Herramientas de gestión de usuarios

Las distribuciones de Linux suelen proporcionar herramientas de cuentas de la suite de utilidades shadow, pero los valores predeterminados y las interfaces de nivel superior varían. Antes de cambiar una cuenta local, confirma que no se gestione centralmente, revisa el manual local de la orden y mantén una vía de recuperación.

Las órdenes de esta lección modifican el estado de autenticación y propiedad. Practica únicamente en un entorno desechable autorizado, no en un host de producción.

Archivos como /etc/default/useradd, /etc/login.defs y el contenido de plantilla pueden influir en el comportamiento, pero sus funciones varían según la distribución. Puede existir una orden adduser de nivel superior, aunque su interfaz no está estandarizada en todos los sistemas Linux.

La cuenta nueva no suele poder autenticarse mediante una contraseña local utilizable hasta que se establezca una, pero el estado inicial exacto de la contraseña y del bloqueo depende de las herramientas y la política locales. Verifica los registros en vez de darlo por hecho:

$ getent passwd bob
$ sudo passwd -S bob
$ id bob

Un administrador autorizado puede establecer la contraseña de otra cuenta local con:

$ sudo passwd bob

Introduce las contraseñas únicamente en la solicitud protegida, no en argumentos de órdenes, el historial del shell, notas de la lección o conversaciones. La política PAM puede rechazar contraseñas débiles o reutilizadas. Las cuentas gestionadas mediante directorios pueden requerir otra herramienta.

Antes de mover el directorio personal, verifica el destino, la propiedad, el espacio disponible, los procesos activos, los montajes y los servicios. Para los grupos complementarios, -aG significa añadir a la lista actual. Usar -G sin -a sustituye toda la lista de grupos complementarios y puede eliminar acceso de forma inesperada.

Los cambios de grupos suelen afectar a las sesiones de inicio nuevas, no a los procesos que ya se ejecutan con el conjunto de credenciales anterior.

Bloquear una contraseña no detiene necesariamente claves SSH, tokens, tareas programadas, procesos ya activos ni autenticación específica de servicios. Para desactivar una cuenta de forma integral, define la amenaza y las vías de acceso y aplica después una política coordinada que puede incluir caducidad de la cuenta, shell de inicio, acceso a servicios, claves y finalización de sesiones.

Antes de cualquier eliminación:

1. Confirma la cuenta exacta con getent passwd bob e id bob.
2. Identifica procesos activos, tareas programadas, servicios, claves y accesos delegados.
3. Haz un inventario de los archivos propiedad del UID en los sistemas de archivos previstos.
4. Decide si los datos deben transferirse, archivarse, conservarse o eliminarse de forma segura.
5. Confirma que el UID no se reasignará mientras queden archivos huérfanos.

userdel -r no garantiza eliminar archivos fuera de las ubicaciones configuradas del directorio personal y el correo. Eliminar una cuenta también puede dejar propiedades numéricas en archivos, permisos de bases de datos, identidades de aplicaciones y registros de directorios remotos.

Para practicar el ciclo de vida de las cuentas en un entorno aislado, prueba estos laboratorios prácticos:

1. Gestionar cuentas de usuario de Linux con useradd, usermod y userdel - Practica todo el ciclo de administración, desde crear y proteger cuentas hasta modificarlas y eliminarlas.
2. Gestionar grupos de Linux con groupadd, usermod y groupdel - Practica las utilidades principales para añadir, modificar y eliminar grupos.
3. Configurar cuentas de usuario y privilegios sudo en Linux - Aprende técnicas esenciales para gestionar cuentas y privilegios sudo y mejorar la seguridad del sistema.