Debian 服务器用户与权限管理：从 useradd 到 sudo

在 Debian 服务器上，用户与权限是最基础、也最容易埋隐患的一环。我的习惯是：日常操作用普通用户，需要提权再用 sudo，root 只留本地应急。

建用户：useradd 与 adduser

新建用户时，一次把家目录和 Shell 建好：

sudo useradd -m -s /bin/bash ops
sudo passwd ops
id ops

-m 建家目录，-s 指定登录 Shell。Debian 的 adduser 更省事，会一步步提示设密码和基本信息，适合新手。建完用 id 核对用户、主组和附加组。

改密码与锁定账号

passwd 改密码，管理员可指定用户：sudo passwd ops。账号暂时不用时别直接删，先锁定：sudo passwd -l ops，恢复用 sudo passwd -u ops。锁定后日志和文件归属还在，交接和追溯都更稳妥。

sudo 授权：一定要用 visudo

最稳妥的授权是把用户加进 sudo 组：

sudo usermod -aG sudo ops
sudo -l -U ops

-aG 是追加，千万别漏 -a，否则会顶掉原有附加组。需要更细的授权再改 sudoers，但必须用 visudo，它会在保存前校验语法。NOPASSWD 只给极少数受限场景，日常不要全开。

禁用 root 远程登录

上线前必做：编辑 /etc/ssh/sshd_config，把 PermitRootLogin 改成 no，确认普通用户能登录且 sudo 可用，再重载服务：sudo systemctl reload ssh。顺序不能反，否则容易把自己锁在门外。

密钥登录与用户组

密钥比密码更难爆破：把公钥放进 ~/.ssh/authorized_keys，.ssh 目录设 700，authorized_keys 设 600，属主必须是本人，权限太开 SSH 会拒绝密钥登录。多人协作时用组管理：sudo groupadd dev 建组，sudo usermod -aG dev ops 加人，共享目录按组授权，人员变动改组关系即可。删用户要慎重，userdel -r 会连家目录一起删，执行前先备份交接。

收尾自查：新用户能登录、sudo 可用、root 不能远程登录、密钥权限正确、闲置账号已锁定，服务器入口就干净多了。