在Linux服务器管理中,新增用户是一项基础且至关重要的运维操作。核心上文归纳是：通过命令行工具（如useradd或adduser）创建账户，并配合精细化的权限配置（如sudoers文件及用户组管理）来实现安全、可控的系统访问。 这一过程不仅是为了满足多人协作的需求，更是为了遵循最小权限原则，通过隔离普通用户与root管理员权限，从而大幅降低系统因误操作或恶意攻击而崩溃的风险，以下将从准备工作、具体创建方法、权限配置及安全加固四个维度详细展开。
操作前的准备工作与权限检查
在执行新增用户操作之前,必须确保当前操作环境具备足够的权限，在Linux系统中，只有root用户或具有sudo权限的用户才能创建新账户。这是保障系统安全的第一道防线。
需要通过命令确认当前身份,如果是以普通用户登录，必须在命令前加上sudo，或者通过su -切换至root用户，建议在操作前检查系统的用户相关配置文件，如/etc/passwd、/etc/group和/etc/shadow的完整性，确保系统用户管理模块处于正常状态，对于生产环境服务器，强烈建议在执行低风险操作前进行数据备份或配置文件快照，以防因误删系统关键用户导致服务不可用。
新增用户的核心命令与实操方法
Linux提供了多种新增用户的方式,最常用且最专业的工具是useradd和adduser，两者虽然功能相似，但适用场景略有不同，理解其区别有助于提升运维效率。
使用useradd命令进行精细化创建
useradd是底层命令，参数丰富，适合脚本化或需要自定义配置的场景，最基础的用法是useradd username，但为了创建一个可正常登录的账户，通常需要组合使用参数。
- -m 参数：至关重要，它用于创建用户的主目录（Home Directory），通常位于
/home/username，如果不加此参数，用户登录后将无法进入专属目录，甚至可能因环境缺失无法运行某些程序。 - -s 参数：指定用户登录后的Shell解释器，通常设置为
/bin/bash以提供完整的命令行交互功能，若创建的是系统服务账户或禁止登录的账户，则应设置为/sbin/nologin。 - 综合示例：
useradd -m -s /bin/bash newadmin，这条命令创建了一个名为newadmin的用户，拥有独立家目录并使用bash环境。
使用adduser命令进行交互式创建
在Ubuntu/Debian等发行版中，adduser是一个友好的交互式脚本，执行adduser username后，系统会提示输入密码、用户全名、房间号等信息，并自动创建家目录和配置初始环境。对于新手或不熟悉繁琐参数的管理员，这是最安全快捷的方式，因为它自动处理了许多默认配置，减少了遗漏关键步骤的风险。
设置用户密码
无论使用哪种方式创建用户，默认状态下账户通常是锁定的或未设置密码的，必须使用passwd username命令来为用户设置强密码。强密码策略是服务器安全的基石，密码应包含大小写字母、数字及特殊符号，且长度不少于12位。
权限管理与用户组配置
创建用户仅仅是第一步,赋予其合理的操作权限才是运维管理的核心。直接将root权限赋予普通用户是极其危险的做法，应当通过用户组和sudo机制进行权限分配。
用户组管理
用户组是实现批量权限控制的有效手段，可以使用usermod -aG groupname username将用户追加到指定的附加组中，将用户加入docker组，该用户即可执行docker命令；加入www-data组，即可对Web目录进行读写。利用用户组可以实现“基于角色的访问控制”（RBAC），使权限管理更加清晰有序。
配置Sudo权限
当普通用户需要执行管理员任务时，应通过sudo提权，而不是直接切换到root，配置sudo权限需编辑/etc/sudoers文件，切记使用visudo命令进行编辑，因为该命令会在保存时检查语法，避免因配置错误导致所有用户都无法获取sudo权限的严重后果。
- 基本配置：在文件末尾添加
username ALL=(ALL:ALL) ALL，表示该用户拥有所有权限。 - 受限配置：为了更高级别的安全，可以限制用户只能执行特定命令，例如
username ALL=(ALL) /usr/bin/systemctl restart nginx，这样该用户只能重启Nginx服务，而无法删除系统文件。
安全加固与SSH登录配置
新增用户后,必须对远程登录方式进行安全加固，防止暴力破解。
禁用Root远程登录
为了保护服务器，建议在配置好新管理员用户并确认其sudo权限正常后，修改SSH配置文件/etc/ssh/sshd_config，将PermitRootLogin yes改为PermitRootLogin no，这样，攻击者即使知道root密码也无法直接远程登录，必须先攻破普通用户账户，然后再提权，这增加了一层安全屏障。
强制使用SSH密钥认证
密码认证在互联网环境下容易遭受撞库攻击。专业的解决方案是强制要求用户使用SSH密钥对进行登录。 管理员应在客户端生成公钥和私钥，将公钥内容追加到服务器对应用户家目录下的~/.ssh/authorized_keys文件中，并设置正确的权限（目录700，文件600），随后在SSH配置文件中设置PasswordAuthentication no，彻底关闭密码登录通道。
独立见解与最佳实践
在实际运维中,“用户生命周期管理”往往被忽视，除了创建，还应建立定期审计机制，建议使用lastb命令查看失败的登录尝试，以此判断是否存在针对特定用户的暴力破解，对于临时性的项目账户，应在任务结束后立即使用userdel -r username删除用户及其家目录，防止僵尸账户成为后门，对于关键服务器，可以考虑引入PAM（Pluggable Authentication Modules）模块，实现账户自动过期、登录时间限制等高级策略，从而构建一套动态、立体的用户安全管理体系。
相关问答
Q1：useradd和adduser命令有什么本质区别，应该优先使用哪个？
A： useradd是Linux系统底层的二进制工具，参数灵活但需要管理员手动指定所有细节（如家目录、Shell等），适合编写自动化脚本或需要精确控制的场景。adduser（在Debian/Ubuntu系中）则是一个用Perl编写的友好的交互式脚本，它会自动处理创建家目录、设置初始配置文件、提示输入密码等流程。对于日常手动管理，推荐使用adduser，因为它更智能且不易出错；对于批量自动化部署，则应使用useradd。
Q2：如果忘记了root密码，且只有一个普通用户账号，该如何恢复系统管理权限？
A： 如果该普通用户拥有sudo权限，可以直接使用sudo passwd root命令重置root密码，如果该普通用户没有sudo权限，则需要通过重启服务器进入单用户模式（Single User Mode）或救援模式（Rescue Mode），在启动引导器（如GRUB）界面编辑启动参数，加入init=/bin/bash或rd.break，以root身份挂载文件系统为读写模式，然后直接执行passwd命令修改密码。这体现了物理接触服务器或控制台权限的重要性，也是云服务器为何要严控控制台访问的原因。
如果您在服务器用户管理过程中遇到特定的权限报错或配置难题,欢迎在评论区留言，我们将为您提供针对性的技术解决方案。
