CentOS 默認(rèn)只有一個(gè) root 用戶，但是 root 用戶的權(quán)限過(guò)大，而且不利于多人協(xié)作，基于權(quán)限管理和安全的原因，我們?yōu)橄到y(tǒng)新建一個(gè)用戶，并且使能其 SSH 登錄，同時(shí)禁止 root 用戶的登錄；

基于CentOS Linux release 7.6.1810 (Core)實(shí)踐；

新建用戶

在 CentOS 中，adduser和useradd沒(méi)有區(qū)別：

[root@centos_7_6_1810 ~]# ll /usr/sbin/ | grep user
lrwxrwxrwx 1 root root   7 Jun 24 10:14 adduser -> useradd
-rwxr-xr-x. 1 root root  33104 Aug 3 2017 fuser
-rwxr-xr-x. 1 root root  15832 Apr 13 2018 lnewusers
-rwxr-xr-x. 1 root root  15752 Apr 13 2018 luseradd
-rwxr-xr-x. 1 root root  11576 Apr 13 2018 luserdel
-rwxr-xr-x. 1 root root  19896 Apr 13 2018 lusermod
-rwxr-xr-x 1 root root  76232 Mar 14 2019 newusers
-rwxr-xr-x 1 root root  33072 Mar 14 2019 runuser
-rwxr-xr-x. 1 root root  19720 Apr 11 2018 sasldblistusers2
-rwxr-x--- 1 root root  118224 Mar 14 2019 useradd
-rwxr-x--- 1 root root  80400 Mar 14 2019 userdel
-rwxr-x--- 1 root root  113856 Mar 14 2019 usermod
-rwsr-xr-x. 1 root root  11376 Oct 31 2018 usernetctl

從上面的命令中可以看出：adduser只不過(guò)是useradd命令的一個(gè)軟連接；

關(guān)于軟連接，你可以暫時(shí)把它理解成 Windows 系統(tǒng)中的快捷方式；

使用useradd命令創(chuàng)建新用戶：

[root@centos_7_6_1810 ~]# useradd luizyao
[root@centos_7_6_1810 ~]# ls /home/
luizyao

在大多數(shù) Linux 的發(fā)行版本中，useradd命令并不會(huì)在/home/下創(chuàng)建對(duì)應(yīng)的用戶目錄，如果想要?jiǎng)?chuàng)建，需要在命令中添加-m (--create-home)選項(xiàng)；但是，CentOS 會(huì)為我們自動(dòng)創(chuàng)建這個(gè)用戶目錄；

如果我們想要以這個(gè)用戶名登錄系統(tǒng)，必須為其設(shè)置一個(gè)密碼：

[root@centos_7_6_1810 ~]# passwd luizyao
Changing password for user luizyao.
New password:
Retype new password:
passwd: all authentication tokens updated successfully.

然后，我們就可以用這個(gè)用戶登錄系統(tǒng)：

[luizyao@centos_7_6_1810 ~]$ whoami
luizyao

為新用戶授權(quán)

通常情況下，新用戶在自己的用戶目錄（/home/luizyao/）下?lián)碛型暾�的�?quán)限，其它目錄需要他人授權(quán)；而我們最常用的就是 root 用戶的權(quán)限，這時(shí)候sudo命令就可以幫助到我們：它允許信任的用戶以其他用戶的身份去執(zhí)行命令，默認(rèn)使用的是 root 用戶；

新用戶并不在信任名單中，所以我們無(wú)法借用 root 用戶身份去執(zhí)行命令：

注意：此時(shí)，以新用戶的身份登錄系統(tǒng)的；

[luizyao@centos_7_6_1810 /]$ sudo whoami
[sudo] password for luizyao:
luizyao is not in the sudoers file. This incident will be reported.

在 CentOS 中，我們有兩種方法把新用戶添加到 Sudoers 列表中：

注意：此時(shí)，以 root 的身份登錄系統(tǒng)；

方法一：把新用戶添加到wheel用戶組中

基于 RedHat 分發(fā)版本的系統(tǒng)，如 CentOS 和 Fedora，用戶組wheel已經(jīng)被授予 sudo 的權(quán)限；所以，我們可以通過(guò)把新用戶添加到wheel用戶組中，來(lái)獲取 sudo 的權(quán)限：

[root@centos_7_6_1810 ~]# groups luizyao
luizyao : luizyao
[root@centos_7_6_1810 ~]# usermod -aG wheel luizyao
[root@centos_7_6_1810 ~]# groups luizyao
luizyao : luizyao wheel

我們通過(guò)usermod命令把新用戶添加到wheel用戶組中，可以使用groups命令查看用戶所屬的用戶組；

這個(gè)時(shí)候，新用戶就可以借助 root 的權(quán)限執(zhí)行命令了：

[luizyao@centos_7_6_1810 root]$ sudo whoami
[sudo] password for luizyao:
root

注意：

這種方法下，執(zhí)行sudo命令需要輸入新用戶的密碼，因?yàn)檫@是wheel用戶組的默認(rèn)配置，如下所示：

# /etc/sudoers

106 ## Allows people in group wheel to run all commands
107 %wheel ALL=(ALL)  ALL
108
109 ## Same thing without a password
110 # %wheel  ALL=(ALL)  NOPASSWD: ALL

從用戶組中刪除用戶。可以使用如下命令：

[root@centos_7_6_1810 ~]# gpasswd -d luizyao wheel
Removing user luizyao from group wheel
[root@centos_7_6_1810 ~]# groups luizyao
luizyao : luizyao

方法二：把新用戶添加到sudoers列表中

在/etc/sudoers文件中，可以配置用戶和用戶組的 sudo 權(quán)限，這種方式更加靈活一點(diǎn)；并且，有兩種方法為新用戶配置權(quán)限：

1.你可以直接在/etc/sudoers文件中配置新用戶的權(quán)限，但是要注意這個(gè)文件的默認(rèn)權(quán)限是只讀的，所以你要先添加寫(xiě)入權(quán)限，編輯完以后，再恢復(fù)為只讀；

請(qǐng)使用visodu命令修改/etc/sudoers文件，因?yàn)樗鼤?huì)幫你檢查語(yǔ)法錯(cuò)誤；

2.你也可以在/etc/sudoers.d目錄下，為新用戶添加一個(gè)專門的配置文件（推薦）：

bash [root@centos_7_6_1810 ~]# echo "luizyao ALL=(ALL) NOPASSWD:ALL" | tee /etc/sudoers.d/luizyao luizyao ALL=(ALL) NOPASSWD:ALL [root@centos_7_6_1810 ~]# ll /etc/sudoers.d/luizyao -rw-r--r-- 1 root root 32 Sep 17 17:51 /etc/sudoers.d/luizyao

上述命令表示：luizyao 可以在任何主機(jī)上（第一個(gè)ALL）以任何用戶的身份（第二個(gè)ALL，默認(rèn)為 root）執(zhí)行任何命令（第三個(gè)ALL），并且不需要密碼：

[luizyao@centos_7_6_1810 root]$ sudo whoami
root

注意：文件的名字可以是任意的，只是通常我們會(huì)配置成用戶名；

新用戶使能 SSH 密鑰登錄

此時(shí)，以新用戶的身份登錄系統(tǒng)；

創(chuàng)建密鑰對(duì)：

[luizyao@centos_7_6_1810 ~]$ ssh-keygen -t ecdsa # 橢圓曲線數(shù)字簽名算法
Generating public/private ecdsa key pair.
Enter file in which to save the key (/home/luizyao/.ssh/id_ecdsa): # 選擇密鑰對(duì)存放的文件夾 
Created directory '/home/luizyao/.ssh'.
Enter passphrase (empty for no passphrase): # 私鑰的密碼
Enter same passphrase again: # 確認(rèn)私鑰密碼
Your identification has been saved in /home/luizyao/.ssh/id_ecdsa.
Your public key has been saved in /home/luizyao/.ssh/id_ecdsa.pub.
The key fingerprint is:
SHA256:FljQN9JFxB/C83Mv7N3rFNLCxXICRxaKzKDb+Tzsgwo luizyao@centos_7_6_1810
The key's randomart image is:
+---[ECDSA 256]---+
|  .+.. B==. |
|  .o* = X o |
|  .. .* o B = |
|  o .. . X .|
|  . oS = =.|
|  .+  = o|
| E .= . +.|
| . .... o o|
|  .. .. .o.|
+----[SHA256]-----+

下載私鑰到本地：

基于 Mac OS 的實(shí)踐；

使用scp命令下載私鑰：

yaomengdeMacBook-Air:~ yaomeng$ scp luizyao@
:/home/luizyao/.ssh/id_ecdsa ~/.ssh/

yaomengdeMacBook-Air:~ yaomeng$ ssh luizyao@
Enter passphrase for key "/Users/yaomeng/.ssh/id_ecdsa": # 輸入私鑰密碼，登錄失敗
luizyao@www.luizyao.com password: # luizyao 的用戶密碼
Last login: Tue Sep 17 22:50:22 2019

[luizyao@centos_7_6_1810 ~]$ mv ~/.ssh/id_ecdsa.pub ~/.ssh/authorized_keys
[luizyao@centos_7_6_1810 ~]$ ll ~/.ssh/
total 8
-rw-r--r-- 1 luizyao luizyao 185 Sep 17 22:58 authorized_keys
-rw------- 1 luizyao luizyao 314 Sep 17 22:58 id_ecdsa

cat >> ~/.ssh/authorized_keys < ~/.ssh/id_ecdsa.pub