在麒麟系统中，调整用户主组用usermod -g，添加附加组用usermod -aG或gpasswd；修改后需重新登录生效，通过groups和id命令验证，再测试如docker ps等权限。
在麒麟系统中为用户调整默认主组并补充附加组成员，是实现权限精细化分配的核心操作，直接决定该用户登录后自动获得的组上下文及可访问资源范围。
修改用户的默认主组
用户登录时自动继承的主组（Primary Group）由 /etc/passwd 中的 GID 字段决定，修改它会覆盖原有主组关系，且不保留历史组归属。
执行 sudo usermod -g developers username，将用户 username 的主组强制更改为 developers；此操作会清除其原主组关联，仅保留 developers 作为唯一主组。
这一步不可逆，若需保留原主组权限，请改用添加附加组方式，而非替换主组。
为用户添加一个或多个附加组
附加组（Supplementary Groups）允许用户在不变更主组的前提下，叠加获取多个组的权限，是协作场景下的推荐做法。
方法一：单次添加一个附加组
执行 sudo usermod -aG docker username，-a 参数确保不覆盖已有附加组，仅追加 docker 组。
方法二：一次性加入多个附加组
执行 sudo usermod -aG audio,video,plugdev username，用逗号分隔组名，无需空格；若中间有空格会导致命令解析失败，仅第一个组生效。
方法三：通过 gpasswd 批量管理附加组成员
先执行 sudo gpasswd -a username renderers，再执行 sudo gpasswd -a username editors；该方式适合逐个确认成员关系的审计场景，但效率低于 usermod 一次性操作。
验证组变更是否生效
用户必须重新登录（或新建终端会话）才能加载更新后的组列表，当前 shell 会话中仍沿用旧组信息。
第一步：切换到目标用户并检查实时组成员
执行 su - username → 输入密码 → 运行 groups，输出应包含所有新加入的附加组名。
第二步：确认主组已更新
执行 id username，查看 gid= 行对应组名是否为预期主组，同时 groups= 行列出全部附加组。
第三步：测试关键权限路径
例如，若加入了 docker 组，运行 docker ps 应不再报错“permission denied”，否则说明组变更未生效或 Docker 服务未重启。
