<p>创建普通运维用户opsadmin：1. 用useradd -m -s /bin/bash -c "Ops Admin" opsadmin创建并配置基础属性；2. 用passwd opsadmin设置强密码；3. 通过usermod -aG sudo（Ubuntu）或wheel（RHEL）赋予sudo权限；4. 验证su - opsadmin及sudo whoami，并可选SSH密钥认证、密码过期策略和家目录权限加固。</p>
创建一个普通运维管理用户，核心是让该账号既能日常登录操作，又具备必要权限（如执行 sudo 命令），同时不拥有 root 权限，符合最小权限原则。
1. 创建用户并配置基础属性
用 useradd 命令创建账号，推荐带上以下参数：
-
-m：自动创建家目录（如
/home/opsadmin） - -s /bin/bash：指定交互式 shell，避免登录失败
- -c "Ops Admin"：添加备注，便于识别用途
- -u 1025（可选）：手动指定 UID，避开系统保留范围（1–499）和默认起始值（1000）
示例命令：
sudo useradd -m -s /bin/bash -c "Ops Admin" opsadmin2. 设置登录密码
刚创建的用户无密码，无法登录。必须立即设置：
sudo passwd opsadmin按提示输入两次强密码（建议含大小写字母、数字、符号，长度 ≥8）。
3. 加入 sudo 组获取提权能力
运维人员通常需要临时执行管理员命令，而不是直接用 root。将用户加入 sudo 组（Debian/Ubuntu）或 wheel 组（RHEL/CentOS/Fedora）即可：
- Ubuntu/Debian：sudo usermod -aG sudo opsadmin
- RHEL/CentOS：sudo usermod -aG wheel opsadmin
注意：-aG 是追加组，不会覆盖已有附加组；若漏掉 -a，会清空原有附加组。
4. 验证与可选加固
验证是否生效：
- 切换用户：su - opsadmin，确认能进入家目录
- 测试提权：sudo whoami，应返回
root - 检查组归属：groups opsadmin，应包含
sudo或wheel
可选加固项：
- 禁用密码登录，改用 SSH 密钥认证（更安全）
- 用 chage -M 90 -W 7 opsadmin 设置密码90天过期、提前7天提醒
- 确保
/home/opsadmin权限为700（chmod 700 /home/opsadmin）
