AlmaLinux 9 ユーザー・グループ管理

AlmaLinux 9 のサーバーを運用するうえで、ユーザーとグループの管理は避けて通れない基本操作です。本記事では、ユーザーの追加・変更・削除、グループ管理、パスワードポリシー、sudo による特権管理、UID/GID の採番ルール、アカウントのロック・無効化、umask の設定まで、企業のサーバー運用チームが日常的に扱う作業を実行例つきでまとめています。入社1〜3年目のインフラエンジニアが、現場でそのまま使えるリファレンスとして活用できる構成です。

目次

1. コマンド早見表
2. 前提条件
3. 1. ユーザー管理の仕組み
   1. /etc/passwd
   2. /etc/shadow
   3. /etc/group
   4. /etc/login.defs
4. 2. ユーザーの追加・変更・削除
   1. useradd でユーザーを追加する
   2. useradd のデフォルト値と /etc/skel
   3. usermod でユーザー情報を変更する
   4. userdel でユーザーを削除する
   5. 孤立ファイルの捜索
5. 3. グループの追加・変更・削除
   1. プライマリグループと補助グループの違い
   2. groupadd でグループを追加する
   3. groupmod でグループ名を変更する
   4. groupdel でグループを削除する
6. 4. パスワード管理とポリシー設定
   1. passwd でパスワードを設定する
   2. chage でパスワード有効期限を設定する
   3. 初回ログイン時にパスワード変更を強制する
   4. /etc/security/pwquality.conf でパスワードの複雑性を設定する
   5. /etc/login.defs でパスワードポリシーの初期値を変更する
7. 5. sudo による特権管理
   1. visudo で sudoers を編集する
   2. /etc/sudoers.d/ で個別設定を管理する
   3. NOPASSWD の限定使用
   4. sudo -l で権限を確認する
   5. sudo のログを確認する
8. 6. UID/GID の統一管理
   1. UID の採番ルール（企業での管理例）
   2. UID の棚卸し
9. 7. ユーザー情報の確認コマンド
   1. id（UID・GID・所属グループの確認）
   2. whoami / groups
   3. getent（LDAP 環境でも使える統合検索）
   4. last / lastlog（ログイン履歴）
   5. w（現在ログイン中のユーザー）
10. 8. su と sudo の使い分け
    1. su と su – の違い
    2. su と sudo の比較
11. 9. アカウントのロック・無効化
    1. passwd -l / usermod -L でパスワードをロックする
    2. passwd -u / usermod -U でアンロックする
    3. usermod -s /sbin/nologin でログインを完全に禁止する
    4. chage -E でアカウントの有効期限を設定する
12. 10. システムアカウントとサービスアカウント
    1. サービスアカウントの作成
    2. 代表的なシステムアカウント
13. 11. umask によるデフォルトパーミッション
    1. 現在の umask 値を確認する
    2. umask の計算方法
    3. umask の設定箇所
    4. 企業セキュリティでの umask 変更
14. 12. アカウントライフサイクル（企業運用チェックリスト）
    1. 入社時
    2. 異動時
    3. 退職時
    4. 定期棚卸し（月次または四半期）
15. 13. トラブルシューティング
    1. usermod -G でグループが消えた
    2. userdel で「user is currently used by process」が表示される
    3. sudoers の構文エラーで sudo が使えなくなった
    4. パスワードをロックしたのに SSH ログインできてしまう
16. AlmaLinux 9 総合リファレンスガイド シリーズ一覧

コマンド早見表#

前提条件#

1. ユーザー管理の仕組み#

Linux のユーザー管理は、4 つの設定ファイルで構成されています。コマンドを実行する前に、これらのファイルの構造を理解しておくと、トラブル発生時に原因を特定しやすくなります。

/etc/passwd#

すべてのユーザーアカウント情報を保持するファイルです。各行が 1 ユーザーに対応し、コロン区切りで 7 つのフィールドがあります。

実行コマンド：

$ getent passwd developer

実行結果：

developer:x:1000:1000:developer:/home/developer:/bin/bash

/etc/passwd の先頭には、OS インストール時に作成されるシステムアカウントが並んでいます。

実行コマンド：

$ head -5 /etc/passwd

実行結果：

root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin

root の UID は 0 で、すべてのシステム操作が可能な特権アカウントです。bin、daemon、adm などのシステムアカウントは、ログインシェルが /sbin/nologin に設定されており、対話的なログインはできません。

/etc/shadow#

パスワードのハッシュ値と有効期限情報を保持するファイルです。root のみ読み取り可能で、一般ユーザーからは閲覧できません。

developer ユーザーの shadow エントリ例を示します。

developer:$6$edCdSYECF2n2dE7e$k3mQF0GrSiOPHuc.i4HwI22q4KK29UUBklcQYgtn2ff7i7O3sYSn7p9QpnvjqN3aFP5T6wZHLSzk9sBW1Ca6o.::0:99999:7:::

コロンで区切られた残りのフィールドは、最終パスワード変更日（エポックからの日数）、最短変更間隔、最長有効日数、警告日数、無効化猶予日数、アカウント有効期限、予約フィールドです。

/etc/group#

グループ情報を保持するファイルです。各行が 1 グループに対応し、コロン区切りで 4 つのフィールドがあります。

実行コマンド：

$ getent group wheel

実行結果：

wheel:x:10:developer

メンバーリストに表示されるのは補助グループとして所属しているユーザーです。プライマリグループとしてのみ所属しているユーザーはここには表示されません。

/etc/login.defs#

ユーザー作成時のデフォルト値やパスワードポリシーの初期値を定義するファイルです。useradd コマンドや passwd コマンドがこの設定を参照します。

AlmaLinux 9 のデフォルト設定値は以下の通りです。

UMASK		022
PASS_MAX_DAYS	99999
PASS_MIN_DAYS	0
PASS_WARN_AGE	7
UID_MIN                  1000
UID_MAX                 60000
GID_MIN                  1000
GID_MAX                 60000
CREATE_HOME	yes

2. ユーザーの追加・変更・削除#

useradd でユーザーを追加する#

新しいユーザーを作成する基本コマンドです。企業の運用では、GECOS フィールドに氏名を記載し、必要なグループへの所属も同時に指定します。

実行コマンド：

# useradd -m -c 'Test User 01' -s /bin/bash -G wheel testuser01

作成結果を確認します。

実行コマンド：

$ id testuser01

実行結果：

uid=1001(testuser01) gid=1001(testuser01) groups=1001(testuser01),10(wheel)

UID 1001 が自動採番され、プライマリグループとして testuser01（GID 1001）が作成され、補助グループとして wheel（GID 10）に追加されています。

useradd のデフォルト値と /etc/skel#

useradd コマンドのデフォルト設定は useradd -D で確認できます。この設定は /etc/default/useradd に保存されています。

実行コマンド：

# useradd -D

実行結果：

GROUP=100
HOME=/home
INACTIVE=-1
EXPIRE=
SHELL=/bin/bash
SKEL=/etc/skel
CREATE_MAIL_SPOOL=yes

/etc/skel は、新規ユーザーのホームディレクトリにコピーされるテンプレートディレクトリです。企業で統一した .bashrc や .vimrc を配布したい場合は、/etc/skel にファイルを配置しておきます。

usermod でユーザー情報を変更する#

既存ユーザーの属性を変更するコマンドです。最も多い操作は、補助グループの追加です。

実行コマンド：

# usermod -aG wheel testuser01

ログインシェルの変更は -s オプションで行います。サービスアカウントなど対話的なログインが不要なユーザーには /sbin/nologin を設定します。

実行コマンド：

# usermod -s /sbin/nologin testuser01

切り戻し方法：

# usermod -s /bin/bash testuser01

ホームディレクトリの変更は -d オプションと -m オプションを組み合わせます。-m を付けると、旧ディレクトリの内容が新ディレクトリに移動されます。

実行コマンド：

# usermod -d /home/testuser01_new -m testuser01

切り戻し方法：

# usermod -d /home/testuser01 -m testuser01

userdel でユーザーを削除する#

ユーザーを削除する前に、必ずホームディレクトリのバックアップを取得してください。削除後はデータを復元できません。

バックアップの実行コマンド：

# tar czf /backup/testuser01_home_$(date +%Y%m%d).tar.gz /home/testuser01

ユーザー削除の実行コマンド：

# userdel -r testuser01

-r オプションを付けると、ホームディレクトリとメールスプールも同時に削除されます。-r を付けずに削除すると、ホームディレクトリが残り、所有者のいないファイル（孤立ファイル）になります。

孤立ファイルの捜索#

ユーザー削除後に、ファイルシステム上に所有者のいないファイルが残っていないか確認します。NFS 共有領域やアプリケーションのデータディレクトリに残存していることがあります。

実行コマンド：

# find / -nouser -o -nogroup 2>/dev/null

出力があった場合は、ファイルの内容を確認したうえで、必要に応じて所有者を変更するか削除してください。

3. グループの追加・変更・削除#

Linux では、ファイルやディレクトリのアクセス権をグループ単位で制御します。プロジェクトチームやアプリケーション単位でグループを作成し、所属メンバーを管理するのが一般的な運用です。

プライマリグループと補助グループの違い#

Linux のユーザーには必ず 1 つのプライマリグループと、0 個以上の補助グループが割り当てられます。

• プライマリグループ：ユーザーがファイルを作成したとき、そのファイルのグループ所有者になるグループ。/etc/passwd の GID フィールドで指定される
• 補助グループ：追加のアクセス権を得るために所属するグループ。/etc/group のメンバーリストに記載される

groupadd でグループを追加する#

実行コマンド：

# groupadd -g 1001 appteam

-g オプションで GID を明示的に指定しています。複数サーバーで GID を統一する場合は、必ず GID を指定して作成します。GID を省略すると、システムが自動的に次の空き番号を割り当てます。

作成結果を確認します。

実行コマンド：

$ getent group appteam

実行結果：

appteam:x:1001:

groupmod でグループ名を変更する#

実行コマンド：

# groupmod -n devteam appteam

実行結果：

$ getent group devteam

実行結果：

devteam:x:1001:

GID は変わらずグループ名のみが変更されます。ファイルのアクセス権は GID で管理されているため、グループ名の変更によるアクセス権への影響はありません。

切り戻し方法：

# groupmod -n appteam devteam

groupdel でグループを削除する#

実行コマンド：

# groupdel devteam

4. パスワード管理とポリシー設定#

passwd でパスワードを設定する#

ユーザー作成直後はパスワードが設定されていないため、ログインできません。passwd コマンドでパスワードを設定します。

実行コマンド：

# passwd testuser01

対話形式で新しいパスワードの入力を 2 回求められます。

chage でパスワード有効期限を設定する#

企業のセキュリティポリシーでは、パスワードの定期変更を求められるのが一般的です。chage コマンドで個別ユーザーの有効期限を設定します。

実行コマンド：

# chage -M 90 -W 14 -I 30 testuser01

設定内容を確認します。

実行コマンド：

$ chage -l developer

実行結果：

最終パスワード変更日				:なし
パスワード期限:					: なし
パスワード無効化中					: なし
アカウント期限切れ						: なし
パスワードが変更できるまでの最短日数		: 0
パスワードを変更しなくてよい最長日数		: 99999
パスワード期限が切れる前に警告される日数		: 7

上記は変更前の developer ユーザーの例です。PASS_MAX_DAYS が 99999 のため「パスワード期限: なし」と表示されています。

初回ログイン時にパスワード変更を強制する#

新規ユーザーに初期パスワードを設定した後、初回ログイン時にパスワードの変更を強制する運用が一般的です。

実行コマンド：

# chage -d 0 testuser01

-d 0 は「最終パスワード変更日を 1970年1月1日（エポック）に設定する」という意味です。これにより、次回ログイン時にパスワードの有効期限切れと判定され、変更を求められます。

/etc/security/pwquality.conf でパスワードの複雑性を設定する#

pwquality.conf は、PAM（Pluggable Authentication Modules：認証処理をモジュール化する仕組み）の pam_pwquality モジュールが参照する設定ファイルです。パスワードの最小文字数や、含めるべき文字種を制御します。

AlmaLinux 9 のデフォルトでは、すべての設定がコメントアウトされています。企業のセキュリティ要件に合わせて以下のように設定します。

実行コマンド：

# vi /etc/security/pwquality.conf

設定内容：

minlen = 12
dcredit = -1
ucredit = -1
lcredit = -1
ocredit = -1

切り戻し方法：各行をコメントアウト（行頭に # を追加）すると、デフォルト設定に戻ります。

/etc/login.defs でパスワードポリシーの初期値を変更する#

/etc/login.defs の設定は、新規ユーザー作成時の初期値として適用されます。既存ユーザーには影響しません。既存ユーザーの設定を変更するには chage コマンドを使用してください。

企業での一般的な設定例を示します。

PASS_MAX_DAYS   90
PASS_MIN_DAYS   1
PASS_WARN_AGE   14

5. sudo による特権管理#

sudo は、一般ユーザーが root 権限でコマンドを実行するための仕組みです。初期設定編では「wheel グループに追加して sudo を有効化する」基本操作を扱いましたが、本章では「最小権限の原則に基づいた sudo 設計」を解説します。

visudo で sudoers を編集する#

sudoers ファイルの編集には必ず visudo コマンドを使用します。visudo は保存時に構文チェックを行い、文法エラーがあると警告を表示して保存をキャンセルします。vi で直接 /etc/sudoers を編集すると、構文エラーがあってもそのまま保存され、sudo が使用不能になるリスクがあります。

実行コマンド：

# visudo

AlmaLinux 9 のデフォルトの sudoers 設定（有効行の抜粋）は以下の通りです。

Defaults   !visiblepw
Defaults    always_set_home
Defaults    match_group_by_gid
Defaults    always_query_group_plugin
Defaults    env_reset
Defaults    env_keep =  "COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS"
Defaults    env_keep += "MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE"
Defaults    env_keep += "LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES"
Defaults    env_keep += "LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE"
Defaults    env_keep += "LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY"
Defaults    secure_path = /sbin:/bin:/usr/sbin:/usr/bin
root	ALL=(ALL) 	ALL
%wheel	ALL=(ALL)	ALL

%wheel ALL=(ALL) ALL は「wheel グループのメンバーは、すべてのホストで、すべてのユーザーとして、すべてのコマンドを実行できる」という意味です。

/etc/sudoers.d/ で個別設定を管理する#

/etc/sudoers を直接変更する代わりに、/etc/sudoers.d/ ディレクトリに個別のファイルを配置する方法が推奨されます。OS アップデート時に /etc/sudoers が上書きされても、/etc/sudoers.d/ 内のファイルは保持されるためです。

実行コマンド：

# visudo -f /etc/sudoers.d/appteam

設定内容の例：

%appteam ALL=(ALL) /usr/bin/systemctl restart httpd, /usr/bin/systemctl restart nginx

上記の設定では、appteam グループのメンバーに httpd と nginx の再起動のみを許可しています。この設定により、アプリケーションチームが Web サーバーのデプロイ後に自分たちで再起動できるようになりますが、それ以外の root 操作は許可されません。

NOPASSWD の限定使用#

NOPASSWD を設定すると、sudo 実行時にパスワード入力を求められなくなります。監視ツール（Zabbix Agent や Nagios NRPE）がシステム情報を取得する際に使用する場面がありますが、一般ユーザーへの安易な適用はセキュリティリスクになります。

監視ツール用の設定例：

zabbix ALL=(ALL) NOPASSWD: /usr/sbin/dmidecode, /usr/bin/systemctl status *

sudo -l で権限を確認する#

自分に付与されている sudo 権限を確認するコマンドです。

実行コマンド：

$ sudo -l

実行結果（wheel グループ所属の場合）：

ユーザー developer は alma-main 上で コマンドを実行できます:
    (ALL) ALL

sudo のログを確認する#

sudo の実行ログは、誰がいつどのコマンドを root 権限で実行したかを追跡するために重要です。監査対応やインシデント調査で必要になります。

実行コマンド：

# journalctl _COMM=sudo --no-pager -n 20

/var/log/secure にも sudo の実行ログが記録されます。

実行コマンド：

# grep sudo /var/log/secure

6. UID/GID の統一管理#

複数のサーバーを運用する環境では、UID と GID を全サーバーで統一しておくことが重要です。特に NFS（Network File System）で共有ディレクトリを使用する場合、UID/GID が不一致だと、別のユーザーのファイルにアクセスできてしまう、あるいはアクセスが拒否されるといった問題が発生します。

UID の採番ルール（企業での管理例）#

/etc/login.defs で UID_MIN=1000、UID_MAX=60000 が設定されています。この範囲内で、組織の運用ルールに基づいた採番体系を設計します。

この採番ルールを UID 台帳（スプレッドシートやCMDB）で管理し、新規ユーザー作成時に台帳から次の番号を払い出します。

UID の棚卸し#

定期的に全ユーザーの UID を確認し、台帳との整合性を検証します。

実行コマンド：

$ getent passwd | awk -F: '{print $3,$1}' | sort -n

実行結果（抜粋）：

0 root
1 bin
2 daemon
3 adm
4 lp
74 sshd
996 chrony
997 polkitd
998 sssd
999 systemd-coredump
1000 developer
1001 testuser01

UID 順にソートされた一覧が表示されます。台帳と突き合わせて、不明なアカウントが存在しないか確認してください。

7. ユーザー情報の確認コマンド#

id（UID・GID・所属グループの確認）#

実行コマンド：

$ id developer

実行結果：

uid=1000(developer) gid=1000(developer) groups=1000(developer),10(wheel) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

UID、プライマリ GID、所属する全グループ、SELinux コンテキストが 1 行で確認できます。

whoami / groups#

実行コマンド：

$ whoami

実行結果：

developer

実行コマンド：

$ groups developer

実行結果：

developer : developer wheel

whoami は現在の実行ユーザー名を表示します。su や sudo で別のユーザーに切り替えた際に、今どのユーザーとして操作しているかを確認するのに使います。groups は指定ユーザーの所属グループを表示します。

getent（LDAP 環境でも使える統合検索）#

getent は、/etc/passwd や /etc/group だけでなく、LDAP（Lightweight Directory Access Protocol：ディレクトリサービスにアクセスするためのプロトコル）や SSSD 経由のユーザー情報も統合的に検索できます。企業では Active Directory 連携で LDAP 認証を導入しているケースがあり、その場合は cat /etc/passwd では LDAP ユーザーが表示されません。getent を使えば、ローカルアカウントと LDAP アカウントの両方を取得できます。

実行コマンド：

$ getent passwd developer

実行結果：

developer:x:1000:1000:developer:/home/developer:/bin/bash

実行コマンド：

$ getent group wheel

実行結果：

wheel:x:10:developer

last / lastlog（ログイン履歴）#

last はログイン・ログアウトの履歴を新しい順に表示します。lastlog はユーザーごとの最終ログイン日時を表示します。

実行コマンド：

$ last -n 10

実行コマンド：

$ lastlog

長期間ログインがないアカウントは、退職や異動で不要になったアカウントの可能性があります。定期的な棚卸し（第 12 章で解説）の際に確認してください。

w（現在ログイン中のユーザー）#

実行コマンド：

$ w

現在ログイン中のユーザー、ログイン元、実行中のコマンドが表示されます。メンテナンス作業前に、他のユーザーがログインしていないか確認する際に使用します。

8. su と sudo の使い分け#

su と su – の違い#

su と su -（ハイフン付き）は動作が異なります。ハイフンを付けると、対象ユーザーのログインシェルとして起動し、環境変数や PATH が正しく設定されます。

su と sudo の比較#

企業の運用では、sudo 経由での操作が推奨されます。理由は以下の 2 点です。

• sudo は実行されたコマンドを /var/log/secure に記録するため、「誰が何を実行したか」を追跡できる
• root パスワードを複数人で共有する必要がなく、パスワード漏洩のリスクを低減できる

9. アカウントのロック・無効化#

退職者のアカウント停止や、セキュリティインシデント発生時のアカウント緊急ロックなど、アカウントを無効化する場面は頻繁にあります。方法によって無効化の範囲が異なるため、状況に応じて使い分ける必要があります。

passwd -l / usermod -L でパスワードをロックする#

実行コマンド：

# passwd -l testlock

ロック状態を確認します。

実行コマンド：

# passwd -S testlock

実行結果：

testlock LK 2026-03-24 0 99999 7 -1 (パスワードはロック済み。)

LK はパスワードがロックされている状態を示します。その他のステータスは以下の通りです。

passwd -u / usermod -U でアンロックする#

実行コマンド：

# passwd -u testlock

usermod -L と usermod -U も同じ機能ですが、/etc/shadow のパスワードハッシュ先頭に ! を付加・除去する点は同一です。

usermod -s /sbin/nologin でログインを完全に禁止する#

ログインシェルを /sbin/nologin に変更すると、パスワード認証・鍵認証を問わず、対話的なログインが拒否されます。

実行コマンド：

# usermod -s /sbin/nologin testlock

切り戻し方法：

# usermod -s /bin/bash testlock

chage -E でアカウントの有効期限を設定する#

契約期間が決まっている外部パートナーのアカウントには、あらかじめ有効期限を設定しておきます。

実行コマンド：

# chage -E 2026-06-30 testlock

2026年6月30日を過ぎると、このアカウントは自動的に無効化されます。

有効期限を解除する切り戻し方法：

# chage -E -1 testlock

10. システムアカウントとサービスアカウント#

アプリケーションやデーモンプロセスを実行するための専用アカウントを「サービスアカウント」と呼びます。root でアプリケーションを実行すると、脆弱性を突かれた場合にシステム全体が侵害されるリスクがあるため、最小権限の原則に基づいて専用のアカウントで実行します。

サービスアカウントの作成#

実行コマンド：

# useradd -r -s /sbin/nologin -d /opt/myapp -M myappsvc

作成結果を確認します。

実行コマンド：

$ id myappsvc

実行結果：

uid=995(myappsvc) gid=995(myappsvc) groups=995(myappsvc)

実行コマンド：

$ getent passwd myappsvc

実行結果：

myappsvc:x:995:995::/opt/myapp:/sbin/nologin

UID が 995（1000 未満）で割り当てられ、ログインシェルが /sbin/nologin に設定されていることが確認できます。

代表的なシステムアカウント#

AlmaLinux 9 にデフォルトで作成されるシステムアカウントの一部を紹介します。

11. umask によるデフォルトパーミッション#

umask（user file-creation mode mask）は、新規ファイルやディレクトリを作成する際に「付与しないパーミッション」を指定する値です。

現在の umask 値を確認する#

実行コマンド：

$ umask

実行結果：

0022

実行コマンド：

$ umask -S

実行結果：

u=rwx,g=rx,o=rx

umask -S はシンボリック形式で「結果的に付与されるパーミッション」を表示します。

umask の計算方法#

ファイルとディレクトリではベースパーミッションが異なります。

AlmaLinux 9 のデフォルト umask は 0022 です。この設定では、新規ファイルは所有者が読み書き可能、グループとその他は読み取りのみです。

umask の設定箇所#

umask はシェルの起動時に読み込まれる設定ファイルで定義します。

企業セキュリティでの umask 変更#

セキュリティ要件が厳しい環境では、umask を 0027 や 0077 に変更します。

全ユーザーに適用する場合は /etc/profile に記載します。

設定例：

umask 0027

切り戻し方法：該当行を umask 0022 に変更するか、行を削除してください。変更後、新しいシェルセッションから有効になります。

12. アカウントライフサイクル（企業運用チェックリスト）#

企業でのアカウント管理は、入社から退職までのライフサイクル全体をカバーする運用設計が必要です。以下に、各フェーズで実施する作業をまとめます。

入社時#

1. UID 台帳から次の UID を払い出す
2. useradd で UID を指定してアカウントを作成する
3. 初期パスワードを設定し、chage -d 0 で初回ログイン時の変更を強制する
4. 必要なグループに追加する（usermod -aG）
5. chage でパスワード有効期限を設定する

入社時のコマンド実行例：

# useradd -m -u 1002 -c 'Tanaka Taro' -s /bin/bash -G wheel tanaka

# passwd tanaka

# chage -d 0 -M 90 -W 14 -I 30 tanaka

異動時#

1. 新しい部署のグループに追加する（usermod -aG 新グループ ユーザー名）
2. 旧部署のグループから外す（gpasswd -d ユーザー名 旧グループ）
3. sudo 権限の見直し（/etc/sudoers.d/ の該当ファイルを修正）

グループからの除外コマンド：

# gpasswd -d tanaka old-team

退職時#

1. パスワードをロックする（passwd -l ユーザー名）
2. ログインシェルを変更する（usermod -s /sbin/nologin ユーザー名）
3. ホームディレクトリをバックアップする
4. 一定期間（社内規定に従い 30〜90 日程度）経過後にアカウントを削除する

退職時のコマンド実行例：

# passwd -l tanaka

# usermod -s /sbin/nologin tanaka

# tar czf /backup/tanaka_home_$(date +%Y%m%d).tar.gz /home/tanaka

定期棚卸し（月次または四半期）#

以下のコマンドを定期的に実行し、不要なアカウントや異常な状態がないか確認します。

13. トラブルシューティング#

usermod -G でグループが消えた#

症状：usermod -G wheel testuser01 を実行した後、testuser01 が以前所属していたグループ（例：appteam、devteam）からすべて外れていた。

原因：-G のみで -a（append）を付けなかったため、補助グループが指定したグループのみに上書きされた。

対処方法：元のグループをすべて指定して再設定する。

実行コマンド：

# usermod -aG wheel,appteam,devteam testuser01

予防策：グループ追加時は必ず usermod -aG を使用する。

userdel で「user is currently used by process」が表示される#

症状：userdel testuser01 を実行すると「userdel: user testuser01 is currently used by process XXXX」エラーが発生する。

原因：対象ユーザーが実行中のプロセスが存在する。ログインセッションが残っている、またはバックグラウンドプロセスが動作中の場合に発生する。

対処方法：対象ユーザーのプロセスを確認し、停止してから削除する。

実行コマンド：

# ps -u testuser01

プロセスを確認した後、対象プロセスを停止します。

実行コマンド：

# kill プロセスID

プロセス停止後に userdel を再実行してください。

sudoers の構文エラーで sudo が使えなくなった#

症状：sudo を実行すると「syntax error」や「no valid sudoers sources found」が表示され、すべてのユーザーで sudo が使用不能になった。

原因：/etc/sudoers または /etc/sudoers.d/ 内のファイルに構文エラーがある。visudo を使わずに直接ファイルを編集した場合に発生する。

対処方法：

1. 別の TTY（端末）から root で直接ログインする（Ctrl+Alt+F2 など、物理コンソールまたは仮想コンソール）
2. root でログイン後、visudo を実行して構文エラーを修正する
3. リモート接続のみの環境で root ログインが無効な場合は、サーバーの管理コンソール（ILO、iDRAC、仮想マシンのコンソール）から root でログインする

実行コマンド（root でログイン後）：

# visudo

パスワードをロックしたのに SSH ログインできてしまう#

症状：passwd -l でアカウントをロックしたが、対象ユーザーが SSH で引き続きログインできている。

原因：passwd -l はパスワード認証のみをロックする。SSH 公開鍵認証（~/.ssh/authorized_keys）が設定されている場合、鍵認証によるログインはロックの対象外となる。

対処方法：ログインシェルを /sbin/nologin に変更して、すべての認証方式でログインを拒否する。

実行コマンド：

# usermod -s /sbin/nologin 対象ユーザー

SSH 鍵認証については、SSH設定編で詳しく解説しています。セキュリティ強化の全体像はセキュリティ強化編を参照してください。

AlmaLinux 9 総合リファレンスガイド シリーズ一覧#

1. システム基本情報の確認
2. 初期設定
3. ネットワーク設定（nmcli）
4. パッケージ管理（dnf）
5. ユーザー・グループ管理（この記事）
6. ファイアウォール（firewalld）
7. SSH設定・鍵認証
8. systemd / サービス管理
9. ストレージ・LVM
10. ログ管理（journalctl / rsyslog）
11. cron / systemd timer
12. セキュリティ強化
13. パフォーマンス監視
14. コンテナ管理（Podman）
15. バックアップ・リストア