4.3. 使用命令行工具

要在系统中添加新用户，以 root 用户身份在 shell 提示符后输入以下内容：

useradd options username

…其中选项是命令行选项，如 表 4.2 “常用 useradd 命令行选项” 所述。

默认情况下，user add 命令会创建一个锁定的用户帐户。要解锁帐户，以 root 用户身份运行以下命令来分配密码：

passwd username

（可选）您可以设置密码过期策略。请参阅 Red Hat Enterprise Linux 7 安全指南中 的密码安全部分。

此时系统上存在名为 juan 的锁定帐户。要激活它，管理员接下来必须使用 passwd 命令为帐户分配密码，也可以设置密码过期指南（详情请参阅 Red Hat Enterprise Linux 7 安全指南中 的密码安全部分 ）。

要在系统中添加新组，以 root 用户身份在 shell 提示符后输入以下内容：

groupadd options group_name

…其中选项是命令行选项，如 表 4.3 “常用 groupadd 命令行选项” 所述。

使用 usermod 实用程序将现有用户添加到现有的组中。

usermod 的各种选项对用户的主组以及他/她的补充组有不同影响。

要覆盖用户的主组群，以 root 用户身份运行以下命令：

~]# usermod -g group_name user_name

要覆盖用户的补充组，以 root 用户身份运行以下命令：

~]# usermod -G group_name1,group_name2,... user_name

请注意，在这种情况下，用户的所有前一个补充组都会被新组或多个新组替代。

要在用户的附加组中添加一个或多个组，以 root 用户身份运行以下命令之一：

~]# usermod -aG group_name1,group_name2,... user_name

~]# usermod --append -G group_name1,group_name2,... user_name

请注意，在这种情况下，新组会添加到用户的当前补充组中。

系统管理员通常喜欢为每个主要项目创建组，并在需要访问该项目的文件时将人员分配给组。采用这种传统方案时，文件管理比较困难；当有人创建文件时，它与其所属的主要组相关联。当单个人处理多个项目时，将正确的文件与正确的组关联变得困难。但是，使用 UPG 方案时，组会自动分配到设置了 setgid 位的目录中创建的文件。setgid 位使得管理共享一个通用目录的组项目非常简单，因为用户在该目录中创建的任何文件都归拥有该目录的组所有。

例如，一组人需要处理 /opt/myproject/ 目录中的文件。些人信任修改此目录的内容，但不是每个人。

当进程创建文件时，该文件具有特定的默认权限，例如 -rw-rw-r--。这些初始权限部分由文件模式创建掩码定义 ，也称为文件权限掩码或 umask。每个进程都有自己的 umask，例如，默认情况下 bash 具有 umask 0022。可以更改进程 umask。

umask 包括什么

umask 由与标准文件权限对应的位组成。例如，对于 umask 0137，数字表示：

Umasks 可以用二进制、八进制或符号表示法表示。例如，八进制表示 0137 等于符号表示 u=rw-,g=r--,o=---。符号表示规格与八进制表示规范相反：它显示允许的权限，而不是禁止的权限。

umask 的工作原理

umask 禁止为文件设置权限 ：

下图显示了 umask 0137 如何影响新文件的创建。

图 4.3. 在创建文件时应用 umask

[john@server tmp]$ umask 0000
[john@server tmp]$ touch file
[john@server tmp]$ mkdir directory
[john@server tmp]$ ls -lh .
total 0
drwxrwxrwx. 2 john john 40 Nov 2 13:17 directory
-rw-rw-rw-. 1 john john 0 Nov 2 13:17 file

~]$ umask
0022

~]$ umask -S
u=rwx,g=rx,o=rx

~]$ umask octal_mask

~]$ umask 0337

~]$ umask 337

~]$ umask -S symbolic_mask

~]$ umask -S u=r,g=r,o=

~]$ grep -i -B 1 umask /etc/bashrc

~]$ grep -i -B 1 umask /etc/bashrc
  # By default, we want umask to get set. This sets it for non-login shell.
--
  if [ $UID -gt 199 ] && [ “id -gn” = “id -un” ]; then
    umask 002
  else
    umask 022

  if [ $UID -gt 199 ] && [ “id -gn” = “id -un” ]; then
    umask 002
  else
    umask 227

john@server ~]$ echo 'umask 227' >> /home/john/.bashrc

# The permission mask is initialized to this value. If not specified,
# the permission mask will be initialized to 022.
UMASK 077