用 usermod -ag 组名 用户名 添加用户到组，需 root 权限；生效需重新登录或 exec su -l $user；centos/rhel 需启用 %wheel；检查挂载选项是否禁用设备权限。
怎么把用户加进某个组（比如 docker 或 sudo）
Linux 里加组不是改文件，而是用命令实时生效。最常用的是 usermod，但得注意它默认不保留用户原有组成员关系——加新组时容易把旧组踢掉。
正确做法是加 -aG 参数：usermod -aG docker alice。其中 -a 表示“append”，-G 指定附加组列表。漏掉 -a 就会清空用户除主组外的所有组成员身份，这是高频翻车点。
- 必须用 root 或
sudo执行，普通用户无权修改组关系 - 用户当前登录的 shell 不会自动继承新组权限，需重新登录或运行
newgrp docker（仅对当前 shell 有效） - 如果用户正在运行
docker命令却提示 “permission denied”，大概率是没重登，别急着查 daemon 配置
groups 和 id 查不到刚加的组？
加完组后立刻运行 groups 或 id，可能还是看不到新组名——这不是命令失效，而是 shell 会话仍沿用登录时的组信息。
验证是否生效，不能只信输出，得看实际权限：比如尝试 docker ps 或 sudo -l。真要刷新组信息，有两个办法：
- 退出终端，重新 SSH 登录或切换用户（最稳妥）
- 在当前会话执行
exec su -l $USER，强制重载用户环境（比newgrp更彻底）
别反复跑 usermod，重复执行不会报错，但也没用；组关系只在登录瞬间加载一次。
为什么 sudo 组用户执行命令还是提示 “user is not in the sudoers file”
加进 sudo 组只是第一步。Debian/Ubuntu 默认启用 sudo 组权限，但 CentOS/RHEL 系发行版默认只认 wheel 组，且 /etc/sudoers 里对应行被注释了。
检查方法：运行 grep -E '^(%sudo|%wheel)' /etc/sudoers。常见情况有：
- CentOS 8+ 默认没开
%wheel，需取消# %wheel ALL=(ALL) ALL前的# - 有些最小化安装连
sudo包都没装，先确认which sudo是否有输出 -
sudoers文件语法敏感，手写修改必须用visudo，直接vim编辑出错会导致所有用户无法提权
组权限不生效的隐藏原因：文件系统挂载选项
遇到明明加了组、也重登了，docker 或 usb 设备仍访问失败，先别怀疑用户配置——检查设备节点所在文件系统是否用了 noexec、nosuid 或 nodev 挂载选项。
例如 /dev 下的 docker socket 权限依赖 group 属性，但如果 /var/run 是 tmpfs 且挂载时带了 nosuid,nodev，某些内核版本会忽略设备节点的组权限位。
- 用
mount | grep "$(df -P /var/run | tail -1 | awk '{print $1}')查挂载参数 - 临时修复可 remount：
mount -o remount,suid,dev /var/run（重启后失效） - 永久修改需调整
/etc/fstab对应行，去掉禁用项
这类问题不会报明确错误，只会静默拒绝访问，排查时容易绕远路。
