Gestión de usuarios y grupos en Linux

El usuario root es la cuenta de administrador del sistema en Linux, también llamada superusuario, y se caracteriza por tener poder absoluto sobre la máquina. A diferencia de los usuarios normales, cuyos permisos están acotados, root puede leer y modificar cualquier archivo del sistema sin importar sus permisos, instalar y desinstalar software, crear y eliminar otros usuarios, cambiar la configuración global, iniciar y detener servicios y, en definitiva, hacer cualquier cosa. Este poder ilimitado es necesario para administrar el sistema, pero también es su mayor riesgo, porque cuando se trabaja como root no existe ninguna red de seguridad: un simple error, como escribir mal la ruta de un comando de borrado, puede eliminar archivos críticos o inutilizar el sistema, y cualquier programa que se ejecute, incluido software malicioso, lo hace con ese mismo poder total. Por esta razón, la práctica recomendada en Linux no es iniciar sesión como root ni trabajar habitualmente con esa cuenta, sino usar una cuenta de usuario normal para el día a día y recurrir a los privilegios de administrador solo cuando una tarea concreta los requiere, mediante la herramienta sudo. De hecho, muchas distribuciones modernas dejan la cuenta de root sin contraseña para iniciar sesión directamente y canalizan toda la administración a través de sudo, precisamente para fomentar este hábito más seguro.

sudo, cuyo nombre proviene de superuser do, es una herramienta que permite a un usuario normal autorizado ejecutar un comando concreto con privilegios de administrador, anteponiendo la palabra sudo al comando en cuestión. Su ventaja frente a iniciar sesión como root o cambiar a esa cuenta es que eleva los privilegios únicamente para esa acción puntual, y no para toda la sesión, de modo que en cuanto el comando termina se vuelve a trabajar con permisos normales, lo que reduce enormemente el riesgo de accidentes. Además, sudo pide la contraseña del propio usuario antes de ejecutar la acción, lo que actúa como confirmación consciente de que se va a hacer algo con poder elevado, y deja un registro de qué usuario ejecutó qué comando y cuándo, lo que proporciona trazabilidad y es muy valioso en sistemas compartidos o en servidores. Todo esto hace que sudo sea la forma correcta de ejercer privilegios administrativos: en lugar de andar permanentemente con poder total, expuesto a que cualquier error o programa cause un daño irreparable, se trabaja de forma segura y solo se pide el poder de administrador para las acciones específicas que lo necesitan. El permiso para usar sudo se concede añadiendo al usuario a un grupo administrativo especial, y se puede afinar para permitir solo ciertos comandos, lo que encaja con el principio de mínimo privilegio.

Un usuario es una identidad individual con la que se accede y se opera en el sistema, y tiene asociados un nombre, un identificador numérico, una carpeta personal y un conjunto de permisos propios; puede corresponder a una persona real o a un servicio del sistema que necesita su propia identidad acotada. Un grupo, en cambio, es un conjunto de usuarios reunidos bajo un nombre común, y su propósito principal es facilitar la gestión de permisos compartidos. La idea es que, en lugar de conceder acceso a un recurso a cada usuario individualmente, lo cual sería tedioso y difícil de mantener, se concede el acceso al grupo y luego se añade o se quita usuarios de ese grupo según corresponda. Por ejemplo, si varios miembros de un equipo deben poder editar los archivos de un proyecto compartido, se crea un grupo para el proyecto, se otorgan permisos de escritura de grupo sobre la carpeta correspondiente, y se añade a los miembros al grupo; a partir de ese momento, dar o quitar acceso a una persona es tan simple como incluirla o excluirla del grupo, sin tener que tocar los permisos de cada archivo. Cada usuario pertenece siempre al menos a un grupo principal, que suele crearse con su mismo nombre, y puede pertenecer además a varios grupos secundarios que le otorgan accesos adicionales. Esta combinación de usuarios y grupos es la base sobre la que se construye todo el sistema de permisos de Linux.

Para crear un nuevo usuario en Linux se utilizan comandos que requieren privilegios de administrador, por lo que se ejecutan con sudo. Existen dos comandos habituales con propósitos ligeramente distintos. El comando adduser, disponible en distribuciones como Debian y Ubuntu, es el más cómodo para un uso interactivo, porque guía el proceso paso a paso: crea el usuario, genera su carpeta personal, pide establecer una contraseña y solicita algunos datos opcionales, dejando la cuenta lista para usar con valores sensatos por defecto. El comando useradd, presente en prácticamente todas las distribuciones, es más básico y de más bajo nivel, y suele requerir indicar explícitamente opciones como la creación de la carpeta personal o el intérprete de comandos por defecto, por lo que se usa más en scripts y automatizaciones. Tras crear el usuario, normalmente se establece o cambia su contraseña con el comando passwd seguido del nombre del usuario. Si además se quiere que la nueva cuenta pueda realizar tareas administrativas, hay que añadirla al grupo administrativo correspondiente, que según la distribución se llama sudo o wheel, empleando el comando usermod con las opciones adecuadas, recordando siempre incluir la opción de añadir para no eliminar al usuario de sus otros grupos. Con estos pasos, crear una cuenta, asignarle contraseña y decidir si tendrá privilegios de administrador, queda configurado un usuario operativo y con el nivel de acceso deseado.

La opción de añadir en el comando usermod, que se escribe como una a minúscula junto a la opción de grupos, es fundamental y su omisión es una de las causas más frecuentes de problemas al gestionar usuarios. Cuando se usa usermod con la opción de grupos para asignar un usuario a uno o varios grupos secundarios, el comportamiento por defecto, es decir sin la opción de añadir, es reemplazar por completo la lista de grupos secundarios del usuario por la que se especifica en el comando. Esto significa que si se indica un solo grupo sin la opción de añadir, el usuario quedará únicamente en ese grupo y será eliminado automáticamente de todos los demás grupos secundarios a los que pertenecía. El peligro concreto y muy habitual es que, al intentar añadir a un usuario a un grupo nuevo, se lo saque sin querer del grupo administrativo que le daba acceso a sudo, dejándolo de golpe sin capacidad de realizar tareas de administración, lo que en un servidor remoto puede ser especialmente problemático. Al incluir la opción de añadir, en cambio, el comando agrega el usuario al grupo indicado conservando todos sus grupos anteriores, que es casi siempre el comportamiento deseado. Por eso la recomendación práctica es memorizar que, para añadir a alguien a un grupo, se debe usar siempre la combinación con la opción de añadir, y reservar la forma sin ella únicamente para los casos en que realmente se quiera redefinir por completo la pertenencia a grupos secundarios.

Muchos servicios del sistema, como los servidores web, las bases de datos o los servidores de correo, se ejecutan bajo su propia cuenta de usuario dedicada, y normalmente esa cuenta no tiene la capacidad de iniciar sesión como lo haría una persona. La razón de fondo es el principio de mínimo privilegio aplicado a la seguridad: al darle a cada servicio una identidad propia con permisos estrictamente limitados a lo que necesita, se acota el daño que podría producirse si ese servicio fuera comprometido por un atacante. Si un servicio se ejecutara como root y alguien lograra explotar una vulnerabilidad en él, obtendría poder total sobre toda la máquina; en cambio, si ese mismo servicio se ejecuta con una cuenta restringida que solo puede acceder a sus propios archivos y directorios de trabajo, un atacante que lo comprometa queda confinado a ese ámbito limitado y no puede tocar el resto del sistema ni los datos de otros servicios y usuarios. Además, tener una cuenta por servicio mejora la trazabilidad, porque permite saber qué proceso escribió qué archivo o generó qué actividad, y facilita aplicar permisos precisos sobre los recursos que cada servicio debe manejar. Por todo ello, ejecutar los servicios con usuarios propios y acotados en lugar de como root es una práctica de seguridad estándar y muy recomendable, especialmente en servidores expuestos a internet.