Linux用户组无密码机制，临时授权需用newgrp、sg或ACL：newgrp切换当前会话主组（仅对已有成员），sg以指定组身份执行命令（推荐外部人员），ACL直接授予权限（无需加组）。

Linux 的用户组本身不支持“组密码”机制，标准 POSIX 权限模型中，组（group）没有密码字段，也不提供通过密码加入组的功能。/etc/group 文件中第二字段为 x（表示密码存于 /etc/gshadow），但即使存在 gpasswd 设置的组密码，普通用户也无法凭此“临时加入”一个组——加入组是管理员行为，必须由 root 或具备相应权限者执行。

不过，你的需求本质是：

让外部人员在无 root 权限前提下，临时获得某组的权限（比如访问共享目录、运行特定程序）

这可以通过以下安全、可行、无需 root 介入的替代方案实现：

✅ 方案一：使用 newgrp 命令（需组已设密码且用户已在 /etc/group 中）

• 前提：
  • 该组已被 root 设置了组密码（sudo gpasswd groupname）
  • 你已是该组的成员（groups 命令可见），只是当前 shell 会话未激活该组
• 操作：

  newgrp groupname

  输入组密码后，当前 shell 会话的有效主组（effective group ID）切换为该组，新建文件自动归属该组，也能访问 g+rwx 的组级资源。

• 注意：仅对当前终端会话生效；退出后恢复原组；不能把非成员用户“加进组”，只对已有成员生效。

✅ 方案二：用 sg 命令以指定组身份执行命令（推荐给外部人员）

• 外部人员无需被加进组，只需知道组名和组密码（由管理员提前设置）：

  sg groupname -c "your-command-here"

• 示例（访问一个组可写的共享目录）：

  sg projectteam -c "ls -l /shared/project"

• 优点：一次一用、不改变用户长期身份、不需修改 /etc/group，适合临时协作。

✅ 方案三：基于文件系统 ACL（Access Control List）授权

• 管理员可为目录或文件单独授予某用户组外的特定用户权限，无需将其加入系统组：

  # root 执行（一次配置，长期有效）
  setfacl -m u:externaluser:rwx /shared/project
  setfacl -d -m u:externaluser:rwx /shared/project  # 默认 ACL，对新建文件也生效

• 外部用户登录后即可直接访问，完全绕过组管理，且权限精细可控（读/写/执行可分设）。

⚠️ 不可行的做法（常见误解）

• ❌ usermod -aG groupname username：必须 root 执行，普通用户无法调用；
• ❌ 编辑 /etc/group：普通用户无写权限，且修改后需重新登录才可能生效；
• ❌ “让外部人输组密码就自动加入”：Linux 内核和 PAM 不支持该流程，不存在此类机制。

真正能落地的“临时授权”，核心逻辑是：
不改身份，只借权限 —— 用 sg 执行、用 newgrp 切换、用 setfacl 直授，三者都规避了对用户账户本身的修改，也无需 root 实时参与每次授权。

不复杂但容易忽略。