Usuários e grupos locais do jeito certo: useradd, contas de sistema, expiração de senha e a armadilha do usermod -aG

Objetivo

Criar e gerenciar corretamente contas locais no Linux: um usuário interativo, uma conta de serviço, a política de expiração de senha, alterações de pertencimento a grupos e a diferença entre bloquear e expirar uma conta, com um passo de verificação para cada caso.

Pré-requisitos

Acesso root. useradd, usermod e chage vêm do conjunto shadow (shadow-utils no RHEL/Fedora, passwd no Debian/Ubuntu), instalado por padrão nessas distribuições; imagens mínimas como a Alpine trazem em seu lugar o adduser do BusyBox.

Passos

1. Crie um usuário interativo com diretório home e shell explícito: useradd -m -s /bin/bash alice. -m/--create-home é necessário nas distribuições em que a criação do home não é o comportamento padrão (o useradd do Debian não cria diretórios home, a menos que isso esteja configurado); sem -s, o shell padrão vem de /etc/default/useradd, que pode não ser o desejado.
2. Quando necessário, defina a senha inicial de forma não interativa: echo 'alice:TempPass123' | chpasswd (a senha fica no histórico do shell, a menos que seja lida de um arquivo ou de uma variável) e, em seguida, force a troca no primeiro login com chage -d 0 alice.
3. Crie uma conta de sistema/serviço sem shell de login e sem conteúdo de diretório home para manter: useradd --system --shell /usr/sbin/nologin --no-create-home svc-app. --system escolhe um UID da faixa de sistema em vez da faixa de usuários comuns, mantendo a conta fora das listagens de UIDs voltadas a usuários. Usado como shell, nologin (ou /bin/false) exibe uma mensagem e encerra, em vez de conceder um shell.
4. Adicione um usuário a um grupo suplementar sem apagar os grupos de que ele já faz parte: usermod -aG docker alice. -a/--append é obrigatório junto com -G; executar apenas usermod -G docker alice substitui toda a lista de grupos suplementares do usuário somente por docker, removendo em silêncio todos os outros grupos a que ele pertencia — uma alteração fácil de cometer ao copiar de memória um comando incompleto. Os novos pertencimentos a grupos valem apenas para novos logins; as sessões em andamento mantêm os grupos antigos. Ser membro de docker equivale, na prática, a ter acesso root.
5. Defina os limites de expiração de senha: chage -M 90 -E 2027-01-01 alice define a idade máxima da senha em 90 dias (-M/--maxdays) e uma data de expiração da conta (-E/--expiredate); chage -l alice lista as configurações atuais de expiração, para verificação.
6. Bloqueie uma conta sem destruir sua senha (reversível): usermod -L alice (ou passwd -l alice); desbloqueie com usermod -U alice. O bloqueio desativa a autenticação por senha ao prefixar o hash com !, mas em configurações típicas (OpenSSH com UsePAM yes) o login SSH por chave continua funcionando — bloqueio e expiração são controles diferentes.
7. Expire a conta de vez (isso também bloqueia chaves SSH depois que a data de expiração passa, ao contrário do bloqueio): chage -E 0 alice a expira imediatamente, ou use uma data futura com -E.

Resultado esperado

getent passwd alice e id alice mostram o UID, o shell e os grupos pretendidos; chage -l alice reflete a expiração configurada; a entrada de uma conta bloqueada em getent shadow (somente root) mostra o prefixo ! ou !! no hash.

Limites e base de verificação

Verificado com base em useradd(8) (--system, --create-home), usermod(8) (--append), chage(1) (--expiredate, --maxdays), getent(1) e nologin(8). Para desfazer: userdel alice remove a conta (-r remove também o diretório home e a caixa de correio); para remover um pertencimento a grupo adicionado por engano, use gpasswd -d alice docker.