最直接可靠的方式是读取 /etc/group 文件获取本地组名，而 getent group 可获取包括 ldap/nis 在内的全量组；groups 和 id 仅显示用户实际拥有的组权限，无法列出系统中所有组。
最直接、最可靠的方式是读取 /etc/group 文件——它就是系统所有本地组的唯一权威来源，不依赖服务、不缓存、不合并网络目录。
cat /etc/group 提取组名（纯本地组）
每行格式为 组名:x:GID:成员列表，只需取第一个字段即可：
- 提取全部组名：
cut -d: -f1 /etc/group - 去重并排序（防重复或意外空行）：
cut -d: -f1 /etc/group | sort -u - 避免匹配到注释或损坏行（如含空格）：
awk -F: '$1 !~ /^[[:space:]]*$/ {print $1}' /etc/group
注意：/etc/group 中的“成员列表”字段只包含附加用户，主组用户不会出现在这里——但这不影响组名本身的完整性。
getent group 获取全量组（含 LDAP/NIS 等）
当系统启用了 SSSD、LDAP 或 NIS 时，/etc/group 只反映本地组；而 getent group 按 /etc/nsswitch.conf 中 group: 行的顺序查询所有源：
- 查所有可用组（本地 + 网络）：
getent group - 只取组名：
getent group | cut -d: -f1 - 查特定组是否存在（比
grep更准）：getent group sudo，避免误匹配注释或子字符串
getent 不返回空组（即无成员且未被设为主组的组），这点和 cat /etc/group 不同——如果你需要确认某个组是否“存在”，它更接近权限生效视角。
groups 和 id 命令不适用于“查所有组”
这两个命令只显示当前用户（或指定用户）**实际拥有的组权限**，即主组 + 所有附加组：
-
groups输出类似users sudo docker -
id -Gn输出相同内容，但更稳定（不受别名或 shell 配置影响）
它们完全不体现系统里那些尚未分配给任何用户的空组（比如刚用 groupadd 创建但还没加人的组），也不包含仅用于服务的系统组（如 crontab、syslog），除非该用户已被显式加入。
真正容易被忽略的是：组名本身不区分“本地”或“网络”，但查询方式决定了你能看到哪些。如果不确定环境是否启用外部目录服务，先跑一遍 getent group | wc -l，再对比 cat /etc/group | wc -l——差值就是网络来源的组数。
