Day 4 - 사용자와 계정 관리

계정 정보는 어디에 있나

왜 나눴나: /etc/passwd는 여러 프로그램이 사용자 이름·UID를 조회해야 해서 누구나 읽을 수 있어야 한다. 그런데 비밀번호까지 거기 있으면 누구나 해시를 가져가 크래킹할 수 있다. 그래서 비밀번호만 /etc/shadow로 떼어내 root 전용으로 막았다.

/etc/passwd 한 줄 읽기

   user:x:1000:1000:Test User:/home/user:/bin/bash
     │  │  │    │       │          │          │
     │  │  │    │       │          │          └── ⑦ 로그인 셸
     │  │  │    │       │          └───────────── ⑥ 홈 디렉터리
     │  │  │    │       └──────────────────────── ⑤ 설명(코멘트)
     │  │  │    └──────────────────────────────── ④ GID (기본 그룹)
     │  │  └───────────────────────────────────── ③ UID
     │  └──────────────────────────────────────── ② 비밀번호 자리 (x = shadow 에 있음)
     └─────────────────────────────────────────── ① 사용자 이름

• 필드는 7개, 구분자는 콜론(:) — 이 두 가지를 묻는 문항이 있다.
• 두 번째 필드의 x 는 "실제 비밀번호는 /etc/shadow에 있다"는 표시다.
• 다섯 번째 설명 필드는 비어 있어도 된다. 그래도 콜론은 남으므로(user:x:1000:1000::/home/user:/bin/bash) 필드 수는 언제나 7이다.

/etc/shadow 한 줄 읽기

   alice:$6$Xy3k...:19968:0:99999:7:::
     │      │         │   │   │   │ │││
     │      │         │   │   │   │ ││└─ ⑨ 예약(사용 안 함)
     │      │         │   │   │   │ │└── ⑧ 계정 만료일
     │      │         │   │   │   │ └─── ⑦ 만료 후 유예(비활성) 일수
     │      │         │   │   │   └───── ⑥ 만료 전 경고 일수
     │      │         │   │   └───────── ⑤ 최대 사용 일수
     │      │         │   └───────────── ④ 최소 사용 일수
     │      │         └───────────────── ③ 마지막으로 바꾼 날
     │      └─────────────────────────── ② 암호화된 비밀번호
     └────────────────────────────────── ① 사용자 이름

• /etc/shadow는 9개 필드다. /etc/passwd의 7개와 짝으로 묻는다.
• ③의 날짜는 연·월·일이 아니라 1970년 1월 1일부터 센 일수로 적힌다.
• ②가 $6$로 시작하면 SHA-512 방식으로 암호화됐다는 뜻이다($1$은 MD5, $5$는 SHA-256).
• ② 자리가 !·!!·*이면 비밀번호로 로그인할 수 없는 계정이다. 막 만들어 비밀번호를 아직 정하지 않았거나, 잠갔거나, 시스템 계정인 경우다.

/etc/group 한 줄 읽기

   dev:x:1500:alice,bob
    │  │   │      │
    │  │   │      └── ④ 구성원 목록 (쉼표로 구분)
    │  │   └───────── ③ GID
    │  └───────────── ② 그룹 비밀번호 자리
    └──────────────── ① 그룹 이름

함정: /etc/group의 ④에는 그 그룹을 보조 그룹으로 가진 사용자만 적힌다. 그 그룹이 기본 그룹인 사용자는 여기 나타나지 않는다 — 그 관계는 /etc/passwd의 GID 필드에 적혀 있기 때문이다.

UID 규칙

• UID 0이 root라는 점이 핵심이다. 계정 이름을 바꿔도 UID가 0이면 root다.
• 로그인시키지 않을 계정은 셸을 /sbin/nologin 이나 /bin/false로 지정한다.

계정 다루기

sudo useradd -m alice        # 홈 디렉터리와 함께 생성
sudo passwd alice            # 비밀번호 설정
id alice                     # uid=1001(alice) gid=1001(alice) ...
sudo usermod -aG wheel alice # wheel 그룹에 추가
sudo userdel -r alice        # 홈까지 삭제

함정 둘. ① useradd는 홈 디렉터리를 자동으로 만들지 않는 경우가 있다 — -m이 그 역할이다(배포판 기본 설정에 따라 다르다). ② usermod -G만 쓰면 기존 보조 그룹이 날아간다. 추가하려면 반드시 -aG 를 쓴다.

useradd 옵션은 passwd 필드와 짝이다

useradd의 옵션은 결국 /etc/passwd의 어느 필드를 채울지 정하는 것이다.

sudo useradd -m -u 1500 -g dev -G wheel -c "Kim" -d /home/kim -s /bin/bash kim
grep kim /etc/passwd
# kim:x:1500:1500:Kim:/home/kim:/bin/bash

• 소문자 -g는 기본 그룹(하나), 대문자 -G는 보조 그룹(여러 개) 이다. usermod에서도 같은 뜻이다.
• 옵션을 주지 않은 항목은 기본값으로 채워진다. 그 기본값이 적힌 곳이 따로 있다.

• 계정을 만든 직후에는 비밀번호가 없어 로그인할 수 없다. passwd 이름으로 정해 줘야 비로소 쓸 수 있다.

계정을 잠그는 여러 방법

• 잠금은 /etc/shadow의 암호 앞에 !를 붙여 어떤 비밀번호도 맞지 않게 만드는 방식이다. 계정과 파일은 그대로 남는다.
• 일반 사용자는 passwd로 자기 비밀번호만 바꿀 수 있고, 다른 계정의 비밀번호와 -l·-u·-d는 root만 쓸 수 있다.
• usermod의 나머지 옵션은 useradd와 같다 — -s(셸), -d(홈), -g(기본 그룹), -c(설명). 로그인 이름을 바꾸는 -l 새이름만 따로 기억한다(대문자 -L은 잠금).

그룹

$ id alice
uid=1001(alice) gid=1001(alice) groups=1001(alice),10(wheel),1500(dev)
     │              │                 │
     │              │                 └── 소속 그룹 전부 (기본 + 보조)
     │              └──────────────────── 기본 그룹
     └─────────────────────────────────── 사용자 번호

• 계정을 만들 때 그룹을 지정하지 않으면 사용자와 같은 이름의 그룹이 함께 만들어져 기본 그룹이 되는 것이 일반적이다. 위에서 alice의 기본 그룹이 alice인 이유다.
• 보조 그룹을 추가한 뒤에는 다시 로그인해야 적용된다. 이미 열려 있는 셸은 로그인할 때의 그룹 목록을 그대로 갖고 있다.
• 어떤 사용자의 기본 그룹으로 쓰이고 있는 그룹은 groupdel로 지워지지 않는다.

누가 접속해 있나

$ who
user     pts/0        2026-09-03 09:00 (192.168.0.10)
$ su -
Password:
# whoami
root
# who am i
user     pts/0        2026-09-03 09:00 (192.168.0.10)

• su로 전환한 뒤 whoami는 바뀐 사용자(root)를, who am i는 처음 로그인한 사용자(user)를 보여 준다. 띄어쓰기 하나로 답이 달라진다.

권한을 잠깐 올리기 — su와 sudo

su          # root 로 전환 (환경변수는 그대로)
su -        # root 로 전환 + root 의 환경까지 로드
sudo 명령    # 그 명령 하나만 root 권한으로

• su -의 하이픈이 중요하다. 붙이면 대상 사용자로 로그인한 것처럼 환경 변수·작업 디렉터리까지 바뀐다.
• sudo가 권장되는 이유는 최소 권한 원칙과 감사 추적 때문이다. root 비밀번호를 여러 사람이 공유할 필요도 없다.
• /etc/sudoers는 visudo로 편집한다. 문법 오류를 검사해 주기 때문에, 직접 편집하다 망가뜨리면 sudo 자체를 못 쓰게 된다.

$ pwd
/home/user
$ su
Password:
# pwd
/home/user          ← su : 위치와 환경이 그대로
# exit
$ su -
Password:
# pwd
/root               ← su - : root 의 홈으로, root 의 환경으로

• root가 su로 다른 사용자가 될 때는 비밀번호를 묻지 않는다. 일반 사용자가 전환할 때만 대상 계정의 비밀번호가 필요하다.
• 모든 사용자가 sudo를 쓸 수 있는 것은 아니다. /etc/sudoers에 허용된 사용자·그룹만 가능하다.

root    ALL=(ALL)       ALL
%wheel  ALL=(ALL)       ALL

• 앞의 %는 그룹이라는 표시다. 위 두 번째 줄은 "wheel 그룹의 구성원은 모든 명령을 sudo로 실행할 수 있다"로 읽는다.
• 관리자 그룹의 이름은 배포판마다 다르다 — RedHat 계열은 wheel, Debian·Ubuntu 계열은 sudo 그룹이다. 그래서 usermod -aG wheel alice가 곧 "alice에게 sudo 권한을 준다"는 뜻이 된다.

내일은 이번 주에 익힌 명령들을 한 장으로 묶어 정리한다.

📖 용어

• /etc/passwd : 사용자 계정의 기본 정보를 담은 파일. 콜론으로 구분된 7개 필드.
• /etc/shadow : 암호화된 비밀번호와 만료 정책을 담은 파일. root만 읽을 수 있다.
• UID : 사용자 식별 번호. 0은 root, 1000 이상이 일반 사용자다.
• GID : 그룹 식별 번호.
• 기본 그룹 : /etc/passwd에 기록된 그룹. 새로 만든 파일의 그룹이 된다.
• 보조 그룹 : 추가로 속한 그룹. usermod -aG로 더한다.
• su : 다른 사용자로 전환하는 명령. 대상 계정의 비밀번호가 필요하다.
• sudo : 지정한 명령 하나만 관리자 권한으로 실행하는 명령. 자기 비밀번호를 쓴다.
• visudo : /etc/sudoers를 문법 검사와 함께 안전하게 편집하는 명령.