Linux创建用户时默认启用私有组机制，即自动创建与用户名同名的主组，仅含该用户一人，以隔离权限、简化协作并符合POSIX标准；由/etc/login.defs中USERGROUPS_ENAB控制，默认yes。
Linux系统在创建用户时，默认会为每个用户创建一个与其用户名同名的私有组（Private Group），这是现代主流发行版（如RHEL、CentOS、Fedora、Debian、Ubuntu）的默认行为，目的是简化权限管理并增强安全性。
私有组机制的核心设计逻辑
私有组机制指：当执行 useradd username（不带 -g 或 -G 参数）时，系统自动创建一个名为 username 的新组，并将该组设为用户的主组（primary group）。此组默认仅包含该用户一人。
- 避免多个用户共享同一主组（如传统 users 组），减少文件误写风险
- 使 umask 002 等设置下新建文件的组写权限能精准作用于协作场景（配合额外加入的附加组）
- 满足 POSIX 标准对“每个用户应有唯一主组”的推荐实践
/etc/login.defs 中的关键控制参数
私有组是否启用，由 /etc/login.defs 文件中的 CREATE_HOME 和 USERGROUPS_ENAB 共同决定：
- USERGROUPS_ENAB yes：启用私有组（默认值），useradd 自动建同名组
- USERGROUPS_ENAB no：禁用私有组，新用户主组统一设为 GROUP 指定的组（如 users）
- GROUP 行定义 fallback 主组 ID（仅在 USERGROUPS_ENAB no 时生效）
注意：useradd -N 可临时跳过私有组创建；useradd -g existinggroup 则直接指定主组，也不触发私有组。
与 legacy group 模式的区别
早期 Unix 系统常采用“单一公共组”模式（如所有用户主组都是 users），而私有组是其演进结果：
- 旧模式下，用户间文件默认不可写（除非设 umask 002 且目录设 setgid），协作需手动维护附加组
- 私有组模式下，用户家目录权限天然隔离（drwx------），同时可通过 usermod -aG dev,web username 精确授权
- 系统服务账户（如 nginx, mysql）通常不启用私有组，因其主组多为专用功能组（nginx, mysql）
实际验证与常见误区
可通过以下命令确认当前策略效果：
- getent group username —— 查看是否存在同名私有组
- id username —— 观察 uid、gid（主组ID）是否一致，及 groups 列表
- ls -ld /home/username —— 家目录属组应为该私有组，且权限通常为 drwxr-x---
误区提醒：私有组 ≠ 无法加入其他组；它只是主组身份，用户仍可自由添加多个附加组（-G），用于项目协作或服务访问控制。
