Lokale Benutzer und Gruppen richtig verwalten: useradd, Systemkonten, Passwortalterung und die Falle bei usermod -aG

Ziel

Lokale Linux-Konten korrekt anlegen und verwalten: einen interaktiven Benutzer, ein Dienstkonto, Passwortalterung, Änderungen an Gruppenmitgliedschaften sowie Sperren im Unterschied zum Ablaufenlassen eines Kontos – jeweils mit einem Prüfschritt.

Voraussetzungen

Root-Rechte. useradd/usermod/chage stammen aus der Shadow-Suite (shadow-utils unter RHEL/Fedora, passwd unter Debian/Ubuntu) und sind auf diesen Distributionen standardmässig installiert; minimale Images wie Alpine liefern stattdessen das BusyBox-adduser mit.

Schritte

1. Einen interaktiven Benutzer mit Home-Verzeichnis und ausdrücklich angegebener Shell anlegen: useradd -m -s /bin/bash alice. -m/--create-home ist auf Distributionen nötig, auf denen es nicht der Standard ist (das useradd von Debian legt Home-Verzeichnisse nur an, wenn es entsprechend konfiguriert ist); ohne -s stammt die Standard-Shell aus /etc/default/useradd, was nicht unbedingt der beabsichtigten entspricht.
2. Das Initialpasswort bei Bedarf nicht interaktiv setzen: echo 'alice:TempPass123' | chpasswd (das Passwort landet in der Shell-History, sofern es nicht aus einer Datei oder Variable gelesen wird), anschliessend mit chage -d 0 alice eine Änderung beim ersten Login erzwingen.
3. Ein System-/Dienstkonto ohne Login-Shell und ohne zu pflegende Home-Inhalte anlegen: useradd --system --shell /usr/sbin/nologin --no-create-home svc-app. --system wählt eine UID aus dem Systembereich statt aus dem Bereich normaler Benutzer; so taucht das Konto nicht in UID-Listen für Benutzer auf. Als Shell gibt nologin (oder /bin/false) eine Meldung aus und beendet sich, statt eine Shell bereitzustellen.
4. Einen Benutzer einer ergänzenden Gruppe hinzufügen, ohne seine bestehenden Gruppenmitgliedschaften zu löschen: usermod -aG docker alice. -a/--append ist zusammen mit -G erforderlich; usermod -G docker alice allein ersetzt die gesamte Liste der ergänzenden Gruppen des Benutzers durch nur docker und entfernt dabei unbemerkt alle anderen Gruppen, in denen er war – ein Fehler, der leicht passiert, wenn ein unvollständiger Befehl aus dem Gedächtnis eingegeben wird. Neue Gruppenmitgliedschaften gelten nur für neue Logins; laufende Sitzungen behalten ihre bisherigen Gruppen. Die Mitgliedschaft in docker kommt faktisch Root-Zugriff gleich.
5. Grenzen für die Passwortalterung setzen: chage -M 90 -E 2027-01-01 alice legt ein maximales Passwortalter von 90 Tagen (-M/--maxdays) und ein Ablaufdatum für das Konto (-E/--expiredate) fest; chage -l alice listet zur Kontrolle die aktuellen Alterungseinstellungen auf.
6. Ein Konto sperren, ohne sein Passwort zu zerstören (reversibel): usermod -L alice (oder passwd -l alice); entsperren mit usermod -U alice. Das Sperren deaktiviert die Passwort-Authentifizierung, indem dem Hash ein ! vorangestellt wird; bei typischen Setups (OpenSSH mit UsePAM yes) funktioniert der schlüsselbasierte SSH-Login jedoch weiterhin – Sperre und Ablauf sind unterschiedliche Mittel.
7. Ein Konto vollständig ablaufen lassen (blockiert im Unterschied zum Sperren auch SSH-Schlüssel, sobald das Ablaufdatum erreicht ist): chage -E 0 alice lässt es sofort ablaufen, über -E ist auch ein zukünftiges Datum möglich.

Erwartetes Ergebnis

getent passwd alice und id alice zeigen die vorgesehene UID, Shell und Gruppenmitgliedschaften; chage -l alice gibt die konfigurierte Alterung wieder; der Eintrag eines gesperrten Kontos in getent shadow (nur als Root) zeigt vor dem Hash ein Präfix ! oder !!.

Grenzen und Prüfbasis

Geprüft anhand von useradd(8) (--system, --create-home), usermod(8) (--append), chage(1) (--expiredate, --maxdays), getent(1) und nologin(8). Rückgängig machen: userdel alice entfernt das Konto (-r entfernt zusätzlich das Home-Verzeichnis und den Mail-Spool); eine versehentlich hinzugefügte Gruppenmitgliedschaft wird mit gpasswd -d alice docker entfernt.