# Foydalanuvchi va Guruh Boshqaruvi !!! info "Bu darsda" - 🎯 Linux'da foydalanuvchi va guruh tizimi **qanday ishlashini** tushunasiz - 🎯 Yangi foydalanuvchi yaratish, o'zgartirish va o'chirishni o'rganasiz - 🎯 Guruhlar orqali ruxsatlarni **to'g'ri taqsimlashni** bilib olasiz - 🎯 `root` va `sudo` orasidagi farqni va xavfsiz ishlash qoidasini o'zlashtirasiz - ⏱️ O'qish vaqti: ~15 daqiqa - 🧩 Kerakli bilim: Linux terminalida asosiy buyruqlar (oldingi dars) --- ## 🪝 Tasavvur qiling: ko'p qavatli ofis binosi Siz katta kompaniyaning IT administratorisiz. Binoda 200 ta xodim ishlaydi. Har birining eshik kartasi bor — kimdir faqat o'z kabinetiga kiradi, kimdir barcha qavatlarga, kimdir faqat server xonasiga. Bir kuni yangi xodim keladi. Unga karta berasiz, faqat kerakli eshiklarni ochadigan qilib. Kimningdir kartasi yo'qolsa — bloklaysiz. Kimdir ketsa — kartani bekor qilasiz. Linux serveri — xuddi shu bino. Foydalanuvchilar — xodimlar. Guruhlar — bir xil ruxsatga ega bo'limlar. Va **siz** — o'sha IT adminsiz. --- ## Foydalanuvchi turlari — uchalasini bilib oling Linux'da har bir foydalanuvchining **raqami** bor — UID (User ID). Bu raqam uning kim ekanligini belgilaydi. ```mermaid flowchart LR A[UID 0
root] -->|hamma eshik ochiq| Z[Tizim] B[UID 1–999
tizim foydalanuvchilari] -->|faqat o'z xonasi| Z C[UID 1000+
oddiy foydalanuvchilar] -->|ruxsat berilgan joylar| Z style A fill:#7f1d1d,stroke:#f87171,color:#fff style B fill:#1e3a5f,stroke:#60a5fa,color:#fff style C fill:#14532d,stroke:#4ade80,color:#fff ``` !!! tip "Oddiy qilib aytganda" - **root (UID 0)** — bosh menejer. Har qanday faylni o'qiydi, o'chiradi, o'zgartiradi. Hech qanday cheklov yo'q. - **Tizim foydalanuvchilari (1–999)** — "bot xodimlar". Nginx, MySQL, Docker kabi xizmatlar o'z nomi bilan ishlaydi. Ular login qila olmaydi — faqat jarayonlarga egalik qiladi. - **Oddiy foydalanuvchilar (1000+)** — haqiqiy odamlar. Sizning hisobingiz ham shu guruhda. !!! warning "root'da ishlash xavfi" root sifatida doimiy ishlash — ofisda doimo bosh direktorning kartasi bilan yurishga o'xshaydi. Tasodifiy `rm -rf /` buyrug'i butun tizimni o'chiradi va hech qanday "Haqiqatan ham o'chirmoqchimisiz?" savoli bo'lmaydi. **Qoida:** Oddiy ishlar uchun — oddiy foydalanuvchi. Faqat admin operatsiyalari uchun — `sudo`. --- ## Foydalanuvchilar qaerda saqlanadi? Xodimlar ro'yxati qaerda turadi? Linux'da ikki asosiy fayl bor. ### `/etc/passwd` — xodimlar ro'yxati ```bash cat /etc/passwd ``` Har bir qator — bir foydalanuvchi. Format: ``` username:x:UID:GID:izoh:home_papka:shell ``` Misol: ``` johndoe:x:1001:1001:John Doe:/home/johndoe:/bin/bash ``` !!! tip "Oddiy qilib aytganda" `/etc/passwd` — kompaniyaning xodimlar ro'yxati. Ism, ID raqam, kabinet (home papka) va "qaysi tilda gapiradi" (shell) — hammasi shu yerda. O'rtadagi `x` — "parol bor, lekin boshqa joyda saqlangan" degani. ### `/etc/shadow` — parol seyfi ```bash sudo cat /etc/shadow ``` Parollar bu faylda **shifrlangan** holda saqlanadi. Faqat root o'qiy oladi. ``` johndoe:$6$xyz...:19800:0:90:7::: ``` !!! tip "Oddiy qilib aytganda" `/etc/shadow` — seyfda turgan maxfiy papka. Ro'yxat hammaga ko'rinadi, lekin parollar faqat root ko'ra oladigan joyda. ### `/etc/group` — bo'limlar ro'yxati ```bash cat /etc/group ``` Format: ``` groupname:x:GID:a'zolar developers:x:1050:johndoe,alice,bob ```

Chuqurroq — /etc/shadow formatini to'liq o'qish

`/etc/shadow` dagi har bir maydonning ma'nosi: ``` foydalanuvchi : shifrlangan_parol : oxirgi_o'zgarish : min_kun : max_kun : ogohlantirish : faolsizlik : muddati : zaxira ``` | Maydon | Ma'nosi | |--------|---------| | `oxirgi_o'zgarish` | Parol oxirgi marta o'zgartirilgan sana (1970-01-01 dan kunlar) | | `min_kun` | Parolni o'zgartirishdan oldin kutish kerak bo'lgan minimum kun | | `max_kun` | Parolning maksimal amal qilish muddati (kunlarda) | | `ogohlantirish` | Muddati tugashidan necha kun oldin xabar berish | | `faolsizlik` | Muddati o'tgandan keyin necha kun login qilinmasa hisob bloklanadi | | `muddati` | Hisob butunlay o'chiladigan sana | `$6$` — SHA-512 algoritmidan foydalanilganini bildiradi. `$1$` — MD5 (zaif, eski tizimlar).

--- ## Foydalanuvchi yaratish ### Yangi xodimni ro'yxatga olish ```bash # Eng oddiy: faqat foydalanuvchi nomi sudo useradd johndoe # To'liq variant: home papka + shell + to'liq ism sudo useradd -m -s /bin/bash -c "John Doe" johndoe # ↑ ↑ ↑ # home papka shell izoh (to'liq ism) # Guruh bilan birga yaratish sudo useradd -m -s /bin/bash -G sudo,developers johndoe ``` Parol o'rnatish (yaratgandan keyin albatta): ```bash sudo passwd johndoe # Yangi parol: # Parolni qayta kiriting: ``` !!! tip "Oddiy qilib aytganda" `useradd` — yangi xodimni ro'yxatga olish. `-m` — unga shaxsiy kabinet (home papka) berish. Parolsiz hisob yaratilsa, u login qila olmaydi.

Chuqurroq — useradd barcha parametrlari

```bash # Maxsus UID bilan sudo useradd -u 1500 johndoe # Tizim foydalanuvchisi (login qila olmaydi, 1–999 UID) sudo useradd -r nginx_worker # Home papkasiz tizim foydalanuvchisi sudo useradd -r -s /bin/false -M nginx_worker # ↑ ↑ # login yo'q home papka yaratma # Ubuntu/Debian'da interaktiv variant (savol-javob rejimida) sudo adduser johndoe ``` **`/etc/skel`** — yangi foydalanuvchi yaratilganda uning home papkasiga avtomatik ko'chiriladigan shablonlar. ```bash ls -la /etc/skel/ # .bashrc .profile .bash_logout ``` Bu fayllarni o'zgartirsangiz, keyingi yaratilgan har bir foydalanuvchi ularni oladi.

### Ubuntu/Debian va RHEL farqi === "Ubuntu / Debian" ```bash # Interaktiv (savol-javob), tavsiya etiladi sudo adduser johndoe # Skript uchun (interaktivsiz) sudo useradd -m -s /bin/bash johndoe sudo passwd johndoe ``` === "RHEL / Fedora / CentOS" ```bash # useradd ishlaydi, adduser yo'q sudo useradd -m -s /bin/bash johndoe sudo passwd johndoe ``` --- ## Foydalanuvchini o'zgartirish ```bash # Foydalanuvchi nomini o'zgartirish sudo usermod -l yangi_nom eski_nom # Shell o'zgartirish sudo usermod -s /bin/zsh johndoe # Guruhga qo'shish (mavjud guruhlarni SAQLAB) sudo usermod -a -G docker johndoe # ↑ # -a (append) — bu bayroq bo'lmasa, boshqa guruhlardan chiqarib yuboradi! # Hisobni bloklash (parolni o'chirib emas, lock qilib) sudo usermod -L johndoe # Hisobni ochish sudo usermod -U johndoe # Muddatni o'rnatish (masalan, vaqtinchalik xodim) sudo usermod -e 2026-12-31 johndoe ``` !!! warning "Tez-tez uchraydigan xato" `-a` (append) bayrog'ini unutib `sudo usermod -G docker johndoe` deb yozsangiz — foydalanuvchi **sudo** va boshqa barcha guruhlardan chiqarib yuboriladi! Faqat `docker` qoladi. Doim `-a -G` birga ishlating. --- ## Parol boshqaruvi va muddatlar ```bash # O'z parolini o'zgartirish passwd # Boshqa foydalanuvchi parolini o'zgartirish (root) sudo passwd johndoe # Parol muddat va ogohlantirish ma'lumotlari sudo chage -l johndoe # Maksimal muddat: 90 kun sudo chage -M 90 johndoe # Muddati tugashidan 7 kun oldin ogohlantirish sudo chage -W 7 johndoe # Hisob muddatini o'rnatish sudo chage -E 2026-12-31 johndoe # Keyingi logindan parolni majburiy almashtirish sudo passwd -e johndoe ``` !!! tip "Oddiy qilib aytganda" `chage` — "change age" (muddat o'zgartirish). Bu buyruq parolning "pasporti" — qachon yaratilgan, qachon o'tadi, qachon ogohlantirish beradi.

Chuqurroq — passwd barcha bayroqlari

```bash # Parolni lock qilish (! belgi qo'shiladi, autentifikatsiya bloklanadi) sudo passwd -l johndoe # Parolni unlock qilish sudo passwd -u johndoe # Parolni o'chirish (parolsiz login — XAVFLI, faqat test uchun) sudo passwd -d johndoe # Minimum muddat: 7 kun (7 kundan oldin o'zgartirib bo'lmaydi) sudo passwd -n 7 johndoe # Maksimal muddat: 90 kun sudo passwd -x 90 johndoe # Ogohlantiruv oynasi: 7 kun oldin xabar sudo passwd -w 7 johndoe ```

--- ## Foydalanuvchini o'chirish ```bash # Foydalanuvchini o'chirish, home papkani SAQLAB sudo userdel johndoe # Foydalanuvchini VA home papkani birga o'chirish sudo userdel -r johndoe # Ubuntu/Debian alternativ sudo deluser --remove-home johndoe ``` !!! warning "Tez-tez uchraydigan xato" Xodim ketdi, lekin uning `/home/johndoe` papkasida loyiha fayllari bor. `userdel -r` barcha fayllarni o'chiradi. Avval muhim fayllarni arxivlang: ```bash sudo tar -czf /backup/johndoe-$(date +%F).tar.gz /home/johndoe sudo userdel -r johndoe ``` --- ## Guruhlar bilan ishlash ### Guruh — "bir xil kalit kartali bo'lim" !!! tip "Oddiy qilib aytganda" Guruh — bir xil ruxsatga ega xodimlar jamoasi. Masalan, barcha dasturchilar `developers` guruhida, barcha devops muhandislar `devops` guruhida. Papkaga "faqat developers ko'rsin" desangiz — papkaga `developers` guruhini berasiz, har bir dasturchi nomini alohida yozmaysiz. ```bash # Yangi guruh yaratish sudo groupadd developers # Maxsus GID bilan sudo groupadd -g 2000 developers # Tizim guruhi sudo groupadd -r systemguest # Guruh nomini o'zgartirish sudo groupmod -n devteam developers # Guruhni o'chirish sudo groupdel developers ``` ### Guruh a'zoligini boshqarish ```bash # Foydalanuvchini guruhga qo'shish sudo usermod -a -G developers johndoe # Guruhdan olib tashlash sudo gpasswd -d johndoe developers # Foydalanuvchining guruhlarini ko'rish groups johndoe # johndoe : johndoe sudo developers docker # Foydalanuvchi haqida to'liq ma'lumot (UID, GID, guruhlar) id johndoe # uid=1001(johndoe) gid=1001(johndoe) groups=1001(johndoe),27(sudo),1050(developers) ``` ```mermaid flowchart LR U1[johndoe] --> G1[johndoe
primary group] U1 --> G2[sudo] U1 --> G3[developers] U1 --> G4[docker] G3 --> D1[/opt/projects/] G2 --> D2[admin buyruqlari] G4 --> D3[docker socket] style U1 fill:#1e3a8a,stroke:#60a5fa,color:#fff style G2 fill:#7f1d1d,stroke:#f87171,color:#fff ``` ### Vaqtincha guruhga o'tish ```bash # Joriy sessiyada boshqa guruh bilan ishlash newgrp developers # Endi yangi yaratiladigan fayllar developers guruhiga tegishli bo'ladi ``` --- ## sudo — xavfsiz admin ishi !!! warning "root bilan doimiy ishlash — katta xavf" `root` bo'lib ishlasangiz, har qanday xato — tasodifiy `rm`, noto'g'ri `chmod`, buzilgan skript — tizimni barbod qiladi. `sudo` esa "faqat shu buyruq uchun root bo'l" degani. ```bash # Foydalanuvchiga sudo berish (Ubuntu/Debian) sudo usermod -a -G sudo johndoe # Foydalanuvchiga sudo berish (RHEL/CentOS/Fedora) sudo usermod -a -G wheel johndoe # sudo konfiguratsiyasini tahrirlash (to'g'ridan-to'g'ri faylni OCHMANG) sudo visudo ``` !!! tip "Oddiy qilib aytganda" `visudo` — `sudo` konfiguratsiyasini tahrirlashning yagona xavfsiz yo'li. U faylni saqlashdan oldin sintaksisni tekshiradi. Noto'g'ri `sudoers` fayli tizimdan chiqarib yuborishi mumkin.

Chuqurroq — sudoers fayli va cheklangan ruxsatlar

`/etc/sudoers` asosiy fayl. Lekin uni `/etc/sudoers.d/` papkasiga alohida fayllar orqali kengaytirish afzalroq: ```bash # Faqat muayyan buyruqlarga ruxsat sudo tee /etc/sudoers.d/maintenance << 'EOF' # maintenance foydalanuvchisi faqat shu buyruqlarga ruxsatli maintenance ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx maintenance ALL=(ALL) NOPASSWD: /bin/systemctl reload nginx maintenance ALL=(ALL) NOPASSWD: /usr/bin/tail -f /var/log/nginx/* EOF ``` Format tushuntirishi: ``` foydalanuvchi QAYERDA=(KIM_SIFATIDA) PAROLSIZ_MI: BUYRUQ johndoe ALL=(ALL) NOPASSWD: /usr/bin/apt update ```

--- ## 💻 O'zingiz sinab ko'ring **Vazifa:** `testuser` nomli foydalanuvchi yarating, uni `developers` guruhiga qo'shing, keyin o'chiring. ```bash # 1. Guruh yarating sudo groupadd developers # 2. Foydalanuvchi yarating (home papka va bash shell bilan) sudo useradd -m -s /bin/bash -c "Test User" testuser # 3. Parol o'rnating sudo passwd testuser # 4. Guruhga qo'shing sudo usermod -a -G developers testuser # 5. Tekshiring id testuser # uid=1002(testuser) gid=1002(testuser) groups=1002(testuser),1050(developers) # 6. /etc/passwd da ko'ring grep "testuser" /etc/passwd # 7. Guruh a'zolarini ko'ring getent group developers # 8. Tozalash — foydalanuvchi va home papkasini o'chiring sudo userdel -r testuser sudo groupdel developers ``` !!! question "Tekshirib ko'ring" `sudo usermod -G docker testuser` va `sudo usermod -a -G docker testuser` orasidagi farq nima? Ikkinchisida nima o'zgaradi?

Javob — bosib oching

`-a` (append) bayrog'isiz `usermod -G docker testuser` buyrug'i foydalanuvchini **faqat** `docker` guruhida qoldiradi — oldin bor bo'lgan `sudo`, `developers` va boshqa guruhlardan chiqarib yuboradi. `-a -G` bilan esa mavjud guruhlarga **qo'shimcha** `docker` qo'shiladi, hech narsa o'chirilmaydi.

--- ## Amaliy stsenariylar ### Veb-server uchun xizmat foydalanuvchisi ```bash # Login qila olmaydigan tizim foydalanuvchisi sudo useradd -r -s /bin/false -d /var/www -M www-data-custom # ↑ ↑ ↑ ↑ # tizim login yo'q home papka yaratma # Veb papkasini yaratish va ruxsat berish sudo mkdir -p /var/www/html sudo chown www-data-custom:www-data-custom /var/www/html sudo chmod 755 /var/www/html # Dasturchilar guruhi — ular ham yozishi uchun sudo groupadd webdev sudo usermod -a -G webdev www-data-custom # Dasturchi foydalanuvchilarni qo'shish sudo usermod -a -G webdev alice sudo usermod -a -G webdev bob # Guruhga yozish ruxsati sudo chgrp -R webdev /var/www/html sudo chmod -R g+w /var/www/html sudo chmod g+s /var/www/html # SGID: yangi fayllar ham webdev guruhiga tegishli bo'ladi ```

Chuqurroq — to'liq dasturlash jamoasi setup skripti

```bash #!/bin/bash # Dasturlash jamoasi uchun to'liq setup PROJECT="webapp" DEVELOPERS=("alice" "bob" "charlie") # Loyiha guruhi sudo groupadd "dev-$PROJECT" # Loyiha papkasi sudo mkdir -p "/opt/projects/$PROJECT" sudo chgrp "dev-$PROJECT" "/opt/projects/$PROJECT" sudo chmod 2775 "/opt/projects/$PROJECT" # SGID — guruh meros qoladi # Har bir dasturchi uchun for dev in "${DEVELOPERS[@]}"; do # Foydalanuvchi mavjudligini tekshirish if ! id "$dev" &>/dev/null; then sudo useradd -m -s /bin/bash "$dev" sudo passwd -e "$dev" # Birinchi logindan parol almashtirsin echo "Yaratildi: $dev" fi # Loyiha guruhiga qo'shish sudo usermod -a -G "dev-$PROJECT" "$dev" # SSH papkasini sozlash sudo mkdir -p "/home/$dev/.ssh" sudo chmod 700 "/home/$dev/.ssh" sudo chown "$dev:$dev" "/home/$dev/.ssh" done echo "Jamoa tayyor: ${DEVELOPERS[*]}" echo "Guruh: dev-$PROJECT" echo "Papka: /opt/projects/$PROJECT" ```

### Faolsiz hisoblarni aniqlash ```bash #!/bin/bash # Uzoq vaqt login qilmagan foydalanuvchilarni topish echo "=== 90 kun login qilmagan foydalanuvchilar ===" while IFS=: read -r username _ uid _ _ homedir _; do # Faqat oddiy foydalanuvchilar (UID >= 1000) [[ $uid -lt 1000 ]] && continue [[ ! -d "$homedir" ]] && continue last_login=$(lastlog -u "$username" 2>/dev/null | tail -1) if echo "$last_login" | grep -q "Never logged in"; then echo "Hech login qilmagan: $username" fi done < /etc/passwd ``` --- ## Monitoring: kim tizimda? ```bash # Hozir kim online who # Batafsil: kim nima qilyapti w # Login tarixi last johndoe # Barcha foydalanuvchilarning so'nggi login vaqti lastlog # Muvaffaqiyatsiz login urinishlari sudo lastb sudo grep "Failed password" /var/log/auth.log | tail -10 ```

Chuqurroq — xavfsizlik auditi skripti

```bash #!/bin/bash # Foydalanuvchi xavfsizlik auditi echo "=== Xavfsizlik auditi — $(date) ===" echo "" echo "--- Parolsiz foydalanuvchilar ---" sudo awk -F: '$2 == "" {print $1}' /etc/shadow echo "" echo "--- UID 0 ga ega foydalanuvchilar (root imtiyozlari) ---" awk -F: '$3 == 0 {print $1}' /etc/passwd echo "" echo "--- sudo/wheel guruh a'zolari ---" getent group sudo wheel 2>/dev/null | cut -d: -f4 | tr ',' '\n' | sort -u echo "" echo "--- So'nggi 10 ta muvaffaqiyatsiz login ---" sudo grep "Failed password" /var/log/auth.log 2>/dev/null \ | tail -10 \ | awk '{print $1, $2, $3, "foydalanuvchi:", $9, "IP:", $11}' ```

--- !!! question "Tekshirib ko'ring" Quyidagi savollarni o'ylab ko'ring: 1. Nginx server jarayoni `www-data` nomli foydalanuvchi sifatida ishlaydi. Bu foydalanuvchining UID raqami taxminan qancha bo'ladi — 50 mi yoki 1050 mi? 2. Yangi dasturchi `alice` ni `docker` guruhiga qo'shdingiz, lekin u hali ham `docker ps` buyrug'ini ishlatib chiqardi. Nima uchun?

Javoblar — bosib oching

**1-savol:** `www-data` — tizim foydalanuvchisi, demak UID 1–999 oralig'ida. Ko'pincha Ubuntu'da UID 33. **2-savol:** Guruh o'zgarishlari faqat **yangi sessiyadan** kuchga kiradi. Alice login holatida bo'lsa, u hali eski guruh ro'yxati bilan ishlayapti. Yechim: `alice` qayta login qilsin yoki `newgrp docker` buyrug'ini ishlatsin.

--- ## 🎒 Xulosa — eng muhimi Agar bu darsdan 5 narsani eslab qolsangiz: 1. **Uch tur foydalanuvchi:** root (UID 0) — cheksiz; tizim (1–999) — xizmatlar uchun; oddiy (1000+) — haqiqiy odamlar. 2. **Ikki asosiy fayl:** `/etc/passwd` — foydalanuvchilar ro'yxati; `/etc/shadow` — parol seyfi (faqat root). 3. **Guruh = ruxsatlar to'plami.** Bir foydalanuvchiga emas, guruhga ruxsat bering — kengaytirish oson bo'ladi. 4. **`-a` bayrog'ini unutmang.** `usermod -a -G guruh foydalanuvchi` — qo'shish. `-a`siz — boshqa guruhlardan chiqarib yuboradi. 5. **root'da ishlama, sudo'dan foydalan.** Minimal ruxsat — maksimal xavfsizlik. !!! success "Keyingi qadam" Foydalanuvchilarga ruxsat berdik. Endi bu ruxsatlar **fayl tizimida qanday ishlashini** ko'ramiz — keyingi darsda `chmod`, `chown` va Linux ruxsatlar modeli bilan tanishamiz. Foydalanuvchi va ruxsatlar birga ishlasa, server xavfsizligi o'z-o'zidan shakllanadi.