Vam tancar el Mòdul 4 amb una llista de deutes, i aquesta lliçó salda el primer i el més incòmode: svc-tramontana existeix «per art de màgia» i el grup tramontana no existeix en absolut. Has estat escrivint chown svc-tramontana:tramontana sobre fitxers el grup dels quals ningú no havia creat mai. Això avui s'acaba. Veuràs què és de debò una identitat a Linux —un número, no un nom—, quins fitxers són la font de la veritat i què conté cada camp, com es creen comptes de persona i comptes de servei (que no s'assemblen en res), i per què l'error més car de tot el mòdul cap en una lletra que falta: usermod -G en lloc de usermod -aG.

1. El model d'identitat: UID, GID i grups suplementaris
2. Els quatre fitxers de la veritat, camp a camp
3. Tipus de compte i el rang d'UID de /etc/login.defs
4. Crear usuaris: useradd, adduser i /etc/skel
5. Contrasenyes: fixar, bloquejar i el significat de ! i *
6. Modificar i esborrar comptes, i els fitxers orfes
7. Caducitat de comptes amb chage
8. Grups: crear, modificar i per què cal reobrir sessió
9. Comptes de servei: per què l'aplicació mai no corre com a root
10. Auditoria: qui és qui i qui ha entrat
11. Cas Tramontana: saldar el deute del mòdul anterior

El nucli no sap què és operador. El nucli només maneja números:

• UID (User ID): identifica l'usuari. El propietari d'un fitxer és un número guardat a l'inode, no una cadena.
• GID (Group ID): identifica un grup. Cada usuari té un grup primari (el que hereta un fitxer nou que crea) i zero o més grups suplementaris.

Els noms només existeixen per a la nostra comoditat, i la traducció número→nom la fa la biblioteca del sistema llegint /etc/passwd i /etc/group. Per això, si esborres un usuari, ls -l comença a mostrar números crus: el fitxer conserva l'UID 1003 encara que ja ningú no es digui així.

Llegeix-ho així: operador és el 1000, el seu grup primari és operador (1000) i pertany a més a adm i sudo com a suplementaris. Aquesta distinció importa:

El primari es defineix al camp 4 de /etc/passwd i és el que s'assigna als fitxers que l'usuari crea; els suplementaris es defineixen al camp 4 de /etc/group i només amplien l'accés. El grup efectiu d'un procés es pot canviar en calent amb newgrp o sg.

A Ubuntu, per defecte cada usuari rep un grup propi amb el seu mateix nom (esquema UPG, User Private Group). No és un caprici: permet treballar amb umask 002 sense exposar els fitxers a mitja màquina, perquè «el grup» ets només tu.

Set camps separats per :. És llegible per tothom (644) perquè qualsevol procés necessita traduir UID a nom per a un simple ls -l.

Nou camps. Permisos 640, propietat root:shadow: llegible per root i pel grup shadow, invisible per a la resta. Allà hi ha el resum criptogràfic, i un resum llegible per qualsevol és un resum que algú acabarà trencant amb una GPU.

El resum té format $id$paràmetres$sal$hash. A Ubuntu 24.04 l'algorisme per defecte és yescrypt ($y$), que va substituir SHA-512 ($6$) per ser resistent a atacs amb GPU i ASIC gràcies al seu cost en memòria:

Quatre camps: nom, contrasenya (x), GID i llista de membres suplementaris. Compte: qui tingui aquest grup com a primari no apareix en aquesta llista. /etc/gshadow (640, root:shadow) guarda la contrasenya del grup —una raresa que gairebé ningú no fa servir— i els administradors del grup, que poden afegir membres amb gpasswd sense ser root.

Qui decideix aquests rangs és /etc/login.defs:

L'important: UID 0 és root no pel nom, sinó pel número. Si crees un segon compte amb UID 0, tens dos roots i cap auditoria que els distingeixi a l'inode. No ho facis mai.

useradd és l'eina de baix nivell de la suite shadow: fa exactament el que li demanes, ni una cosa més. Les seves opcions clau:

adduser és un script en Perl de Debian que embolcalla useradd i fa el que un humà espera: tria l'UID lliure, crea el home amb permisos correctes, crea el grup propi, copia /etc/skel, pregunta la contrasenya i omple el GECOS de manera interactiva. Comparació honesta:

Regla pràctica: a mà, adduser; en un script, useradd, perquè el seu comportament no depèn d'un fitxer de configuració distribuït.

/etc/skel (que a Ubuntu conté .bashrc, .profile i .bash_logout) és la plantilla del home: tot el que hi ha a dins es copia en crear el compte amb -m. És el lloc per imposar un .bashrc corporatiu o l'indicador vermell de producció del Mòdul 3.

Bloquejar i desbloquejar:

La L de passwd -S és «locked»; P seria contrasenya utilitzable i NP sense contrasenya, que és una emergència.

usermod -L fa el mateix que passwd -l sobre el resum. La diferència pràctica no és entre ells, sinó en el que cap dels dos fa: bloquejar la contrasenya no impedeix entrar per clau SSH, ni mata les sessions obertes. Per a una baixa de personal de debò cal la combinació completa:

-e 1 fixa la caducitat al 2 de gener de 1970: el compte queda expirat i PAM rebutja l'accés vingui per on vingui.

usermod canvia el que ja existeix. I aquí hi ha l'error clàssic del mòdul:

Sense la -a (append), operador surt de sudo i d'adm en el mateix instant. Si a sobre la sessió de root estava tancada, acabes de perdre l'administració de la màquina i toca arrencar en mode de recuperació. Comprova sempre abans i després amb id.

Altres usos habituals:

Esborrar:

userdel -r no troba el que l'usuari va deixar fora del seu home: un fitxer a /srv, un cron, un temporal. Aquests fitxers queden amb un UID sense nom i, pitjor encara, el següent usuari que rebi aquest UID n'heretarà la propietat. Auditoria obligatòria abans de reassignar:

Avís de compliment. Les altes i baixes de personal no són una tasca tècnica aïllada: en un entorn real han de seguir un procediment aprovat (qui autoritza, en quin termini es revoca l'accés, què es fa amb els fitxers de l'empleat, que poden contenir dades personals d'hostes). Documenta cada alta i cada baixa amb data i autoritzant, i que el responsable de seguretat o de compliment (RGPD) validi el procediment abans d'aplicar-lo.

chage maneja els camps 3 a 8 de /etc/shadow sense que hagis de comptar dies des de 1970.

La política de contrasenyes de debò —longitud mínima, complexitat, diccionari, historial— no viu aquí: la imposa PAM amb pam_pwquality, i és matèria de 06-06. chage només posa els terminis.

gpasswd -a i usermod -aG fan el mateix; gpasswd té l'avantatge de no admetre l'error de la -a oblidada, perquè la seva sintaxi sempre és additiva.

I ara el detall que fa perdre tardes senceres: afegir algú a un grup no afecta les seves sessions obertes.

La raó és que els grups suplementaris es fixen en el moment de l'accés, queden gravats a les credencials del procés i s'hereten als fills. Cap fitxer de configuració no canviarà un procés que ja s'està executant. Les sortides:

El correcte és tancar la sessió i tornar a entrar. I el mateix val per als serveis: si canvies els grups de svc-tramontana, cal reiniciar el servei, no n'hi ha prou a recarregar.

Una aplicació exposada al port 8080 és la porta d'entrada més probable al teu servidor. Si corre com a root, qualsevol fallada d'execució remota és game over: la màquina sencera. Si corre com a svc-tramontana, l'atacant hereta una identitat que no pot llegir /etc/shadow, no pot escriure a /etc, no pot instal·lar res i no pot llegir els fitxers d'altres usuaris.

El que distingeix un compte de servei:

• UID de sistema (-r, per sota de 1000) i sense caducitat: un compte de servei que caduca tomba el servei a les 3 de la matinada.
• Sense shell d'accés: /usr/sbin/nologin (imprimeix un missatge i surt amb error) o /bin/false.
• Sense contrasenya utilitzable (! o * a shadow) i sense home propi: normalment apunta al directori de l'aplicació.

getent sempre és preferible a grep /etc/passwd: el dia que l'empresa afegeixi un directori corporatiu, grep mentirà i getent continuarà dient la veritat.

Estat de partida a srv-tramontana: operador (1000) i luis (1001) existeixen; svc-tramontana i el grup tramontana no, encara que mig mòdul en parlava. Ho arreglem en ordre, i amb còpia prèvia dels fitxers d'identitat tal com mana la convenció del curs.

-M impedeix crear el home: /opt/tramontana ja existeix i no volem que useradd hi aboqui /etc/skel a sobre. Verifiquem abans de tocar res més:

Ara la propietat dels directoris, que fins avui era una promesa:

Fixa't en l'o=: ningú de fora del grup no veu res, aplicant la convenció de «grup compartit en comptes de permisos a altres». Aquell 2 de 2770 a uploads és el bit SGID, que fa que tot el que es creï a dins pertanyi al grup tramontana sense dependre de qui ho creï; el desglossem a la lliçó següent.

I la documentació, que és part de la feina:

• usermod -G sense -a. L'error més car de la lliçó: substitueix la llista sencera i pot treure't de sudo. Abans de tocar grups, guarda la sortida d'id usuari; després, compara-la.
• Esperar que un grup nou funcioni a la sessió actual. No passarà. id usuari consulta la base de dades, id a seques consulta la teva sessió. Tanca i obre sessió, i reinicia els serveis afectats.
• Editar /etc/passwd o /etc/shadow amb nano. Fes servir vipw i vipw -s (i vigr per als grups): bloquegen el fitxer i en validen la sintaxi en sortir. Un shadow corromput és un servidor on no entra ningú.
• Crear el compte de servei amb shell. Si svc-tramontana té /bin/bash, qualsevol via que aconsegueixi executar com ell aconsegueix un shell interactiu. nologin no és cosmètica.
• Confondre bloquejar amb deshabilitar. passwd -l no impedeix l'accés per clau SSH. Per a una baixa: usermod -L -e 1 -s /usr/sbin/nologin i pkill -u. I no reutilitzis l'UID d'un compte esborrat sense auditar abans amb find -uid.
• Consell: fixa els UID i GID de servei (997, 1002) explícitament i anota'ls. El dia que restauris una còpia en una altra màquina, els números han de coincidir o els permisos es descol·locaran en bloc.

1. Alta completa d'un becari. Crea el compte becari amb useradd: home propi, shell Bash, GECOS «Becari Operacions», membre suplementari de tramontana, contrasenya que s'hagi de canviar en el primer accés i caducitat del compte el 31 de desembre de 2026. Verifica-ho tot sense obrir-hi sessió.
2. Diagnòstic d'un desastre. Algú ha executat sudo usermod -G tramontana operador. Descriu el símptoma exacte que veurà operador en el seu següent inici de sessió, com ho confirmaries i com ho repares si ja no tens sudo.
3. Auditoria de comptes. Escriu una ordre que llisti, a partir de /etc/passwd, únicament els comptes de persona (UID ≥ 1000, excloent-hi nobody) amb el seu shell, i una altra que detecti comptes amb contrasenya buida a /etc/shadow.

1.

Aquí -G sense -a és correcte, perquè el compte s'està creant i no hi ha grups previs a perdre. La -a només importa a usermod.

2. El símptoma: operador inicia sessió amb normalitat, però qualsevol sudo respon operador is not in the sudoers file. This incident will be reported., i a més perd l'accés de lectura als registres que li donava adm. Confirmació:

Falten 4(adm) i 27(sudo). Reparació amb privilegis: sudo usermod -aG adm,sudo operador i reobrir sessió. Sense sudo i sense cap altre compte administrador, no hi ha drecera des de dins: cal reiniciar la VM, editar l'entrada de GRUB per arrencar amb init=/bin/bash, tornar a muntar l'arrel amb mount -o remount,rw / i executar usermod -aG adm,sudo operador. Aquest procediment de recuperació es veu a fons a 07-01; que existeixi és precisament la raó que l'accés físic o a la consola de la VM sigui, en si mateix, accés d'administrador.

3.

El silenci a la sortida significa que no n'hi ha cap, que és exactament el que vols veure: la convenció de «silenci si tot va bé» aplicada a una auditoria.

Ja no queda màgia a les identitats de srv-tramontana. Saps que un usuari és un número; llegeixes els nou camps de /etc/shadow, reconeixes un resum $y$ de yescrypt i distingeixes !, * i el camp buit; separes comptes de sistema de comptes de persona pel rang d'UID de /etc/login.defs; crees comptes amb useradd en scripts i amb adduser a mà, sabent què aporta /etc/skel; fixes terminis amb chage i deixes la política de contrasenyes per a 06-06; i has interioritzat que usermod -G sense -a és una manera ràpida de perdre la màquina i que un grup nou no existeix fins que es reobre la sessió.

I, sobretot, has saldat el deute: el grup tramontana (gid 1002) existeix, svc-tramontana (uid 997) és un compte de sistema real sense shell ni contrasenya, operador i luis són al grup, /opt/tramontana i /srv/tramontana/backups tenen amo i el canvi està anotat a l'HISTORIAL.

Falta l'altra meitat de l'equació. Tens identitats, però sudo continua sent una paraula màgica que escrius sense saber qui decideix què et permet fer, i els bits estranys que vas veure de reüll a 02-07 —aquella s en lloc de la x— continuen sense explicació, encara que n'acabes de fer servir un en posar 2770 a uploads. A la lliçó següent, sudo i Permisos Especials, s'acaben totes dues coses: escriuràs una regla de sudoers que permeti a operador reiniciar i desplegar l'aplicació sense ser root, entendràs SUID, SGID i el bit sticky de debò, substituiràs un SUID per capabilities perquè l'aplicació pugui escoltar al port 80, i donaràs al Luis accés als registres amb una ACL sense ficar-lo al grup adm.