systemd-sysusers 怎么声明软件包所需系统账号

软件包需要专用系统账号时，应把声明文件安装到 /usr/lib/sysusers.d/包名.conf，再由 systemd-sysusers 创建用户和组。最常见的记录是 u 用户名 - "说明"：u 会在账号不存在时创建系统用户及同名主组，- 表示让系统自动分配 UID/GID。

这种方式只面向服务账号，不适合创建普通登录用户。它把账号需求放进软件包内容，避免在安装脚本中重复拼接 useradd、groupadd 和存在性判断。

为软件包写一份最小声明

假设软件包名为 acme-agent，服务使用 _acme-agent 账号，并需要加入一个只读组。可安装以下文件：

# /usr/lib/sysusers.d/acme-agent.conf
# 创建系统用户及同名主组，UID/GID 由本机自动分配
u _acme-agent - "Acme Agent service account" /var/lib/acme-agent -

# 创建共享读取组，并把服务账号加入该组
g _acme-readers -
m _acme-agent _acme-readers

u 默认创建同名主组；g 单独声明组；m 把已有或本次创建的用户加入组。账号名建议带软件专属前缀，例如下划线开头，降低与管理员创建的普通账号冲突的概率。

让系统分配 UID 和 GID

除非软件协议或跨主机共享存储严格要求固定数字 ID，否则推荐在 ID 字段使用 -。systemd-sysusers 会从系统账号范围中分配可用编号。把任意固定 UID 写进多个软件包，反而容易与发行版或管理员已有账号冲突。

处理配置时，已存在的用户、组和成员关系不会被重复创建，因此同一声明可在安装、升级或启动阶段再次应用。它也不会把已有账号重写成配置里的新属性；声明更适合“首次确保存在”，不是账号迁移工具。

# 查看合并后的 sysusers 配置及来源文件
systemd-sysusers --cat-config

# 只处理当前软件包安装的声明文件
systemd-sysusers /usr/lib/sysusers.d/acme-agent.conf

# 查询最终账号和组，确认 NSS 可以解析它们
getent passwd _acme-agent
getent group _acme-readers

理解发行版配置与管理员覆盖

软件包应写入 /usr/lib/sysusers.d；本地管理员使用 /etc/sysusers.d。同名文件发生冲突时，/etc 的版本优先于 /run 和 /usr/lib。所有配置还会按文件名词典序处理，同一用户或组通常由最早出现的条目生效，后续重复项记录警告。

账号声明不负责创建数据目录

u 记录中的家目录字段只写入用户数据库，并不会创建目录。若服务需要 /var/lib/acme-agent，应由软件包同时提供 tmpfiles.d 规则，并在服务单元中设置 User=_acme-agent。三者职责要分开：sysusers.d 确保身份存在，tmpfiles.d 创建并赋权路径，服务单元选择运行身份。

# /usr/lib/tmpfiles.d/acme-agent.conf
# 创建数据目录并交给服务账号，目录不存在时才建立
d /var/lib/acme-agent 0750 _acme-agent _acme-agent -

官方手册：https://www.freedesktop.org/software/systemd/man/latest/sysusers.d.html

相关问题

为什么不直接在安装脚本里调用 useradd？

sysusers.d 是声明式且幂等的，能由发行版打包工具和启动流程统一处理，也给管理员保留标准覆盖位置；安装脚本则需要自行维护存在性、参数差异和升级行为。

删除软件包时会自动删除账号吗？

不会仅凭 sysusers.d 声明自动安全删除账号和数据。卸载后的账号保留策略应由发行版打包规范决定，避免 UID 被重新分配后与残留文件所有权混淆。