在Ubuntu系统中，默认情况下root用户账号是被锁定且无法直接登录的，若需启用需通过sudo权限修改密码并配置SSH，而通常建议保持禁用状态以保障系统安全。
Ubuntu作为全球最受欢迎的Linux发行版之一，其设计理念与Windows或macOS截然不同，它强调“最小权限原则”，即普通用户在日常操作中不应拥有最高权限，这种设计并非为了增加难度，而是为了防止误操作导致系统崩溃或安全漏洞被利用，对于许多刚接触Linux的用户来说，理解并掌握root用户的启用与禁用逻辑,是进阶使用的关键一步。
为什么Ubuntu默认禁用root直接登录？
在深入操作之前，我们需要先厘清“禁用root”的真实含义，在Ubuntu中，root账户并非不存在，而是处于“锁定”状态，这意味着你无法使用su -命令直接切换,也无法通过图形界面或SSH使用root账号密码登录。
业内专家指出,这种设计主要基于以下三个核心考量：
- 审计追踪：所有特权操作都通过
sudo执行，系统会记录是谁、在什么时间、执行了什么命令，如果直接使用root，操作者身份将模糊不清,难以追责。 - 防止误杀：root权限下，一条错误的
rm -rf /命令足以毁灭整个文件系统，普通用户即使犯错,影响范围也局限于个人目录。 - 安全加固：暴力破解攻击通常针对root账户,禁用直接登录可以屏蔽掉绝大多数针对最高权限账户的自动化攻击脚本。
行业共识认为，对于服务器环境，保持root远程登录禁用是基本的安全基线，在某些特定场景下，如嵌入式开发、老旧系统维护或自动化脚本调试,启用root访问可能更为便捷。
如何在Ubuntu中启用root用户账号？
启用root用户并非修改配置文件，而是为root账户设置一个独立的登录密码，一旦设置了密码，该账户即被“解锁”。
通过sudo设置root密码
这是最基础也是最关键的一步，你需要拥有一个具有sudo权限的普通用户账号，打开终端,输入以下命令：
sudo passwd root
系统会提示你输入当前用户的密码以验证权限，验证通过后，系统会要求你输入两次新的root密码，输入密码时屏幕上不会显示任何字符，这是Linux的安全机制,请勿惊慌。
验证root账户状态
设置密码后,你可以尝试切换身份来验证是否成功：
su -
输入刚才设置的root密码，如果成功进入root@hostname:~#提示符，说明root账户已启用,你可以像Windows管理员一样直接使用root身份操作。
配置SSH允许root远程登录（可选）
如果你需要通过SSH远程连接root账户，还需要修改SSH配置文件，默认情况下，即使root有密码,SSH服务也拒绝root登录。
- 编辑SSH配置文件：
sudo nano /etc/ssh/sshd_config
- 找到
PermitRootLogin这一行。 - 将其修改为：
PermitRootLogin yes
- 保存并退出（在nano中按
Ctrl+O保存，Ctrl+X退出）。 - 重启SSH服务使配置生效：
sudo systemctl restart ssh
据工信部相关安全指南建议，启用root远程登录必须配合强密码策略，并最好禁用密码登录，改用SSH密钥认证,否则极易遭受暴力破解攻击。
如何禁用或锁定root用户账号？
如果你已经启用了root账户，或者担心账户泄露，可以随时将其重新锁定，锁定操作会清除root的密码，使其再次处于“无密码”状态,从而无法通过密码登录。
使用passwd命令锁定
这是最推荐的方法，因为它不会删除账户,只是移除登录凭证。
sudo passwd -l root
执行后，系统会提示“passwd: password expiry information changed.”，表示锁定成功，再次尝试su -或SSH登录，都会提示“Authentication failure”。
使用usermod命令锁定
另一种等效的方式是使用usermod：
sudo usermod -L root
-L
参数意为Lock（锁定），这与passwd -l效果相同，但usermod提供了更多的用户管理选项。
彻底删除root账户（不推荐）
虽然技术上可行，但删除root账户可能导致某些依赖root权限的系统服务异常，除非你有极特殊的理由，否则不建议使用userdel root。
启用与禁用root账号的场景对比
为了帮助读者更好地决策,我们整理了不同场景下的最佳实践。
| 场景类型 | 推荐状态 | 理由 | 风险等级 |
|---|---|---|---|
| 生产环境服务器 | 禁用 | 符合安全合规要求，便于审计，防止内部误操作。 | 低 |
| 个人开发机/虚拟机 | 可选 | 方便调试，但需确保物理访问安全。 | 中 |
| 自动化脚本执行 | 禁用 | 建议使用sudoers配置特定命令权限，而非全权root。 | 低 |
| 系统恢复/救援模式 | 启用 | 在系统故障时，root权限是修复系统的唯一途径。 | 高 |
多数情况下，对于家庭用户或学习Linux的新手，保持默认设置（禁用root直接登录）是最佳选择，通过sudo执行命令，既能获得必要的权限,又能保留操作日志。
常见误区与安全建议
在操作root账户时，许多用户容易陷入误区,以下是几个关键的安全建议：
root密码可以简单设置
如果启用了root账户，务必设置高强度密码，包含大小写字母、数字和特殊符号，长度不少于12位，简单的密码如“123456”或“root”在自动化攻击面前不堪一击。
sudo权限等同于root
sudo权限是临时的、可审计的，而root账户是永久的、无限制的，拥有sudo权限的用户，在不知道root密码的情况下，无法直接获取root身份，不要随意将普通用户加入sudo组,除非你信任该用户。
禁用root后无法进行系统维护
这是一个常见的误解，即使root账户被锁定，你仍然可以通过sudo -i或sudo su切换到root环境进行维护，这比直接登录root账户更安全，因为每次切换都需要输入当前用户的密码,并留下日志记录。
Q&A：关于Ubuntu Root账户的常见问题
Ubuntu中如何彻底删除root用户？
虽然不建议这样做，但如果你确实需要移除root账户，可以使用sudo userdel root命令，但这会导致某些系统服务无法启动，因为许多服务默认以root身份运行，更安全的做法是保持账户存在但锁定密码，即使用sudo passwd -l root。
忘记root密码怎么办？
如果你启用了root账户但忘记了密码，且当前没有sudo权限，你需要进入恢复模式，重启电脑，在GRUB菜单中选择“Advanced options for Ubuntu”，然后选择带有“recovery mode”的内核，在恢复菜单中选择“root Drop to root shell prompt”，然后使用passwd root重新设置密码。
启用root登录后，sudo命令还会生效吗？
是的，sudo命令依然有效，启用root账户只是允许你通过密码直接登录root身份，并不影响sudo的配置，你仍然可以使用sudo command来执行特权命令，且每次执行都会记录日志，两者可以共存，但建议根据安全需求选择其中一种方式,避免权限混淆。
Ubuntu对root账户的管理体现了其安全至上的设计哲学，对于绝大多数用户，保持root账户锁定，通过sudo进行特权操作，是兼顾安全性与便利性的最佳实践，只有在特定的调试或维护场景下，才应考虑临时启用root账户，并在完成后及时锁定,以确保系统的长期安全稳定。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/413854.html
