Изменить пароль рута

sudo su
passwd

Нет Убунты под рукой. Должно быть что-то такое:
sudo passwd -l root

Сделал. sudo su все равно переводит без запроса пароля.

man sudo

sudo и не будет запрашивать пароль рута, она запрашивает пароль юзера который её вызывает. Пароль рута запрашивает su.

sudo su
passwd

Это установило пароль пользователю root, но это не безопасно: в убунте у рута вроде бы отнят и пароль и шелл, чтобы под него нельзя было залогиниться.

Тебе нужно чтобы sudo всегда запрашивал пароль?

И безопасно ли иметь такие параметры в sudoers?

Нет. Это фактически работа под рутом.

$ sudo passwd root

/thread

sudo и не будет запрашивать пароль рута, она запрашивает пароль юзера который её вызывает.

Но если быть совсем честным, то sudo можно настроить что бы пароль рута спрашивал.

в убунте у рута вроде бы отнят и пароль и шелл, чтобы под него нельзя было залогиниться.

4.2. Только пароль.

Ааа. Это многое объясняет. Спасибо.

А как бы вы советовали настроить sudoers?

sudoers оставь как есть, Дай выхлоп команды id

не увидел там NOPASSWD: ALL, значит sudo должен запрашивать пароль

sudo некоторое время помнит пароль (из «коропки») и не запрашивает его в рамках той же сессии (процесса).

Но если быть совсем честным, то sudo можно настроить что бы пароль рута спрашивал.

Ага:

Defaults rootpw

А как бы вы советовали настроить sudoers?

https://www.opennet.ru/cgi-bin/opennet/man.cgi?topic=sudoers&category=5 Видишь длину мана к конфигу? Простой ответ тут дать сложно, но по уже существующим настройкам: поменяй ALL на конкретные значения.

Какой примерно уровень параноидальности тебе в итоге нужен?

судя по тому, что ТС говорит:

sudo не запрашивает пароля

он его не «помнит», а именно не спрашивает. Вангую, что ТС не состоит в группе admin и sudo, которым разрешено пускать все , но только с паролем, а в какой-нибудь левой группе, которой указано NOPASSWD: ALL и настройки которой подгружаются откуда-то из /etc/sudoers.d/*

Хотя это можно указать и для конкретного логина, так что, ТС, скидывай нам еще ls /etc/sudoers.d/

И вообще, тут https://alestic.com/2009/04/ubuntu-ec2-sudo-ssh-rsync/ говорят:

The official Ubuntu images for EC2 are configured so that no password is required for sudo from the “ubuntu” user. Yes, this sacrifices a bit of security from standard Ubuntu operation, but any published hardcoded password would be more unsecure, and randomly assigned passwords quickly become unmanageable when running many instances, in addition to preventing some types of remote automation described below.

Note that this policy does not allow logging in to the “ubuntu” user without a password. The password is disabled for login and not required for sudo. Login is done through the usual EC2 ssh keypair management as described above.

If you wish to increase security in this area, set the ubuntu user password and adjust the /etc/sudoers file.

и советуют выполнить такие команды:

sudo passwd ubuntu
sudo perl -pi -e 's/^(ubuntu.*)NOPASSWD:(.*)/$1$2/' /etc/sudoers

То есть установка пароля для пользователя ubuntu и снятие NOPASSWD для пользователя ubuntu