Пользователи, права, процессы / Ступень 8 из 13 · шаг 7 из 8

Приостановить учётную запись

~20 мин

Не запущена Запускается обычно ~20 с

Ситуация

Сотрудник, работавший под учётной записью labpaused, передаёт дела. До конца передачи его учётную запись нужно приостановить: войти под ней нельзя ни по паролю, ни по SSH-ключу. Удалять её рано — в домашнем каталоге лежат заметки для передачи, а фоновый процесс labpaused по договорённости работает до конца передачи.

Задача

Пароль labpaused заблокирован, сам пароль не удалён и не заменён: доступ должно быть можно вернуть.
Срок действия учётной записи истёк — дата окончания в прошлом.
Оболочка входа — /usr/sbin/nologin, домашний каталог в записи прежний.
Ключ из /home/labpaused/.ssh/authorized_keys больше не действует: активного файла ключей нет, его точная копия лежит в /srv/account-review/authorized_keys.saved и доступна только root (владелец root:root, права 600).
Домашний каталог, .ssh и notes.txt на месте с прежними владельцем и правами, содержимое notes.txt не изменилось; другие учётные записи, sudo и настройки SSH не тронуты.
Фоновый процесс labpaused продолжает работать — тот же, что был запущен.

Ограничения

Учётную запись не удаляй и процессы labpaused не завершай.
Учётные записи правятся через sudo.

Нужные инструменты уже установлены. Интернета на машине нет.

Цели лабы

0 из 6

Пароль labpaused заблокирован, прежний пароль сохранён — ещё не проверялась
Срок действия учётной записи истёк — дата окончания в прошлом — ещё не проверялась
Оболочка входа — /usr/sbin/nologin, домашний каталог в записи прежний — ещё не проверялась
Ключ из authorized_keys больше не действует, его копия доступна только root — ещё не проверялась
Домашний каталог, .ssh и notes.txt сохранены, другие учётные записи и настройки не тронуты — ещё не проверялась
Исходный фоновый процесс labpaused продолжает работать — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Пользователи и права · подобрано по лабе

Пользователи и группы

Шпаргалка

$_ — вставить в терминал

id alice uid/gid/группы
sudo useradd -m -s /bin/bash bob создать
sudo usermod -aG sudo bob добавить в группу (с -a, иначе перезапишет все)
sudo passwd bob задать пароль
sudo passwd -l bob заблокировать вход по паролю
sudo chage -M 90 bob максимальный срок пароля — 90 дней
getent group sudo кто в группе

Управление

bash

sudo useradd -m -s /bin/bash alice    # создать (с домашним каталогом -m и shell)
sudo passwd alice                      # задать пароль
sudo usermod -aG sudo alice            # ДОБАВИТЬ в группу (важно -a, иначе перезапишет!)
sudo usermod -aG docker,www-data alice
sudo usermod -s /usr/sbin/nologin svc  # запретить интерактивный вход (сервисный юзер)
sudo gpasswd -d alice docker           # убрать из группы
sudo userdel -r alice                  # удалить вместе с домашним каталогом
sudo groupadd devs                     # создать группу
sudo groupdel devs                     # удалить группу
adduser bob                            # интерактивная обёртка (Debian/Ubuntu)

Частая ошибка. usermod -G grp без -a заменяет все дополнительные группы пользователя — используй usermod -aG, а не -G. Шаблон нового домашнего каталога — /etc/skel.

Пароли, блокировка, su

bash

sudo passwd -l alice              # заблокировать пароль (вход по паролю запрещён)
sudo passwd -u alice              # разблокировать
sudo usermod -L / -U alice        # то же (lock/unlock)
sudo chage -l alice               # политика срока пароля
sudo chage -M 90 -W 7 alice       # макс. срок 90 дней, предупреждать за 7
sudo chage -E 2026-12-31 alice    # дата истечения учётки
sudo passwd -e alice              # потребовать смену при следующем входе

su - bob                          # стать bob (login-shell, своё окружение)
su -                              # стать root (если знаешь пароль root)
sudo -u postgres -i               # лучше: через sudo, без пароля root (см. sudo)

Системные пользователи (демоны) — обычно uid < 1000, nologin, без пароля (useradd -r).

Добавил в группу — не действует

Членство применяется при новом логине. Перелогинься (или newgrp <group> для текущей оболочки). Проверь id.

Случайно перезаписал группы (`-G` без `-a`)

Восстанови нужные: usermod -aG sudo,docker alice. Свериться можно по /etc/group (getent group).

Не могу удалить пользователя — «currently used by process»

Заверши его процессы (pkill -u alice, см. processes) или userdel -f.

Вход запрещён, хотя пароль верный

Учётка/пароль заблокированы (passwd -l/chage -E в прошлом) или shell = nologin. Смотри chage -l, getent passwd (последнее поле — shell).

Права на файлы «не той» группы

SGID-каталог наследует группу для НОВЫХ файлов; старые переведи chgrp -R (см. permissions, chmod-chown).

userdel -r удаляет домашний каталог и почтовый спул безвозвратно — без резервной копии данные не восстановить. Перед удалением проверь, не остались ли процессы или cron-задачи от этого пользователя (pkill -u, crontab -l -u): userdel без -f откажется удалять учётку с активными процессами, а -f удалит её, даже если процессы остались работать от уже несуществующего UID. После удаления освободившийся UID может быть выдан новому пользователю — файлы, оставшиеся с этим UID на диске, станут «его».