A quoi sert le groupe `shadow` ?

Non, shadow ne devrait pas avoir d'utilisateurs, mais ce groupe est nécessaire pour que les mots de passe fantômes fonctionnent.

Je suppose que l'idée ici est de faire en sorte que le fichier soit accessible par l'utilisateur root et uniquement par lui. Vous pouvez avoir des utilisateurs supplémentaires dans le groupe root, c'est pourquoi le groupe d'utilisateurs séparé a été créé.

Sur ma machine Ubuntu, il y a un certain nombre de commandes qui sont set-group-id to shadow. Cela leur donne exactement et uniquement le privilège de lire les deux fichiers shadow (qui sont groupés à shadow, et uniquement lisibles par le groupe).

-rwxr-sr-x 1 root shadow 35584 Mar 16 11:45 /sbin/pam_extrausers_chkpwd
-rwxr-sr-x 1 root shadow 35544 Mar 16 11:45 /sbin/unix_chkpwd
-rwxr-sr-x 1 root shadow 59224 Jul 20  2015 /usr/bin/chage
-rwxr-sr-x 1 root shadow 23424 Jul 20  2015 /usr/bin/expiry

-rw-r----- 1 root shadow 1043 Apr  2 00:27 /etc/gshadow
-rw-r----- 1 root shadow 1732 Apr  2 00:27 /etc/shadow

Si vous avez un service qui uniquement a besoin de pouvoir lire l'un ou l'autre des fichiers shadow, il suffit de lui faire mettre set-group-id à shadow. C'est en quelque sorte l'opposé de ce qui est suggéré ci-dessus - ce n'est pas qu'il y a beaucoup d'autres personnes qui sont dans le groupe root, c'est que par convention (et permissions de fichiers) ce groupe vous donne accès seulement à ces deux ressources.