在Ubuntu终端中,许多从其他Linux发行版（如CentOS或Debian）迁移过来的用户，常常会遇到一个令人困惑的场景：当他们尝试使用传统的 su - 命令切换到root用户时，系统会提示“Authentication failure”（认证失败）错误，即使他们确信没有输错密码，问题依旧存在，这并非系统故障，而是Ubuntu精心设计的一种安全机制，本文将深入探讨这一报错背后的原因，并提供多种解决方案，帮助您理解并遵循Ubuntu的最佳实践。
Ubuntu的哲学：为何默认禁用root账户？
要理解这个报错,首先需要理解Ubuntu的用户管理哲学，与许多其他Linux发行版不同，Ubuntu默认情况下会禁用root用户的直接登录，这里的“禁用”并非指删除了root账户，而是指该账户没有设置密码，因此无法通过密码验证的方式直接登录或使用su命令切换。
这种设计的核心理念源于“最小权限原则”，即用户和进程只应拥有执行其任务所必需的最小权限，通过禁用root的直接访问，Ubuntu旨在实现以下几个关键目标：
- 增强系统安全性：root账户拥有系统的最高权限，一旦其密码泄露或被暴力破解，整个系统将面临巨大风险，禁用root账户从根本上杜绝了这种攻击向量。
- 防止误操作：长期以root身份工作，一个简单的命令错误（如
rm -rf /的误输入）就可能导致整个系统被摧毁，通过限制root的使用，强制用户在执行高危操作前进行思考。 - 提升可审计性：当使用
sudo执行命令时，系统会详细记录是哪个用户在什么时间执行了什么操作，这些日志通常保存在/var/log/auth.log文件中，为系统审计和故障排查提供了宝贵的依据，而如果多人共享一个root账户，将很难追踪具体的操作责任人。
当您在Ubuntu中输入 su - 并报错时，系统实际上是在告诉您：“嘿，这不是我们推荐的操作方式，请使用更安全、更可控的sudo机制。”
解决方案一：推荐——使用sudo获取临时root权限
在Ubuntu的世界里,sudo（superuser do）是执行管理员任务的首选和标准方式，当您安装Ubuntu时，创建的第一个用户会被自动添加到sudo组中，该组的成员就有权使用sudo命令提升权限。
基本用法：
在需要管理员权限的命令前加上 sudo 即可，更新软件包列表：
sudo apt update
执行此命令后,系统会提示您输入当前用户的密码（而不是root密码），输入密码后（密码不会显示在屏幕上），命令就会以root权限执行，为了方便，sudo默认有15分钟的“密码缓存”，在此期间内再次使用sudo无需重复输入密码。
获取持久的root Shell：
如果您确实需要执行一系列需要root权限的操作,不希望每次都输入sudo，可以使用以下两种方式之一来获得一个临时的root Shell环境：
：这是最推荐的方式，它会模拟root用户的登录过程，加载root的环境变量（如 PATH,HOME等），并切换到root的家目录（/root）。sudo -i
：这个命令组合实际上是通过 sudo来执行su -命令，它同样能达到切换到root用户并加载其环境的目的，效果与sudo -i非常相似，对于习惯了su这是一个平滑的过渡。sudo su -
无论是使用 sudo -i 还是 sudo su -，您输入的依然是您自己的用户密码，当您完成所有管理任务后，只需输入 exit 即可退回到普通用户Shell。
解决方案二：不推荐——为root账户设置密码
如果您有特殊需求,例如运行某些老旧脚本或软件，它们硬编码了对root账户的依赖，您可以选择为root账户设置一个密码，从而“解锁”su命令。
操作步骤：
打开终端,执行以下命令：
sudo passwd root
系统会首先提示您输入当前用户的密码以获取sudo权限，然后连续两次提示您为root账户设置新的UNIX密码，设置成功后，root账户就被“激活”了。
您就可以使用传统的 su - 命令，并输入刚刚设置的root密码来切换到root用户了。
su -
重要警告：
尽管此方法可行，但强烈不推荐在日常使用中这样做，这会使您的系统暴露在前面提到的安全风险之下，并且违背了Ubuntu的设计初衷，仅在绝对必要且您清楚其风险的情况下使用此方法，并在任务完成后考虑通过 sudo passwd -l root 命令再次锁定root账户。
常见问题与命令对比
为了更清晰地理解不同命令之间的区别,下表进行了简要对比：
| 方法 | 命令示例 | 需要的密码 | 优点 | 缺点/风险 |
|---|---|---|---|---|
| 临时提权 | sudo <command> | 当前用户密码 | 安全、操作精细、可审计、符合Ubuntu设计 | 每次执行高危命令都需要确认（有缓存） |
| 切换用户 | su - | root密码 | 直接获得root Shell，环境纯粹 | 需提前启用root，安全性低，操作不可追溯 |
| 推荐Shell | sudo -i | 当前用户密码 | 安全地获得root Shell，可审计，操作便捷 | 仍需警惕在root Shell下的误操作 |
| 过渡Shell | sudo su - | 当前用户密码 | 结合sudo的安全性和su的熟悉感 | 与sudo -i类似，但sudo -i是更原生的方式 |
相关问答 (FAQs)
Q1: 为什么使用 sudo 时系统要求输入我自己的密码，而不是root的密码？
A: 这是sudo机制的核心设计。sudo的授权是基于“用户”而非“root账户”的，系统通过验证您（一个被信任的、属于sudo组的用户）的身份，来授权您临时的root权限，这样做的好处是，系统的最高权限（root密码）本身是不存在的，也就无法被窃取，每一个通过sudo执行的操作都会与您的用户账户明确关联，便于审计和追责，如果系统要求输入root密码，那意味着需要多人共享这个密码，这会带来严重的安全和管理隐患。
Q2: sudo 和 su 的根本区别是什么？
A: 它们的根本区别在于权限提升的层级和目标。
的核心功能是“切换用户”，当您执行 su -时，您是在请求成为另一个用户（默认是root）的身份，它需要目标用户的密码进行验证，一旦成功，您就获得了该用户的完整身份和环境，直到您退出。的核心功能是“以另一个用户（通常是root）的身份执行命令”，它本身并不切换您的用户身份，您依然是原来的用户，只是您执行的某一个或某一系列命令被赋予了更高的权限，它的验证基于您当前用户的身份和权限（通过 /etc/sudoers文件配置），并且通常只要求输入您自己的密码。
su是“变成他”，而sudo是“借他的权力办事”，Ubuntu推崇后者，因为它更安全、更可控。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复