Comprendre root, sudo et les utilisateurs Linux

Sur un VPS, root peut tout faire : modifier le noyau logique du système, supprimer des fichiers, changer les droits, écouter des ports. Travailler en root en permanence multiplie donc les conséquences d'une faute de frappe. sudo existe pour accorder ponctuellement ce pouvoir à un compte nominal, sans partager le mot de passe root.

root, l'utilisateur UID 0

root est identifié par l'UID 0, pas par son nom. Les contrôles de permission du noyau comparent des identifiants numériques : renommer le compte ne change rien à ses pouvoirs. root ignore la plupart des vérifications de droits et peut lire, écrire et supprimer presque tout.

id
whoami

id affiche l'UID, le GID et les groupes. Un compte nominal a un UID supérieur à 1000 ; root a uid=0(root). C'est ce 0 qui compte, pas le mot « root ».

sudo, une délégation ponctuelle

sudo exécute une commande avec les privilèges d'un autre utilisateur, root par défaut. Vous vous authentifiez avec votre mot de passe, pas celui de root, et le pouvoir ne dure que le temps de la commande.

sudo systemctl restart nginx
sudo -l
sudo -i

sudo -l liste ce que votre compte est autorisé à lancer. sudo -i ouvre un shell root complet : pratique, mais revenez ensuite à votre compte. sudo -s fait la même chose sans réinitialiser l'environnement, ce qui peut surprendre avec PATH.

Le groupe sudo et sudoers

Sur Debian 13, les membres du groupe sudo obtiennent tous les droits par une règle fournie dans /etc/sudoers. Pour accorder sudo :

sudo usermod -aG sudo utilisateur

L'utilisateur doit se reconnecter pour que le nouveau groupe s'applique. Pour une règle plus fine, créez un fichier dans /etc/sudoers.d/ et modifiez-le uniquement avec visudo -f. visudo vérifie la syntaxe : une erreur dans ce fichier peut vous priver de sudo.

Sessions et traçabilité

sudo journalise la commande, l'utilisateur et l'heure. Avec journald :

journalctl SYSLOG_IDENTIFIER=sudo --since today

Une session root ouverte reste active même après un changement de mot de passe. Fermez les shells inutilisés et évitez de laisser un terminal root dans un multiplexeur partagé. su - demande le mot de passe root et ouvre un environnement complet ; préférez sudo -i quand votre compte est déjà autorisé.

Bonnes pratiques

• Un compte nominal par personne, jamais un compte partagé.
• root réservé aux réparations, pas au travail quotidien.
• sudo pour les commandes précises, pas sudo bash par réflexe.
• Aucun chmod 777 pour « faire marcher » un service.
• Vérifiez sudo -l après chaque changement de droits.
• Désactivez la connexion SSH directe en root une fois un utilisateur sudo testé.