多人共用一台计算机时，图省事而共用一个账号，往往会让文件归属、进程来源和故障责任都变得模糊。配置多用户共享GPU工作站的账号与权限配置，关键不是把所有操作都锁住，而是分别管理登录身份、文件访问和设备使用。
先拆开三类权限，避免一把锁管到底
- 账号权限：每人使用独立账号，保留个人主目录和个人进程身份。这样查看运行进程、定位文件所有者及撤销某位成员的访问权都更直接。
- 文件权限：个人目录默认仅本人可读写；协作目录按项目或任务划分，分别设定只读、可写成员。
- 设备权限：只让需要计算的账号访问GPU设备，不必因此授予管理员权限。设备节点的归属和权限会随驱动、发行版及部署方式变化，应先检查实际配置，再决定使用哪个组。
这套多用户共享GPU工作站的账号与权限配置，应遵循最小权限原则：成员获得完成工作的权限，不顺带获得安装软件、改系统设置或读取他人目录的权限。
用个人目录和共享目录兼顾隔离与合作
个人文件各自负责
将临时实验文件、个人配置和未发布结果放在个人主目录。避免把工作站设置成所有用户都能读写彼此的主目录，否则误删、覆盖和意外暴露数据的风险都会上升。
共享区域按用途分层
可将共享空间分为只读资料区、项目协作区和结果交付区。公共数据由负责人维护为只读；协作区仅向项目成员开放写入；交付区由指定人员整理。POSIX权限适合简单的所有者、用户组和读写规则；访问控制列表（ACL）则能在不改变目录所有者的情况下，额外授权个别账号，适合成员交叉的项目。
在共享目录上启用继承式组权限，有助于新建文件继续归属协作组。仍需检查应用程序创建文件时的权限设置，因为部分程序会生成其他成员无法修改的文件。涉及敏感资料时，不要把共享目录设成所有本机用户均可访问。
按步骤配置，再验证真实访问范围
- 建立个人身份：为每位使用者创建独立账号，不共享密码；仅将需要协作的成员加入相应项目组。
- 划分目录：保留个人目录的私有权限，创建项目共享目录；先明确资料区、协作区和交付区的读写责任，再设置用户组权限或ACL。
- 开放GPU访问：查看设备节点当前的所有者、所属组及权限，仅向计算用户开放必要访问。不要简单地把所有设备权限改成任何本机用户都可读写；驱动更新后还要复核规则。
- 限制管理权限：普通用户不应因需要运行计算而获得完整管理员权限。若使用容器，需审慎管理容器运行时的访问权限；把用户加入某些容器管理组，在部分配置中可能等同于授予较高系统权限。
- 用第二个账号验收：分别测试能否进入个人目录、读取公共资料、写入项目目录及启动GPU程序；再测试非项目成员能否访问项目文件。权限设置完成后，让成员重新登录以刷新组权限。
权限之外，还要管理GPU争用
允许多人访问设备，不等于系统已经为每个人预留显存或计算时间。多个程序同时运行时，可能争用显存、降低速度，甚至因显存不足而报错。可约定任务登记信息，例如负责人、预计运行时段、所需设备和联系方法，并使用系统已有的进程及显存监控工具观察占用。遇到持续争用时，先协调运行时段或任务优先级。
若工作站具备支持硬件与相应软件配置，可评估硬件级分区能力；并非所有GPU都支持此类隔离，也不能仅凭账号组实现显存配额。对普通单机环境，清晰的排期、任务标识和可联系到的负责人，往往比增加复杂权限规则更容易落地。
常见问题
多人可以共用一个账号吗？
不建议。独立账号便于追踪文件与进程，也能在人员变动时单独撤销权限。
加入GPU设备组后，能访问其他人的文件吗？
不必然。设备访问组与目录权限应分开配置；是否能读写文件，取决于目录所有者、用户组和ACL等规则。
权限配置能限制每人使用多少显存吗？
普通文件权限和账号组通常不能直接设定显存配额。应结合硬件能力、软件隔离方式或任务排期管理资源。
共享目录为什么要测试新建文件？
文件可能继承目录权限，也可能受创建程序的权限设置影响。用不同成员实际创建、编辑和读取文件，才能确认协作规则有效。
把账号、目录和设备权限分别设置，再用不同身份验收，是多用户共享GPU工作站的账号与权限配置中最值得优先落实的做法：个人空间保持独立，协作资料按组开放，GPU访问有边界，资源冲突另行协调。
