Le compte super-utilisateur, habituellement appelé root, est préconfiguré pour simplifier l'administration système, et ne devrait pas être utilisé pour des tâches quotidiennes comme l'envoi et la réception de courrier électronique, l'exploration du système, ou la programmation.

Cela parce que le super-utilisateur, à la différence des comptes utilisateurs ordinaires, peut agir sans aucune limite, et une mauvaise utilisation du compte super-utilisateur peut être à l'origine de résultats catastrophiques. On ne peut (normalement !) pas endommager par erreur le système avec un compte utilisateur, il est donc généralement préférable d'utiliser des comptes utilisateur ordinaires chaque fois que c'est possible, à moins d'avoir particulièrement besoin de droits supplémentaires.

Vous devriez toujours vérifier et revérifier les commandes que vous tapez en tant que super-utilisateur, parce qu'un espace en trop ou un caractère manquant peuvent signifier la perte définitive de données.

Les utilisateurs système sont ceux utilisés pour exécuter des services comme le DNS, le courrier électronique, les serveurs web, et ainsi de suite. La raison de cela est la sécurité; si tous les services s'exécutaient avec les droits du super-utilisateur, ils pourraient agir sans aucune restriction.

Des exemples d'utilisateurs système sont daemon, operator, bind (pour le serveur de noms de domaine), news, et www

nobody est l'utilisateur sans privilèges générique du système. Cependant, il est important de garder à l'esprit que plus grand est le nombre de services utilisant nobody, plus grand sera le nombre de fichiers et de processus associés à cet utilisateur, et par conséquent plus grand sera le nombre de privilèges de cet utilisateur.

Les comptes utilisateur sont le principal moyen pour les véritables utilisateurs d'accéder au système, ces comptes isolent l'utilisateur du reste de l'environnement, empêchant les utilisateurs d'endommager le système et ou les comptes d'autres utilisateurs, tout en leur permettant de personnaliser leur environnement sans incidence pour les autres utilisateurs.

Chaque personne accédant à votre système ne devrait posséder que son propre et unique compte. Cela vous permet de savoir qui fait quoi, empêche un utilisateur de désorganiser l'environnement d'un autre ou de lire du courrier électronique qui ne lui est pas destiné, et ainsi de suite.

Chaque utilisateur peut configurer son propre environnement en fonction de ses besoins, pour utiliser d'autres interpréteurs de commandes, éditeurs, raccourcis de clavier, et langues.

GNU/Linux propose désormais de stocker les mots de passe dans un fichier à part : /etc/shadow (uniquement accessible au super-utilisateur. Ce mécanisme communément appelé « shadow password » est disponible sur toutes les distributions. En particulier, sur Debian cette option est explicitement proposée au moment de l'installation, il convient de l'adopter. La seule contre-indication à l'utilisation de cette stratégie concerne l'éventuel usage de votre machine comme serveur NIS/NFS.

Quand cette stratégie est activée, le champ mot de passe (deuxième champ) du fichier /etc/passwd est marqué par un x. Le fichier /etc/shadow contient donc l'encodage (ou hashage) des mots de passe et fournit des services supplémentaires non disponibles dans /etc/passwd. Attention, les deux fichiers sont nécessaires, l'un ne remplaçant pas l'autre !

Le fichier /etc/shadow est un fichier texte qui contient une ligne par utilisateur. Il est structuré en neuf champs, comme suit :

loginname:password:lcdate:mindays:maxdays:ndays1:ndays2:expiration:reserved

La sémantique associée à ces champs est la suivante :

Un exemple typique de ligne extraite du fichier /etc/shadow :

ikare:$1$wIZyw9H3u$Q7T2rxyPVKAlabue$.1n0:12144:0:180:7::12294:                  

	Le dernier changement de mot de passe a eu lieu le 2 avril 2003 (12144 jours depuis 01.01.1970) .
	Le mot de passe a une validité de 180 jours.
	Il y a un délai de 7 jours pour changer le mot de passe.
	Le compte expire le 30 août 2003 (12294 jours depuis le 01.01.1970).

Il existe un fichier /etc/gshadow dont le rôle est similaire à celui du fichier /etc/shadow, en pratique peu ou pas utilisé. On active rarement (voir jamais, par convention) les mots de passe de groupe.

Les flavors xBSD stockent les comptes utilisateurs au sein du fichier /etc/master.passwd, uniquement accessible au super-utilisateur. Ce fichier est utilisé pour générer automatiquement le fichier /etc/passwd.

Ce fichier est au format texte et contient une ligne par utilisateur. Il est structuré en dix champs, comme suit :

loginname:password:uid:gid:userclass:change:expire:gecos:homedir:shell

La sémantique associée à ces champs est la suivante :

Un exemple typique de ligne extraite du fichier /etc/master.passwd :

ikare:$1$iIVcBt5z$y0qex.EtFzuwBYwN2dZjj1:2323:2323::1179450000:0:Ivan K;:/home/ikare:/bin/sh

	Expiration du présent mot de passe le 18 Mai 2007 à 05:00:00 (date -r 11794500000).
	Pas d'expiration du compte.

Première forme de la commande useradd : Invoquée sous cette forme, la commande créée un nouveau compte utilisateur en utilisant les valeurs spécifiées (sur la ligne de commande) et les valeurs système par défaut si les options ne sont pas précisées. Selon les options choisies, le nouveau compte sera crée et des fichiers initiaux seront copiés dans son espace de travail.

SYNOPSIS :
useradd  [-c comment] [-d homedir] [-e expire_date] [-f inactive_date]
 [-g initial_group] [-G group  [ ,... ] ] [-m [-k skel_dir]]
 [-p passwd] [-s shell] [-u uid [-o]]  login 
EXEMPLE : ajouter un utilisateur.

tux:/# useradd -c "Bernard's Account" -d /home/.bernard -e "2003-08-31" -s \    
/bin/bash -u 668 -g gnu -G operator -m bernard
tux:/# passwd bernard
Enter new UNIX password: 
Retype new UNIX password: 
passwd: password updated successfully
tux:/#

Deuxième forme de la commande useradd : Cette deuxième forme permet de lister les paramètres par défaut ou modifier les valeurs par défaut à partir des valeurs données en ligne de commande.

SYNOPSIS :
useradd   -D   [-g default_group] [-b default_home] [-f default_inactive]
 [-e expire_date] [-s default_shell]
EXEMPLE : Lister les paramètres par défaut, puis modifier trois des paramètres.

tux:/#  useradd -D                                                              
GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel

tux:/#  useradd -D -g 200 -s /bin/tcsh  -e "2003-12-31"
tux:/#  useradd -D
GROUP=200
HOME=/home
INACTIVE=-1
EXPIRE=2003-12-31
SHELL=/bin/tcsh
SKEL=/etc/skel

usermod. La commande usermod permet de modifier les caractéristiques d'un utilisateur.

SYNOPSIS :
usermod  [-c comment] [-d homedir  [-m]] [-e expire_date] [-f inactive_date]
 [-g initial_group] [-G group  [ ,... ] ] [-l loginname] [-p passwd]
 [-s shell] [-u uid [-o]] [ -L  |   -U ]  login 
EXEMPLE : Ajouter l'utilisateur pascal dans le groupe operator 
(il est déjà membre du groupe principal gnu et des groupes root et staff) 
et lui mettre une date d'expiration au 31.12.2003 :

tux:/# usermod -G root,staff,operator -e 2003-12-31 pascal                      

userdel. La commande userdel permet d'enlever un compte utilisateur (s'il existe). L'option -r permet en plus la suppression du contenu et du répertoire de domiciliation de l'utilisateur, ainsi que son répertoire de mail.

SYNOPSIS :
userdel  [-r]  login 
EXEMPLE : Enlever un utlisateur

tux:/# userdel -r  bernard                                                      

groupadd.  La commande groupadd permet de créer un nouveau groupe.

SYNOPSIS :
groupadd  [-g gid  [-o]]  login 
EXEMPLE : Ajouter un groupe

tux:/# groupadd -g 666 gnu                                                      

groupmod. La commande groupmod permet de modifier les paramètres d'un groupe.

SYNOPSIS :
groupmod  [-g gid [-o]] [-n group_name]  group 
EXEMPLE : Modfier le gid du groupe gnu.

tux:/# groupmod -g 667 gnu                                                      

groupdel. La commande groupdel, enlève un groupe (s'il existe).

SYNOPSIS :
groupdel   group 
EXEMPLE : Enlever le groupe gnu.

tux:/# groupdel gnu                                                              

La commande pw permet au super-utilisateur de gérer simplement les utilisateurs. Sa syntaxe est très proche de ces homologues « Linuxienne ». Cette commande fait les mises-à-jour dans les fichiers /etc/passwd, /etc/master.passwd et /etc/group. sous OpenBSD, par contre on utilise les mêmes commandes que pour GNU/Linux

SYNOPSIS :
pw  [-V etcdir]  groupshow  [ group  |   gid ] [-g name] [-g gid] [-F] [-P] [-a]
EXEMPLE :

chuck# pw groupshow wheel                                                       
wheel:*:0:root,pascal                                                           

SYNOPSIS :
pw  [-V etcdir]  groupnext  [ group  |   gid ] [-q]
EXEMPLE :

chuck# pw groupnext 
2324                                                                            

SYNOPSIS :
pw  [-V etcdir]  lock  [ name  |   uid ] [-C config] [-q]

                                                                                

Sous GNU/Linux deux commandes permettent de vérifier l'intégrité des fichiers de gestion des utilisateurs. Ce sont la commande /usr/sbin/pwck, qui vérifie les fichiers /etc/passwd et /etc/shadow et la commande /usr/sbin/grpck qui vérifie les fichiers /etc/group et /etc/gshadow.

Elle se font par la commande vipw pour le fichier /etc/passwd (et respectivement /etc/master.passwd pour FreeBSD et /etc/shadow pour GNU/Linux) ; elle synchronise ces deux fichiers. La commande vigr agit de même sur les fichiers /etc/group et /etc/gshadow pour GNU/Linux uniquement.

adduser est un programme simple pour ajouter de nouveaux utilisateurs. Il crée les entrées dans les fichiers système /etc/passwd et /etc/group . Il crée également le répertoire utilisateur pour le nouvel utilisateur, y copie les fichiers de configuration par défaut (dotfiles) à partir de /usr/share/skel, et peut éventuellement envoyer à l'utilisateur un courrier électronique de bienvenue.

                                                                                
salusa# adduser
Username: danielle
Full name: Danielle
Uid (Leave empty for default): 2326
Login group [danielle]: fremens
Login group is fremens. Invite danielle into other groups? []: 
Login class [default]: 
Shell (sh csh tcsh nologin) [sh]: tcsh
Home directory [/home/danielle]: 
Use password-based authentication? [yes]: yes
Use an empty password? (yes/no) [no]: no
Use a random password? (yes/no) [no]: no
Enter password: 
Enter password again: 
Lock out the account after creation? [no]: no 
Username   : danielle
Password   : *****
Full Name  : Danielle
Uid        : 2326
Class      : 
Groups     : fremens 
Home       : /home/danielle
Shell      : /bin/tcsh
Locked     : no
OK? (yes/no): yes
adduser: INFO: Successfully added (danielle) to the user database.
Add another user? (yes/no): no
Goodbye!
salusa#

Le programme rmuser permet de supprimer complètement et de manière interactive un utilisateur du système. Elle effectue les opérations suivantes:

salusa# rmuser danielle
Matching password entry:

danielle:*:2325:2325::0:0:User &:/home/danielle:/bin/sh

Is this the entry you wish to remove? yes
Remove user's home directory (/home/danielle)? yes
Removing user (danielle): mailspool home passwd.
salusa# 

chpass modifie les informations de la base de données des utilisateurs comme les mots de passe, les interpréteurs de commandes, et les informations personnelles. Utilisé sans options, en dehors du nom facultatif de l'utilisateur, chpass ouvre un éditeur affichant les informations de l'utilisateur. Quand l'utilisateur quitte l'éditeur, la base de données utilisateur est mise à jour avec les nouvelles informations.

#Changing user information for danielle.
Login: danielle
Password: $1$9zDHGBah$2v99d67vDnmq0hPhtsF880
Uid [#]: 2325
Gid [# or name]: 2325
Change [month day year]:
Expire [month day year]:
Class:
Home directory: /home/danielle
Shell: /bin/tcsh
Full Name: Danielle
Office Location:
Office Phone:
Home Phone:
Other information: