Linux 用戶與群組管理核心配置文件深度解析：/etc/passwd、shadow、group、gshadow

Linux 多用戶、多任務的基石是 UID/GID 權限模型。本文深度解析四大核心配置文件的欄位含義、影子機制、一致性檢查與自動化管理工具，助你建立穩健的身份治理體系。

四大文件關係圖

/etc/passwd     → 用戶基本屬性（公開可讀）
/etc/shadow     → 用戶密碼雜湊與過期策略（僅 root 可讀）
/etc/group      → 群組基本屬性與成員（公開可讀）
/etc/gshadow    → 群組密碼與管理員（僅 root 可讀）

1. /etc/passwd — 用戶身份證

root:x:0:0:root:/root:/bin/bash
nginx:x:996:994:Nginx web server:/var/lib/nginx:/sbin/nologin

2. /etc/shadow — 密碼金庫

nginx:$6$rounds=656000$salt$hash:19500:0:99999:7:::

特殊值：! / !! / * = 帳號鎖定（無法用密碼登入）；空值 = 無密碼（極度危險）。

3. /etc/group — 群組名冊

docker:x:995:alice,bob,charlie

4. /etc/gshadow — 群組安全擴展

docker:!:alice:alice,bob

用戶角色三分類

管理工具鏈

自動化最佳實踐

# 1. 建立服務帳號（系統用戶、無家目錄、禁止登入）
useradd -r -s /sbin/nologin -c "Prometheus Exporter" node_exporter

# 2. 建立部署帳號（普通用戶、有家目錄、加入 docker 群組）
useradd -m -s /bin/bash -G docker -c "CI/CD Deploy" deploy
echo "deploy:$(openssl rand -base64 16)" | chpasswd

# 3. 批量同步群組成員（從 CMDB API）
mapfile -t USERS < <(curl -s $API | jq -r '.[]')
groupmod -G $(IFS=,; echo "${USERS[*]}") docker

# 4. 定期審計
pwck -r && grpck -r
awk -F: '$3==0 && $1!="root" {print "WARNING: UID 0 user:", $1}' /etc/passwd
awk -F: '$2!~/^[$!]/ {print "WARNING: no password hash:", $1}' /etc/shadow

結語： 四大文件是 Linux 身份體系的「戶政系統」。熟悉欄位含義、善用 useradd/usermod/gpasswd 而非手動 vim、定期跑 pwck/grpck 審計，才能在百台伺服器叢集中保持身份資料乾淨、一致、可追溯。