А нужен ли нам вообще пользователь «root»?

пользователь root появляется, когда надо както логически ясно обозначить для пользователя системные програмные потоки, имеющие максимальные привилегии.
можно вместо root сделать «супир-пупир-администратора» с id=0, для системных потоков это будет эквипенисуально :)
root - это просто имя для пользователя.

Добавить себя в группу wheel и заблокировать учетку root’а.

У каждого процесса в системе есть uid юзера, который задаёт привилегии процесса. Root имеет uid=0. Когда ты запускаешь программу через sudo, она запускается с uid=0. Так что root обязан существовать в системе как минимум чтобы различать приложения запущенные с обычными и админскими правами.

Но можно запретить вход под root (как это сделано по умолчанию в убунте) и запускать от его имени программы только через sudo.

Вот! Теперь стало полностью понятно. «Делая скидку на ваше образование» (с) :)

Спасибо!

Но можно запретить вход под root (как это сделано по умолчанию в убунте) и запускать от его имени программы только через sudo.

Надо уточнить: не «запретить вход под root» а «запретить вход под root по его паролю». Потому как остальные способы (sudo - один из них) продолжают работать.

С точки зрения програмирования, программ которые запущены - рут не нужен. Не нужен и судо. Ставите правильные effective capabilities и программист сам включет что нужно в правильный момент. Можно поставить userns со случаейным выбраным uid. Только народ так не делает. Ядро бы само могло ставить правильные capabilities на каждом системном вызове но это серьёзно понижает хакуемость программ. Нет никаких (кроме политических) причин чтобы systemd/gdm(gnome) были запущены как рут. :(

Извеняюсь, ставите permitted capabilities, а не effective

sudo -s
sudo -i

Это не то решето в котором регулярно находят уязвимости?

Если конкретным компьютером пользуетесь Вы, Вы и только Вы и разумеется он не подключён к допустм корпоративной сетке и Вы не храните на этом компьютере вообще никакой критически важной информации то НИКАКОЙ ДРУГОЙ пользователь кроме root не нужен :)