linux用户账号全生命周期管理需坚持“可追溯、可控制、可回收”，涵盖创建审批、最小权限分组、闲置账户识别（90天无登录+密码过期+非交互shell）及自动清理机制。
Linux系统用户账号全生命周期管理，核心在于“可追溯、可控制、可回收”。它不是一次性创建完就放任不管，而是从创建、权限分配、使用监控，到停用、锁定、定期清理形成闭环。闲置账户是安全高危点，必须建立自动识别+人工复核+定时清理机制。
一、账号创建与初始化规范
杜绝随意添加用户，所有账号须经审批并记录用途、责任人、有效期。
- 统一使用 adduser（交互式）或 useradd -m -c "备注" -s /bin/bash 创建，强制生成家目录和基础shell环境
- 禁用密码登录的账号，必须指定 -s /usr/sbin/nologin 或 /bin/false，避免空shell被利用
- 新用户首次登录强制改密：执行 chage -d 0 username，下次登录即触发密码重置
- 敏感系统建议启用SSH密钥认证，并在创建时同步部署 ~/.ssh/authorized_keys，禁用密码登录（PermitRootLogin no + PasswordAuthentication no）
二、权限最小化与分组管控
不直接给用户sudo权限，通过用户组实现批量授权与快速回收。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 按职能建组（如 devops、dbadmin），将用户加入对应组，再对组配置sudo规则（/etc/sudoers.d/devops）
- 限制sudo命令范围，例如：%devops ALL=(ALL) /usr/bin/systemctl start nginx, /usr/bin/journalctl -u nginx
- 定期检查组成员：用 getent group 组名 或 members 组名（需安装 whois 包）
- 禁用默认wheel组的无限制sudo，注释掉 %wheel ALL=(ALL) ALL 行
三、识别闲置账户的实用方法
闲置 ≠ 从未登录，而是长期无有效活动。结合登录日志、密码过期、shell类型综合判断。
- 查90天内无登录的普通用户：last -a | awk '{print $1}' | sort | uniq -c | sort -n | awk '$1/dev/null | grep "Password expires" | grep "never\|never\|password must be changed" >/dev/null || echo {}'
- 更稳妥方式：统计 /var/log/btmp（失败登录）和 /var/log/wtmp（成功登录），用 last -s "-90 days" -n 10000 | awk '{print $1}' | sort | uniq -c | sort -n
- 筛选出shell为 /sbin/nologin 或 /bin/false 且密码已过期的账号：awk -F: '$7 ~ /nologin|false/ && $2 != "*" {print $1}' /etc/shadow | while read u; do chage -l "$u" 2>/dev/null | grep -q "Password expires.*never\|Password must be changed"; [ $? -eq 0 ] && echo "$u"; done
- 排除系统账号：过滤UID awk -F: '$3 ），重点关注UID ≥ 1000的普通用户
四、自动化清理与审计留痕
清理前必须备份、通知、留档，不可直接删除。推荐先锁定，观察一周再归档或删除。
- 锁定账户（保留记录，禁止登录）：usermod -L username（等价于加!前缀到/etc/shadow密码字段）
- 设置账户过期时间（软性停用）：chage -E $(date -d "+30 days" +%Y-%m-%d) username
- 导出待清理清单并邮件通知负责人：echo "$(date): 下列账户90天未登录，将于7日后锁定，请确认是否仍需使用" > /tmp/inactive_report.txt && last -s "-90 days" | awk '{print $1}' | sort | uniq -c | awk '$1> /tmp/inactive_report.txt
- 每月执行脚本示例（保存为 /usr/local/bin/clean-inactive.sh，配合cron）：
#!/bin/bash
LOG="/var/log/account_cleanup_$(date +\%Y\%m).log"
echo "=== $(date) ===" >> $LOG
for u in $(last -s "-90 days" 2>/dev/null | awk '{print $1}' | sort | uniq -c | awk '$1 [ $(id -u $u 2>/dev/null) -ge 1000 ] && {
echo "Locking $u (no login in 90 days)" >> $LOG
usermod -L $u
}
done
