Ferramentas de Gerenciamento de Usuários

As distribuições Linux normalmente oferecem ferramentas de contas do conjunto de utilitários shadow, mas os padrões e as interfaces de nível superior variam. Antes de alterar uma conta local, confirme que ela não é gerenciada centralmente, consulte o manual local do comando e mantenha um caminho de recuperação.

Os comandos desta lição alteram o estado de autenticação e propriedade. Pratique apenas em um ambiente descartável autorizado, nunca em um host de produção.

Arquivos como /etc/default/useradd, /etc/login.defs e o conteúdo do diretório de modelos podem influenciar o comportamento, mas suas funções variam conforme a distribuição. Pode existir um comando adduser de nível superior, porém sua interface não é padronizada em todos os sistemas Linux.

A nova conta normalmente não consegue se autenticar com uma senha local válida até que uma seja definida, mas o estado inicial exato da senha e do bloqueio depende das ferramentas e políticas locais. Verifique os registros em vez de fazer suposições:

$ getent passwd bob
$ sudo passwd -S bob
$ id bob

Um administrador autorizado pode definir a senha de outra conta local com:

$ sudo passwd bob

Digite senhas somente no prompt protegido, não em argumentos de comandos, no histórico do shell, nas anotações da lição nem em conversas. A política do PAM pode rejeitar senhas fracas ou reutilizadas. Contas gerenciadas por serviços de diretório podem exigir outra ferramenta.

Antes de mover o diretório pessoal, verifique o destino, a propriedade, o espaço disponível, os processos em execução, as montagens e os serviços. Para grupos suplementares, -aG significa acrescentar à lista atual. Usar -G sem -a substitui toda a lista de grupos suplementares e pode remover acessos inesperadamente.

As alterações de grupos normalmente afetam novas sessões de login, não os processos que já estão em execução com o conjunto antigo de credenciais.

O bloqueio de uma senha não necessariamente impede chaves SSH, tokens, tarefas agendadas, processos já em execução nem a autenticação específica de serviços. Para desabilitar uma conta de forma abrangente, defina a ameaça e os caminhos de acesso e aplique uma política coordenada, que pode incluir a expiração da conta, o shell de login, o acesso a serviços, chaves e o encerramento de sessões.

Antes de qualquer remoção:

1. Confirme a conta exata com getent passwd bob e id bob.
2. Identifique processos em execução, tarefas agendadas, serviços, chaves e acessos delegados.
3. Faça um inventário dos arquivos pertencentes ao UID nos sistemas de arquivos pretendidos.
4. Decida se os dados devem ser transferidos, arquivados, mantidos ou excluídos com segurança.
5. Confirme que o UID não será reatribuído enquanto ainda houver arquivos órfãos.

userdel -r não garante a remoção de arquivos fora dos locais configurados para o diretório pessoal e a caixa de correio. A exclusão da conta também pode deixar propriedades numéricas em arquivos, permissões de bancos de dados, identidades de aplicações e registros em diretórios remotos.

Para praticar o ciclo de vida das contas em um ambiente isolado, experimente estes laboratórios práticos:

1. Gerenciamento de Contas de Usuário Linux com useradd, usermod e userdel — Pratique todo o ciclo de administração de usuários, desde a criação e proteção de novas contas até sua modificação e exclusão.
2. Gerenciamento de Grupos Linux com groupadd, usermod e groupdel — Adquira experiência prática com os principais utilitários de linha de comando para administração de grupos, incluindo a adição, a modificação e a exclusão de grupos.
3. Configuração de Contas de Usuário e Privilégios sudo no Linux — Aprenda técnicas essenciais de gerenciamento de contas de usuário e privilégios sudo para aumentar a segurança de um sistema Linux.