在服务器操作系统中新建用户是保障系统安全的基础操作，核心在于通过命令行工具创建独立账户并配置最小权限原则，无论是Linux还是Windows Server，新建用户的过程本质上都是定义身份验证凭据、分配用户ID（UID）或安全标识符（SID），并将其归属到特定的用户组中,从而实现权限隔离和审计追踪。
掌握服务器操作系统中怎么新建用户，是运维人员构建安全防御体系的第一步，以下将针对Linux和Windows Server两大主流服务器环境，详细解析新建用户的专业流程、参数配置及安全最佳实践。
Linux服务器新建用户的专业方案
Linux服务器主要通过命令行进行用户管理，最核心的命令是useradd和adduser，为了确保操作的专业性和安全性，建议直接使用useradd配合参数进行精细化控制。
-
基础用户创建与密码设置
创建用户不仅需要生成账户,还需要立即设置密码使其激活。- 创建用户：使用
sudo useradd username命令，此时系统会创建一个同名的用户,但默认没有密码且无法登录。 - 设置密码：使用
sudo passwd username，系统会提示输入并确认密码，为了安全,输入的密码不会显示在屏幕上。 - 专业建议：密码应包含大小写字母、数字及特殊符号,长度不少于12位。
- 创建用户：使用
-
精细化参数配置
在生产环境中,新建用户往往需要指定额外的参数以满足业务需求。- 指定家目录：使用
-m参数，例如sudo useradd -m username，这会在/home下创建同名文件夹,作为用户的工作环境。 - 指定Shell：使用
-s参数，例如sudo useradd -s /bin/bash username，若该用户仅需用于FTP传输，可指定为/sbin/nologin,禁止其通过SSH登录系统。 - 指定UID：使用
-u参数，在特定自动化脚本中,固定UID可以避免权限混乱。 - 添加备注：使用
-c参数，记录用户用途或负责人,便于后续审计。
- 指定家目录：使用
-
权限管理与用户组
新建用户默认属于同名组，但通常需要将其加入sudo组以获得管理权限,或加入其他特定组以访问资源。- 赋予sudo权限：执行
sudo usermod -aG sudo username（Debian/Ubuntu系）或sudo usermod -aG wheel username（CentOS/RHEL系）。 - 验证权限：使用
groups username命令查看该用户所属的所有组。
- 赋予sudo权限：执行
Windows Server新建用户的专业方案
在Windows Server环境中，虽然可以使用图形界面（GUI）新建用户，但为了提升效率和便于脚本化管理，推荐使用PowerShell命令,这符合现代服务器自动化运维的趋势。
-
使用PowerShell创建本地用户
PowerShell提供了强大的New-LocalUsercmdlet,支持一次性创建用户并配置属性。
- 基础命令：
New-LocalUser -Name "username" -Password (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force) -Description "运维人员账户"
- 参数解析：
-Name：指定用户名。-Password：要求输入安全字符串，使用ConvertTo-SecureString转换明文密码。-Description：添加用户描述信息。
- 账户状态：新建用户默认可能被禁用，需使用
Enable-LocalUser命令激活。
- 基础命令：
-
用户组管理与权限分配
Windows的权限主要基于用户组（如Administrators、Remote Desktop Users）。- 添加到管理员组：
Add-LocalGroupMember -Group "Administrators" -Member "username"
- 添加到远程桌面组：若需通过RDP登录，应将其加入”Remote Desktop Users”组，而非直接赋予管理员权限,遵循最小权限原则。
- 添加到管理员组：
-
高级安全配置
对于服务器操作系统中怎么新建用户这一课题,Windows环境下的安全配置尤为重要。- 密码策略：确保账户符合域策略或本地安全策略中的密码复杂度要求。
- 账户过期：可通过
AccountExpiresDate参数设置账户的有效期,防止离职员工账户长期滞留。
服务器用户管理的安全最佳实践
无论操作系统类型如何，新建用户时必须遵循严格的安全标准,以降低被提权攻击的风险。
-
强制执行最小权限原则
新建的用户仅应拥有完成其任务所需的最小权限，开发人员不应直接拥有root或Administrator权限,而应通过sudo或特定权限组进行临时提权。 -
禁用默认管理员登录
在Linux中，新建用户后，应修改SSH配置文件/etc/ssh/sshd_config，设置PermitRootLogin no，强制所有用户通过普通身份登录后提权，在Windows中,重命名或禁用默认的Administrator账户。 -
启用审计与日志监控
确保新建用户的登录、提权操作都被记录，Linux可查看/var/log/secure或/var/log/auth.log,Windows可通过事件查看器监控安全日志。 -
配置SSH密钥认证（Linux）
对于服务器运维，建议强制使用SSH密钥对代替密码认证，新建用户后，将公钥写入用户的~/.ssh/authorized_keys文件中，并设置PasswordAuthentication no。
常见问题与排查思路
在实际操作中,新建用户可能会遇到权限被拒绝或登录失败的问题。
-
Linux无法登录
- 检查Shell是否正确：
grep username /etc/passwd，确认末尾不是/bin/false或/sbin/nologin（除非故意为之）。 - 检查家目录权限：确保家目录归属权正确，
chown username:username /home/username。
- 检查Shell是否正确：
-
Windows登录失败
- 检查账户是否被锁定：使用
net user username查看状态。 - 检查“允许通过远程桌面服务登录”策略：确保该用户在本地安全策略中被赋予登录权限。
- 检查账户是否被锁定：使用
掌握服务器操作系统中怎么新建用户，不仅是简单的命令执行，更是对系统权限模型的深度应用，通过标准化的创建流程、严格的参数控制以及后续的权限隔离,可以有效构建服务器安全防线。
相关问答
Q1：在Linux服务器中，新建用户后如何禁止其通过SSH登录，但保留FTP服务权限？
A： 可以在创建用户时，将其Shell设置为/sbin/nologin或/bin/false，例如使用命令sudo useradd -s /sbin/nologin ftpuser，这样用户无法通过SSH获得Shell环境，但如果FTP服务（如vsftpd）配置正确，依然可以验证系统密码进行文件传输，需确保/etc/shells文件中包含该Shell路径,或者FTP服务配置为忽略Shell检查。
Q2：为什么在Windows Server中使用PowerShell新建用户后提示“密码不满足密码策略的要求”？
A： 这是因为Windows Server默认启用了严格的密码策略，新建用户时，密码必须满足以下条件：长度通常至少6个字符（默认策略可能要求更长），包含大写字母、小写字母、数字和非字母字符，密码中不能包含用户名，如果需要临时创建弱密码测试，可以先检查本地安全策略（gpedit.msc）中的“密码策略”，或在PowerShell命令中暂时忽略策略（不推荐生产环境操作）。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/56273.html
