就会立刻跑到 /root 里头啦！呵呵！ 如果你有个帐号的使用空间特别的大，你想要将该帐号的家目录移动到其他的硬盘去， 没有错！可以在这里进行修改呦！缺省的用户家目录在 /home/yourIDname


7. Shell：所谓的 shell 是用来沟通人类下达的指令与硬件之间真正动作的界面！我们通常使用 /bin/bash 这个 shell 来进行指令的下达！嘿嘿！发现了吧？我们在 bash 章节里面提到很多次，登录 Linux 时为何缺省是 bash 呢？就是这里设置的啦～ 这里比较需要注意的是，有一个 shell 可以用来替代成让帐号无法登录的指令！那就是 /sbin/nologin 这个东西！这也可以用来制作纯 pop 邮件帐号者的数据呢！

root:$1$i9Ejldjfjio389u9sjl$jljsoi45QE/:12959:0:99999:7:::
bin:*:12959:0:99999:7:::
daemon:*:12959:0:99999:7:::
adm:*:12959:0:99999:7:::

1. 帐号名称：由于密码也需要与帐号对应啊～因此， 这个文件的第一栏就是帐号，必须要与 /etc/passwd 相同才行！


2. 密码：这个才是真正的密码，而且是 经过编码过的密码啦！ 你只会看到有一些特殊符号的字母就是了！需要特别留意的是， 虽然这些加密过的密码很难被解出来，但是『很难』不等于『不会』，所以， 这个文件的缺省属性是『-rw-------』或者是『-r--------』，亦即只有 root 才可以读写就是了！你得随时注意，不要不小心更动了这个文件的属性呢！另外， 如果是在密码栏的第一个字符为『 * 』或者是『 ! 』，表示这个帐号并不会被用来登录的意思。 所以万一哪一天你的某个用户不乖时，可以先在这个文件中，将他的密码字段的最前面多加一个 * ！嘿嘿！他就无法使用该帐号啰！直到他变乖了，再给他激活啊！


3. 最近更动密码的日期：这个字段记录了『更动密码的那一天』的日期， 不过，很奇怪呀！在我的例子中怎么会是 12959 呢？呵呵，这个是因为计算 Linux 日期的时间是以 1970 年 1 月 1 日作为 1 ，而 1971 年 1 月 1 日则为 366 啦！ 所以这个日期是累加的呢！得注意一下这个数据呦！那么最近的 2005 年 1 月 1 日就是 12784 啦，了解了吗？


4. 密码不可被更动的天数： 第四个字段记录了这个帐号的密码需要经过几天才可以被变更！如果是 0 的话， 表示密码随时可以更动的意思。这的限制是为了怕密码被某些人一改再改而设计的！如果设置为 20 天的话，那么当你设置了密码之后， 20 天之内都无法改变这个密码呦！


5. 密码需要重新变更的天数： 由于害怕密码被某些『有心人士』窃取而危害到整个系统的安全，所以有了这个字段的设计。 你必须要在这个时间之内重新设置你的密码，否则这个帐号将会暂时失效。 而如果像上面的 99999 的话，那就表示，呵呵，密码不需要重新输入啦！ 不过，如果是为了安全性，最好可以设置一段时间之后，严格要求用户变更密码呢！


6. 密码需要变更期限前的警告期限：当帐号的密码失效期限快要到的时候， 就是上面那个『必须变更密码』的那个时间时， 系统会依据这个字段的设置，发出『警告』言论给这个帐号，提醒他『再过 n 天你的密码就要失效了，请尽快重新设置你的密码呦！』，如上面的例子，则是密码到期之前的 7 天之内，系统会警告该用户。


7. 密码过期的恕限时间：如果用户过了警告期限没有重新输入密码， 使得密码失效了，也就是说，你在『必须变更密码的期限前，并没有变更你的密码！』 那么该组密码就称为『失效的密码』啰～怎么办？没关系，还有这个字段的天数设计啊～ 意思就是说，当密码失效后，你还可以用这个密码在 n 天内进行登录的意思。 而如果在这个天数后还是没有变更密码，呵呵！那么您的帐号就失效了！无法登录！


8. 帐号失效日期：这个日期跟第三个字段一样，都是使用 1970 年以来的总日数设置。这个字段表示： 这个帐号在此字段规定的日期之后，将无法再使用。 这个字段会被使用通常应该是在『收费服务』的系统中， 你可以规定一个日期让该帐号不能再使用啦！


9. 保留：最后一个字段是保留的，看以后有没有新功能加入。

dmtsai:$1$8zdAKdfC$XDa8eSus2I7nQL7UjRsIy/:13025:5:60:7:2:13125:

• 最近一次更动密码的日期是 2005/08/30 (13025)；
• 能够修改密码的时间是 5 天以后，也就是 2005/09/04 以前 dmtsai 不能修改自己的密码； 如果用户还是尝试要更动自己的密码，系统就会出现这样的消息：
  

  You must wait longer to change your password
  passwd: Authentication token manipulation error
  

• 用户必须要在 2005/09/04 到 2005/10/29 之间的 60 天限制内去修改自己的密码，若 2005/10/29 之后还是没有变更密码时，该帐号就会声明失效；
• 如果用户一直没有更改密码，那么在 2005/10/29 之前的 7 天内，系统会警告 dmtsai 应该修改密码的相关信息；例如当 dmtsai 登录时，系统会主动提示如下的信息：
  

  Warning: your password will expire in 5 days
  

• 如果该帐号一直到 2005/10/29 都没有更改密码，由于还有两天的恕限时间，因此， dmtsai 还是可以在 2005/10/31 以前继续登录；
• 如果用户在 2005/10/29 以前变更过密码，那么那个 13025 的日期就会跟着改变，因此， 所有的限制日期也会跟着相对变动喔！^_^
• 无论用户如何动作，到了 13125 ，大约是 2005/12/8 左右，该帐号就失效了～

Tips

常常听到：我的密码忘记或者被更动了？怎么办？

有的时候会发生这样的情况，就是说，你的 root 密码忘记了！要怎么办？重新安装吗？另外， 有的时候是被入侵了， root 的密码被更动过，该如何是好？

这个时候就必须要使用到 /etc/shadow 这个数据了！我们刚刚知道密码是存在这个文件中的， 所以只要你能够以各种可行的方法开机进入 Linux ，例如单人维护模式，或者是以 live CD (KNOPPIX) 来进入 Linux 系统。之后，将硬盘顺利挂载，然后进入 /etc/shadow 这个文件中，将 root 的密码这一栏全部清空！然后再登录 Linux 一次，这个时候 root 将不需要密码 (有的时候需要输入空白字符) 就可以登录了！这个时候请赶快以 passwd 设置 root 密码即可。

root:x:0:root
bin:x:1:root,bin,daemon
daemon:x:2:root,bin,daemon
sys:x:3:root,bin,adm

1. 群组名称：就是群组名称啦！


2. 群组密码：通常不需要设置，因为我们很少使用到群组登录！ 不过，同样的，密码也是被纪录在 /etc/gshadow 当中啰！


3. GID：就是群组的 ID 啊～


4. 支持的帐号名称：加入这个群组里面的所有的帐号， 我们知道，一个用户是可以加入多个群组的。举例来说，如果我想要让 dmtsai 也加入 root 这个群组，那么在第一行的最后面加上『,dmtsai』，注意不要有空格， 使成为『 root:x:0:root,dmtsai』就可以啰～

[root@linux ~]# grep dmtsai /etc/passwd /etc/group /etc/gshadow
/etc/passwd:dmtsai:x:501:501::/home/dmtsai:/bin/bash
/etc/group:users:x:100:dmtsai
/etc/group:dmtsai:x:501:
/etc/gshadow:users:::dmtsai
/etc/gshadow:dmtsai:!::

[dmtsai@linux ~]$ groups
dmtsai users

[dmtsai@linux ~]$ newgrp users
[dmtsai@linux ~]$ groups
users dmtsai

• vbird 这个群组在 /etc/gshadow 的密码栏为合法的(不具有 ! 开头！)；
• dmtsai 必须让 root 或群组管理员 (group administrator) 加入到 vbird 群组中。

root:::root
bin:::root,bin,daemon
daemon:::root,bin,daemon
sys:::root,bin,adm

1. 群组名称
2. 密码栏，同样的，开头为 ! 表示无法登录；
3. 群组管理员的帐号 (相关信息在后续介绍)
4. 该群组的所属帐号 (与 /etc/group 内容相同！)

[root@linux ~]# useradd [-u UID] [-g initial_group] [-G other_group] \
>  -[Mm] [-c 说明栏] [-d home] [-s shell] username
参数：
-u  ：后面接的是 UID ，是一组数字。直接指定一个特定的 UID 给这个帐号；
-g  ：后面接的那个群组名称就是我们上面提到的 initial group 啦～
      该 group ID (GID) 会被放置到 /etc/passwd 的第四个字段内。
-G  ：后面接的群组名称则是这个帐号还可以支持的群组。
      这个参数会修改 /etc/group 内的相关数据喔！
-M  ：强制！不要创建用户家目录
-m  ：强制！要创建用户家目录！
-c  ：这个就是 /etc/passwd 的第五栏的说明内容啦～可以随便我们设置的啦～
-d  ：指定某个目录成为家目录，而不要使用默认值；
-r  ：创建一个系统的帐号，这个帐号的 UID 会有限制 (/etc/login.defs)
-s  ：后面接一个 shell ，缺省是 /bin/bash 的啦～
范例：

范例一：完全参考默认值创建一个用户，名称为 vbird1
[root@linux ~]# useradd vbird1
[root@linux ~]# ls -l /home
drwxr-xr-x   3 vbird1 vbird1 4096 Aug 30 17:33 vbird1
[root@linux ~]# grep vbird1 /etc/passwd /etc/shadow /etc/group
/etc/passwd:vbird1:x:502:502::/home/vbird1:/bin/bash
/etc/shadow:vbird1:!!:13025:0:99999:7:::
/etc/group:vbird1:x:502:
# 做这个范例只是想要让您了解，其实系统已经规范好了一些添加用户时的参数了！
# 因此，当我们使用 useradd 时，系统会主动的去修改 /etc/passwd 与 /etc/shadow，
# 而这两个文件内的相关字段参考值，则会以一些设置档的内容来规范喔！
# 同时也要注意到，使用 useradd 添加用户时，这个用户的 /etc/shadow
# 密码栏会是不可登录的 (以 !! 为开头)，因此还需要使用 passwd 
# 来给予 vbird1 密码后，才算添加完毕！

范例二：我知道我的系统当中有个群组名称为 users ，且 UID 700 并不存在，
        请用这两个参数给予 vbird2 创建一个帐号！
[root@linux ~]# useradd -u 700 -g users vbird2
[root@linux ~]# ls -l /home
drwxr-xr-x   3 vbird2 users  4096 Aug 30 17:43 vbird2
[root@linux ~]# grep vbird2 /etc/passwd /etc/shadow /etc/group
/etc/passwd:vbird2:x:700:100::/home/vbird2:/bin/bash
/etc/shadow:vbird2:!!:13025:0:99999:7:::
# 看一下，UID 与 initial group 确实改变成我们需要的了！

范例三：创建一个系统帐号，名称为 vbird3
[root@linux ~]# useradd -r vbird3
[root@linux ~]# grep vbird3 /etc/passwd /etc/shadow /etc/group
/etc/passwd:vbird3:x:101:102::/home/vbird3:/bin/bash
/etc/shadow:vbird3:!!:13025::::::
/etc/group:vbird3:x:102:
# 很重要喔！您会发现， UID 竟然是 101 ，而 GID 怎么会是 102，
# 并且与 /etc/group 有对应的关系喔！有没有加 -r 差很多ㄟ！

• /etc/passwd
• /etc/shadow
• /etc/group
• /etc/gshadow
• /home/username

GROUP=100		<==缺省的群组
HOME=/home		<==缺省的家目录所在目录
INACTIVE=-1		<==在 /etc/shadow 内的第 7 栏
EXPIRE=			<==在 /etc/shadow 内的第 8 栏
SHELL=/bin/bash		<==缺省的 shell
SKEL=/etc/skel		<==用户家目录的内容数据参考目录

• 以 FC4 为代表，新建用户时，若无指定 initial group ， 则系统会主动创建一个与帐号相同的群组名称，以该群组作为用户的 initial group；


• 以 SuSE 9 为代表，新建用户时，缺省不会创建新群组，而以 /etc/default/useradd 内的 GROUP 设置值作为用户的 initial group 。

MAIL_DIR        /var/spool/mail	<==用户缺省邮件信箱放置目录

PASS_MAX_DAYS   99999		<==/etc/shadow 内的第 5 栏
PASS_MIN_DAYS   0		<==/etc/shadow 内的第 4 栏
PASS_MIN_LEN    5		<==密码最短的字符长度，建议可以改到 6 以上
PASS_WARN_AGE   7		<==/etc/shadow 内的第 6 栏

UID_MIN         500	<==用户最小的 UID，意即小于 500 的 UID 为系统保留
UID_MAX       60000	<==用户能够用的最大 UID
GID_MIN         500	<==用户自订群组的最小 GID，小于 500 为系统保留
GID_MAX       60000	<==用户自订群组的最大 GID

CREATE_HOME     yes	<==在不加 -M 及 -m 时，是否主动创建用户家目录？

• /etc/default/useradd
• /etc/login.defs
• /etc/skel/*

[root@linux ~]# passwd [useraccount]

范例一：如果 root 要帮 dmtsai 修改密码时？
[root@linux ~]# passwd dmtsai
Changing password for user dmtsai.
New UNIX password:  <==这里直接输入新的密码，屏幕不会有任何反应
BAD PASSWORD: it is based on a dictionary word  <==密码太简单时的错误！
Retype new UNIX password:  <==再输入一次同样的密码
passwd: all authentication tokens updated successfully.  <==竟然还是成功修改了！

范例二： dmtsai 这个用户想要修改自己的密码时
[dmtsai@linux ~]$ passwd
Changing password for user dmtsai.
Changing password for dmtsai
(current) UNIX password: <==这里输入『原有的旧密码』
New password: <==这里输入新密码
BAD PASSWORD: it is based on your username <==密码的规范是很严格的
New password:
BAD PASSWORD: it is based on your username
New password:
BAD PASSWORD: it is based on a dictionary word
passwd: Authentication token manipulation error

• 密码不能与帐号相同；
• 密码尽量不要选用字典里面会出现的字符串；
• 密码需要超过 8 个字符；

[root@linux ~]# usermod [-cdegGlsuLU] username
参数：
-c  ：后面接帐号的说明，即 /etc/passwd 第五栏的说明栏，可以加入一些帐号的说明。
-d  ：后面接帐号的家目录，即修改 /etc/passwd 的第六栏；
-e  ：后面接日期，格式是 YYYY-MM-DD 也就是在 /etc/shadow 内的第八个字段数据啦！
-g  ：后面接 group name，修改 /etc/passwd 的第四个字段，亦即是 GID 的字段！
-G  ：后面接 group name，修改这个用户能够支持的群组，修改的是 /etc/group 啰～
-l  ：后面接帐号名称。亦即是修改帐号名称， /etc/passwd 的第一栏！
-s  ：后面接 Shell 的实际文件，例如 /bin/bash 或 /bin/csh 等等。
-u  ：后面接 UID 数字啦！即 /etc/passwd 第三栏的数据；
-L  ：暂时将用户的密码冻结，让他无法登录。其实仅改 /etc/shadow 的密码栏。
-U  ：将 /etc/shadow 密码栏的 ! 拿掉，解冻啦！
范例：

范例一：修改用户 dmtsai 的说明栏，加上『VBird's test』的说明。
[root@linux ~]# usermod -c "VBird's test" dmtsai
[root@linux ~]# grep dmtsai /etc/passwd
dmtsai:x:501:501:VBird's test:/home/dmtsai:/bin/bash

范例二：用户 dmtsai 密码在 2006/01/01 失效。
[root@linux ~]# usermod -e "2006-01-01" dmtsai
[root@linux ~]# grep dmtsai /etc/shadow
dmtsai:$1$24ISJM4K$bbdijdreoieaVaBMAHsm6.:13026:0:99999:7::13149:

范例三：暂时冻结 dmtsai 的密码！
[root@linux ~]# usermod -L dmtsai
[root@linux ~]# grep dmtsai /etc/shadow
dmtsai:!$1$24ISJM4K$bbdijdreoieaVaBMAHsm6.:13026:0:99999:7::13149:
# 注意到，密码栏(第二栏)多了一个 ! 号！那个惊叹号会让密码无效喔！
[root@linux ~]# usermod -U dmtsai  <==这样就解开了！

范例四：万一 dmtsai 这个家伙被创建时忘记创建家目录，该如何是好？
[root@linux ~]# usermod -d /home/dmtsai2 -m dmtsai
# 如果仅是 -d /home/dmtsai2 表示仅修改 /etc/passwd 第六栏的内容而已，
# 如果加上 -m 这个参数，则表示新建一个家目录的意思！
# 另外，如果原本的家目录是 /home/dmtsai ，那 -d /home/dmtsai2 -m
# 会将原本的 /home/dmtsai 更名为 /home/dmtsai2 喔！

• /etc/passwd
• /etc/shadow
• /home/username

[root@linux ~]# userdel [-r] username
参数：
-r  ：连同用户的家目录也一起删除
范例：

范例一：删除 vbird2 ，连同家目录一起删除
[root@linux ~]# userdel -r vbird2

[dmtsai@linux ~]$ chsh [-ls]
参数：
-l  ：列出目前系统上面可用的 shell ，其实就是 /etc/shells 的内容！
-s  ：设置修改自己的 Shell 啰
范例：

范例一：列出目前系统上面所以的 shell ，并且指定 csh 为自己的 shell
[dmtsai@linux ~]$ chsh -l
/bin/sh
/bin/bash
/sbin/nologin
/bin/ksh
/bin/tcsh
/bin/csh
/bin/zsh
[dmtsai@linux ~]$ chsh -s /bin/csh; grep dmtsai /etc/passwd
Password:  <==为了防止帐号被乱搞～所以需要输入 dmtsai 的密码确认！
Shell changed.
dmtsai:x:501:501::/home/dmtsai:/bin/csh

[root@linux ~]# chfn [-foph] 
参数：
-f  ：后面接完整的大名；
-o  ：您办公室的房间号码；
-p  ：办公室的电话号码；
-h  ：家里的电话号码！
范例：

范例一：我用 dmtsai 这个用户来更改一下自己的相关信息！
[dmtsai@linux ~]$ chfn
Changing finger information for dmtsai.
Password: <==为了防止帐号被乱搞～所以需要输入 dmtsai 的密码确认！
Name []: VBird' Test account
Office []: Tainan office 1
Office Phone []: 06-1234567
Home Phone []: 06-7654321

Finger information changed.
[dmtsai@linux ~]$ grep dmtsai /etc/passwd
dmtsai:x:501:501:VBird' Test account,Tainan office 1,06-1234567,06-7654321:
/home/dmtsai:/bin/bash

• 密码
• 暱称
• 办公室号码
• 办公室电话
• 家里电话

[root@linux ~]# finger [-s] username
参数：
-s  ：使用长串数据输出格式。
范例：

范例一：将刚刚 dmtsai 创建的一些用户信息调用出来视察！
[root@linux ~]# finger dmtsai
Login: dmtsai                           Name: VBird's Test account
Directory: /home/dmtsai                 Shell: /bin/bash
Office: Tainan office 1, 06-1234567     Home Phone: 06-7654321
Last login Tue Aug 30 15:01 (CST) on tty1 from localhost
No mail.
No Plan.

[root@linux ~]# id [username]

范例一：查阅自己的相关信息！
[root@linux ~]# id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),10(wheel)

范例二：查阅一下 dmtsai 吧～
[root@linux ~]# id dmtsai
uid=501(dmtsai) gid=501(dmtsai) groups=501(dmtsai),100(users)

[root@linux ~]# groupadd [-g gid] [-r]
参数：
-g  ：后面接某个特定的 GID ，用来直接给予某个 GID ～
-r  ：创建系统群组啦！与 /etc/login.defs 内的 GID_MIN 有关。
范例：

范例一：新建一个群组，名称为 group1
[root@linux ~]# groupadd group1
[root@linux ~]# grep group1 /etc/group /etc/gshadow
/etc/group:group1:x:502:
/etc/gshadow:group1:!::
# 注意注意！在 /etc/gshadow 里面可以发现，密码是不许登录的喔！

范例二：新建一个系统群组，名称为 group2
[root@linux ~]# groupadd -r group2
[root@linux ~]# grep group2 /etc/group /etc/gshadow
/etc/group:group2:x:101:
/etc/gshadow:group2:!::

[root@linux ~]# groupmod [-g gid] [-n group_name]
参数：
-g  ：修改既有的 GID 数字；
-n  ：修改既有的群组名称
范例：

范例一：将刚刚上个指令创建的 group2 名称改为 groupname ， GID 为 103
[root@linux ~]# groupmod -g 103 -n groupname group2
[root@linux ~]# grep groupname /etc/group /etc/gshadow
/etc/group:groupname:x:103:
/etc/gshadow:groupname:!::

[root@linux ~]# groupdel [groupname]

范例一：将刚刚的 groupname 删除！
[root@linux ~]# groupdel groupname

范例二：若要删除 dmtsai 这个群组的话？？
[root@linux ~]# groupdel dmtsai
groupdel: cannot remove user's primary group.

• 修改 dmtsai 的 GID ，或者是：
• 删除 dmtsai 这个用户。

关于系统管理员(root)做的动作：
[root@linux ~]# gpasswd groupname
[root@linux ~]# gpasswd [-A user1,...] [-M user3,user4...] groupname
[root@linux ~]# gpasswd [-rR] groupname
参数：
    ：若没有任何参数时，表示给予 groupname 一个密码(/etc/gshadow)
-A  ：将 groupname 的主控权交由后面的用户管理(该群组的管理员)
-M  ：将某些帐号加入这个群组当中！
-r  ：将 groupname 的密码移除
-R  ：让 groupname 的密码栏失效，所以 newgrp 就不能使用了！

关于群组管理员(Group administrator)做的动作：
[someone@linux ~]$ gpasswd [-ad] user groupname
参数：
-a  ：将某位用户加入到 groupname 这个群组当中！
-d  ：将某位用户移除出 groupname 这个群组当中。

范例一：创建一个新群组，名称为 testgroup 且群组交由 dmtsai 管理：
[root@linux ~]# groupadd testgroup
[root@linux ~]# gpasswd testgroup
Changing the password for group testgroup
New Password:
Re-enter new password:
# 输入两次密码就对了！
[root@linux ~]# gpasswd -A dmtsai -M dmtsai,vbird testgroup
[root@linux ~]# grep testgroup /etc/group /etc/gshadow
/etc/group:testgroup:x:502:dmtsai,vbird
/etc/gshadow:testgroup:1CEVbrcjxO6Ps:dmtsai:dmtsai,vbird
# 很有趣吧！此时 dmtsai 则拥有 testgroup 的主控权喔！若以我们讨论区 (
# http://phorum.vbird.org 的概念来说，群组管理员有点像『版主』啦！

范例二：以 dmtsai 登录系统，并且让他加入 vbird1 成为 testgroup 成员之一：
[dmtsai@linux ~]$ gpasswd -a vbird1 testgroup
Adding user vbird1 to group testgroup

[root@linux ~]# passwd [-lunxwS] username
参数：
-l  ：将 username 这个帐号的密码锁住 (lock)，在 /etc/shadow 内的密码栏修订～
-u  ：将 -l 的 lock 解开！
-n  ：后面接天数 (数字) ，最短天数；亦即是 /etc/shadow 内的第四栏；
-x  ：后面接天数 (数字) ，最长天数；亦即是 /etc/shadow 内的第五栏；
-w  ：后面接天数 (数字) ，警告天数；亦即是 /etc/shadow 内的第六栏；
-S  ：显示目前这个 username 的相关信息。
范例：

范例一：将 dmtsai 这个用户的密码冻结，并观察他！
[root@linux ~]# passwd -l dmtsai
Locking password for user dmtsai.
passwd: Success
[root@linux ~]# passwd -S dmtsai
Password locked.
[root@linux ~]# grep dmtsai /etc/shadow
dmtsai:!!$1$TDy6D7eg$jVJV/FMaQn14v5Kl7sqw6/:13026:0:99999:7::13149:

范例二：将上述密码冻结解开
[root@linux ~]# passwd -u dmtsai

[root@linux ~]# cat /etc/pam.d/passwd
#%PAM-1.0
auth       required     pam_stack.so service=system-auth
account    required     pam_stack.so service=system-auth
password   required     pam_stack.so service=system-auth

验证的类别 　 验证的控制标准 　 使用的PAM模块 　 该模块的能使用的参数

• auth
  这种类别主要用来检验用户的身份验证，所以这种类别通常是需要密码来检验的。


• account
  这种类别则主要在检验用户是否具有正确的使用权限，举例来说，当你使用一个过期的密码来登录时， 当然就无法正确的登录了。


• session
  这种类别主要在管理当用户正确的使用该程序时的环境设置。举例来说，我们登录 Linux 其实使用的是 /bin/login 这个程序的相关功能的，所以，当实际登录后，在操作 shell 的过程中，都是受 session 这种类别的设置所控制的喔！另外，如果使用 session 这种类别时， 则该程序在正式使用之前与使用结束之后，都会有相关纪录被记到注册表当中喔！


• password
  至于这种类别，则主要在提供验证的修订工作，举例来说，就是修改/变更密码啦！

• required
  当模块设置为这种控制标准时，该模块的验证必须要成功，否则就会回传一个 failure 的消息。 不过，不论此一动作的模块是否成功，接下去的模块都还会继续动作！ 而若有 failure 的消息时，也会在后续的动作都进行完毕之后，才会回传给原程序。 比底下的 requisite 还要优秀的地方，在于该模块底下的动作可能具有注册表纪录 (log) 的举动，则错误的消息才会被纪录起来喔！
  
  
• requisite
  当模块设置为 requisite 时，该模块的认证要求同样的需要成功才行。 不过，如果该模块没有通过验证，那么 PAM 会『立刻』回报程序一个 failure 的值， 也就是说，若该次动作的模块后续还有其他模块时，其他模块的动作将不会被激活。
  
  
• optional
  这个模块控制项目大多是在显示消息而已，并不是用在验证方面的。
  
  
• sufficient
  这个模块控制标准也挺有趣的，相对于 requisite 是『发生错误时，立刻回报原运行程序 failure ， 并且中断 PAM 的运作』， sufficient 则是『顺利通过验证时，立刻回报原程序通过的消息， 并且中断 PAM 的运作』。呵呵！完全相反喔！
  

[root@linux ~]# cat /etc/pam.d/login
#%PAM-1.0
auth       required	pam_securetty.so
auth       required	pam_stack.so service=system-auth
auth       required	pam_nologin.so
account    required	pam_stack.so service=system-auth
password   required	pam_stack.so service=system-auth
# pam_selinux.so close should be the first session rule
session    required	pam_selinux.so close
session    required	pam_stack.so service=system-auth
session    optional	pam_console.so
# pam_selinux.so open should be the last session rule
session    required	pam_selinux.so multiple open

tty1
tty2
tty3
tty4
...

• 将 /etc/pam.d/login 内，关于 pam_securetty.so 模块的那一行注解掉；
• 将 /etc/securetty 这个文件移除。

[root@linux ~]# vi /etc/security/limits.conf
# 添加这两行
dmtsai          hard    fsize   10240
@users          hard    fsize   10240
# 注意到，帐号前面加上 @ 表示为『群组！』

[root@linux ~]# pwck
user adm: directory /var/adm does not exist
user news: directory /etc/news does not exist
user uucp: directory /var/spool/uucp does not exist

• 比对 /etc/passwd 及 /etc/shadow ，若 /etc/passwd 内存在的帐号并没有对应的 /etc/shadow 密码时，则 pwconv 会去 /etc/login.defs 取用相关的密码数据，并创建该帐号的 /etc/shadow 数据；
• 若 /etc/passwd 内存在加密后的密码数据时，则 pwconv 会将该密码栏移动到 /etc/shadow 内，并将原本的 /etc/passwd 内相对应的密码栏变成 x ！

[root@linux ~]# echo "dmtsai:abcdefg" | chpasswd