简介针对 Ubuntu 20.04 默认禁用 root 账户的问题这份 PDF 教程面向需要以 root 身份进行系统管理、安装软件或执行高权限命令的 Linux 用户完整梳理了从创建 root 密码到实现开机手动登录的一系列操作步骤。资源为单个 PDF 文档共 1 个文件压缩包大小约 1.97MB内容以终端命令和系统配置文件修改说明为主步骤式排版清晰命令、路径与示例一一对应方便随时查阅。目前已有 4026 人学习下载对 Ubuntu 初学者尽快启用 root 账户很有帮助。教程依次讲解了 sudo passwd root 设置密码、在 /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf 中增加 greeter-show-manual-login 与 all-guest 配置、注释 /etc/pam.d/gdm-autologin 和 /etc/pam.d/gdm-password 中针对 root 的认证限制、以及修改 /root/.profile 为 tty -smesg n || true 等关键处理每一步都附有明确的文件路径和命令还特别提醒直接使用 root 可能导致的系统风险。通过这份资料既能顺利完成 root 登录配置也能理解 Ubuntu 图形界面登录与 PAM 认证的基本关系同时规避操作误区适合系统学习 Linux 用户管理。1. Ubuntu 20.04 的 root 账户为什么默认锁死什么场景才值得放开它新装完 Ubuntu 20.04你会发现安装过程根本没有设置 root 密码这一步sudo命令倒是能跑但真正的 root 账户始终处于锁定状态。平时用 sudo 够用可一旦落到几个具体场景——比如手里一块 rk3588 开发板要跑烧写脚本、装完显卡驱动后想直接用 root 图形界面调参数、或者你在 VMware 虚拟机里反复切换登录器做系统级调试——没有 root 图形登录权限就会非常别扭。这篇把 Ubuntu 20.04 开启 root 账户的完整流程拆开讲一遍从sudo passwd root设置密码到修改登录器配置、注释 PAM 规则、修复 root 家目录的.profile每一步都会交代命令在干什么、参数是什么含义、哪里容易翻车。适合刚装完系统想一次性配好的人也适合系统已经在用、需要验证 root 登录状态的老手对照检查。2. 开启 root 账户第一步设置 root 密码以及验证密码状态2.1 为什么安装时没有 root 密码/etc/shadow 与 sudo 机制Ubuntu 从很早的版本开始就走「安装时不设置 root 密码、日常用 sudo 提权」的路子。安装器会把 root 账户在/etc/shadow里的密码字段写成一个锁定标记通常是!或*。这个标记意味着 root 的密码验证被永久关闭任何方式的密码输入都无法通过自然也没法在登录界面用 root 身份登录。这种设计不是偷懒而是为了避免用户长期以 root 身份操作造成误删误改。sudo走的是另一套机制普通用户被加入sudo组后执行sudo时用当前用户自己的密码授权然后以 root 身份运行指定命令权限范围可审计、可追溯。日常装包、改系统目录sudo apt install、sudo vim /etc/fstab都够用并不需要 root 图形登录。但这里有个边界sudo只能以 root 逐条执行命令解决不了「需要完整 root 会话」的场景。比如你在虚拟机里用 root 桌面环境跑自动化脚本或者在某些嵌入式移植环境里程序明确要求以 root 用户启动图形程序这类需求就只能靠真正开启 root 登录来承接。还有一种情况值得留意sudo 自身坏了——比如/etc/sudoers被改错、sudo 组被误删——此时没有 root 应急入口系统会非常被动。提前把这个入口打开等于给自己留了一条后路。2.2 执行 sudo passwd root无回显、策略与复杂度建议第一步操作很简单在终端里执行sudo passwd root系统会先要求输入当前用户的密码做 sudo 授权然后连续两次输入要为 root 设置的新密码。注意 Linux 终端里输入密码时没有任何回显——不显示星号不显示字符数光标也不动这是正常现象别以为自己没敲进去。两次输入一致后终端会输出passwd: password updated successfullyroot 密码就算设好了。这一步的实质是把/etc/shadow中 root 用户密码位置的锁定标记替换为真正的密码哈希。密码复杂度建议按「至少 8 位、包含字母与数字」起步因为这台机器的 root 一旦能图形登录暴力破解入口就暴露在登录界面上了。如果机器还做了端口映射或有公网暴露我建议密码长度提到 12 位以上并且不要和当前普通用户密码一样。这里有一个容易忽略的点sudo passwd root设置的密码与当前用户的密码无关。当前用户密码改了root 密码不受影响反过来 root 密码变了当前用户照样可以用原密码 sudo。如果你是在别人已经配好的机器上做这一步改完 root 密码记得同步到运维记录里否则下次别人要用 root 时被挡在门外排查半天才发现是密码被改过。2.3 设置完成后先验证su、id 与 passwd -S密码设完不要急着重启去改登录器先在当前终端里验证一下 root 账户是不是真的解锁了su - root whoami passwd -S rootsu - root会切换到 root 的登录 shell提示输入密码时就输刚才设置的那个whoami输出root表示切换成功passwd -S root是查看 root 密码状态输出里如果带Ppassword set而不是Llocked说明密码字段已经生效可以继续往下走。如果su -这一步就报认证失败说明密码没设对返回 2.2 重设一次不要带着未生效的密码去改登录器配置。su -里的那个减号很关键它表示同时加载 root 的登录环境包括~/.bashrc、/root/.profile等。我习惯在改登录器配置前先在 root 的 shell 里执行ls /root和echo $PATH确认 root 家目录可读、环境变量正常。这一步能提前暴露.profile语法错误之类的问题避免后面图形登录时反复被踢回登录界面。3. 修改登录器配置先判断是 LightDM 还是 GDM3再改 50-ubuntu.conf3.1 你的显示管理器是哪个LightDM 和 GDM3 的判定方法很多教程让你直接改/usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf但这个路径能否生效取决于你的系统当前用的显示管理器是不是 LightDM。Ubuntu 20.04 的默认显示管理器其实是 GDM3不是 LightDMLightDM 主要出现在 16.04 时期以及后来手动装了lightdm包的机器上。所以动手前先判定一次能省掉大量「改了没反应」的排查时间。在终端执行cat /etc/X11/default-display-manager systemctl status gdm3 --no-pager第一条命令输出/usr/sbin/gdm3说明当前显示管理器是 GDM3输出/usr/sbin/lightdm则说明是 LightDM。第二条命令配合第一条约等于二次确认gdm3 服务状态是 active 还是 inactive一眼就能看到。如果系统装过多套桌面环境并用update-alternatives切换过显示管理器可能被改过以这两条命令的输出为准。判定结果分两种情况系统是 LightDM那 3.2 的方案直接用系统是 GDM3那50-ubuntu.conf这个文件是 LightDM 内部使用的GDM3 根本不读它你需要按 3.3 的方式处理。很多照抄老教程翻车就栽在这里——文件改得没错但加载它的程序压根不在运行白折腾。3.2 给 LightDM 加手动登录入口50-ubuntu.conf 的两个参数如果你的系统确实是 LightDM操作就很简单。先备份原文件再追加两行配置sudo cp /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf.bak sudo vim /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf在文件末尾追加greeter-show-manual-logintrue all-guestfalsegreeter-show-manual-logintrue的作用是在登录界面显示「手动输入用户名」的入口这样你可以输入root而不是从用户列表里选人。all-guestfalse是关闭访客会话避免登录界面多出一个不需要的来宾账户入口同时减少不必要的登录风险。保存后执行sudo systemctl restart lightdm重启显示管理器或者直接重启系统验证效果。这两个参数还有一个隐含作用LightDM 默认的登录界面只显示有桌面会话的普通用户列表root 通常不在列表里没有手动输入入口就只能去 tty 里用su -进 root加上这个入口之后等于是把 root 登录的通道显式打开了。注意这个文件位于/usr/share只读目录必须以 sudo 编辑。如果你系统里同时存在/etc/lightdm/lightdm.conf.d/目录那边的优先级更高实际配置读取顺序是/etc/lightdm/覆盖/usr/share/lightdm/两个地方别都写否则容易出现你以为生效了、其实被另一份配置盖掉的情况。3.3 系统是 GDM3 时怎么办PAM 解禁后的登录流程GDM3 默认的登录界面同样只显示普通用户列表但它右下角有一个「未列出」入口点击后可以手动输入用户名和密码。root 账户只要你已经设了密码、又按第 4 章注释掉了 PAM 的限制从「未列出」里就能直接登录并不需要 LightDM 那两行配置。所以 GDM3 场景下第 3 章要做的不是改 50-ubuntu.conf而是确认登录界面是否出现「未列出」入口。GDM3 一般默认就有如果你的发行版做了深度定制入口被人为藏掉可以在/etc/gdm3/custom.conf里做一处调整[daemon] WaylandEnablefalseWaylandEnablefalse在这里的用途是强制 GDM3 走 Xorg 会话。root 账户在 Wayland 会话下经常因为权限模型不兼容出现登录失败或黑屏切到 Xorg 是 root 图形登录最稳的组合。改完保存sudo systemctl restart gdm3生效。这句配置同时也能规避第 5 章里提到的 VMware 黑屏问题虚拟机环境建议直接加上。顺带提醒GDM3 的会话选择在登录界面右下角的齿轮位置root 登录时如果看到可选会话优先选「Ubuntu on Xorg」不要选默认的 Wayland。这个习惯和WaylandEnablefalse是同一层意思只是一个在系统级强制、一个在会话级手动选择。4. 注释 PAM 规则让 root 账户能走到输密码这一步4.1 PAM 在这里扮演什么角色auth 与 pam_succeed_if.so即使你设好了 root 密码、登录入口也有了root 还是会被挡在图形登录门外原因出在 PAM全称 Pluggable Authentication Modules。PAM 是 Linux 登录鉴权的插件框架GDM 的登录流程会调用/etc/pam.d/下的规则文件来判断「这个用户能不能登录」。Ubuntu 在 GDM 相关的规则里放了一行专门针对 root 的限制不处理它密码输对了也会被拒绝。打开/etc/pam.d/gdm-password和/etc/pam.d/gdm-autologin第三行通常都是auth required pam_succeed_if.so user ! root quiet_success这一行的含义是如果当前尝试登录的用户不是 root就放行是 root就拒绝。pam_succeed_if.so是一个条件判断模块user ! root是条件表达式quiet_success表示条件成立时安静通过、不打印额外日志。整个文件的 auth 部分按顺序执行这行放在前面等于提前把 root 排除掉了。这里要区分两个文件gdm-password负责手动输入密码的登录流程gdm-autologin负责自动登录流程。如果你只用自动登录改 gdm-autologin 就够如果你在登录界面输密码必须改 gdm-password。稳妥起见两个都注释反正已经设好的 root 图形登录不会受影响。4.2 操作 gdm-autologin 和 gdm-password备份、注释、检查动手前先备份这一步是翻车后的后悔药sudo cp /etc/pam.d/gdm-autologin /etc/pam.d/gdm-autologin.bak sudo cp /etc/pam.d/gdm-password /etc/pam.d/gdm-password.bak然后用编辑器打开两个文件把第三行前面加上#。编辑器用 vim、nano、gedit 都行看个人习惯sudo vim /etc/pam.d/gdm-password打开后找到这一行它一般就是文件第三行auth required pam_succeed_if.so user ! root quiet_success在这一行最前面加一个#变成#auth required pam_succeed_if.so user ! root quiet_success两个文件都注释完后用 grep 确认修改结果grep -n quiet_success /etc/pam.d/gdm-password /etc/pam.d/gdm-autologin正常输出应该是带#开头的注释行。如果grep输出里看到没有#的行说明注释没生效或文件路径不对回去重看。修改 PAM 文件不需要重启就能在下次登录时生效但涉及 GDM 的配置还是建议重启一次让显示管理器重新加载整个栈。4.3 这些参数写的是什么意思required、user ! root、quiet_success把这一行拆开看每一步都清楚它在做什么。auth是 PAM 模块组类型表示此条规则参与「认证」阶段required表示这条模块必须通过失败则整个认证失败但 PAM 会继续执行后续模块以收集更多日志pam_succeed_if.so是模块名用于在 PAM 栈里做条件判断user ! root是判断条件含义是「当前用户名不是 root」quiet_success是选项表示条件满足时静默通过、无需输出成功信息。组合在一起等于告诉 PAM只要不是 root认证直接通过是 root认证在这里就失败。GDM 的登录请求走到这一行时root 被提前拒掉后面的 pam_unix.so 密码校验根本没机会执行这就是为什么 root 密码设对了也登不进图形界面。很多资料建议直接删掉这一行我建议用注释而不是删除。原因有两点一是注释保留现场出问题时diff一下就能看出改过什么二是有些发行版会在 PAM 文件里追加新规则直接删行容易破坏行号对应关系后续排查不便。如果你装了多个显示管理器比如同时装了 lightdm 和 gdm3记得把/etc/pam.d/lightdm里的同名规则也检查一遍。不同显示管理器会各自带一套 PAM 文件漏掉任何一个对应的登录入口都会被挡。5. 避坑与常见问题排查登录循环、黑屏、配置不生效5.1 先掌握两个应急入口CtrlAltF2 与 journalctl改完 PAM 和登录器配置后重启如果遇到问题先进入 tty 文本终端应急。按CtrlAltF2可以切到纯字符登录界面用普通用户或 root 密码登录后就能手动检查文件、重新配置。CtrlAltF1或F3在不同机器上可能对应图形会话具体哪个键位因机器而异多按几个组合试总能找到一个能输用户名的地方。排查时最常用的日志命令是journalctl -b -p err --no-pager | grep -iE gdm|pam|root-b表示仅看本次启动的日志-p err只看报错级别及以上的消息grep过滤 GDM、PAM、root 关键字。如果 root 登录失败这里通常会留下authentication failed、pam_unix拒绝之类的记录比在登录界面猜原因直接得多。配合tail -f /var/log/auth.log可以实时观察登录请求的认证链路。5.2 登录循环密码输完弹回登录界面现象root 账户在登录界面输入密码后屏幕黑一下马上弹回登录界面看起来像没登录过。原因最常见的是/root/.profile里的mesg n 2 /dev/null || true在图形登录环境下执行报错导致 root 的登录会话异常退出GDM 只好把用户踢回登录界面。解决切到 tty登录 root 或使用 sudo打开/root/.profile把末尾的mesg n 2 /dev/null || true改成tty -s mesg n || truetty -s会先判断标准输入是否为终端如果是才执行mesg n否则直接跳过且返回真。图形登录时 root 没有可用的 ttymesg n会在这个上下文里报错导致 shell 非零退出加上这个前置判断就绕开了。改完保存回到登录界面再试一次登录循环基本消失。顺手检查一下/root/.bash_profile、/root/.xprofile里有没有类似带重定向的语句同样的坑可能藏在别处。5.3 配置改了没生效LightDM 配置文件被 GDM3 无视现象按教程改了/usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf重启后登录界面没有任何变化没有「未列出」入口也没有手动输入框。原因十有八九是系统当前根本不跑 LightDM。Ubuntu 20.04 默认的显示管理器是 GDM3LightDM 的配置文件不会被 GDM3 读取命令行和桌面都会静默忽略这份文件。解决先跑cat /etc/X11/default-display-manager确认当前显示管理器然后对照第 3 章的方案走对应路径。如果确认是 GDM350-ubuntu.conf就不用管了直接检查 PAM 是否注释干净从登录界面的「未列出」入口登录。比盲目改配置更快的办法是先搜索本机现有配置find /etc -path *lightdm* -name *.conf 2/dev/null看看系统里到底有没有 LightDM 在跑没有就别浪费时间改那个目录。5.4 root 桌面黑屏只剩壁纸GNOME 会话初始化问题现象root 登录进去了但桌面上只有背景图任务栏、图标、菜单全都不出现鼠标能移动但没有任何可用组件。原因GNOME 桌面按用户维度初始化 dconf 配置和会话组件。root 用户第一次图形登录时这些用户级配置目录不存在或权限不对GNOME Shell 启动异常就表现为只剩壁纸的空桌面。解决切到 tty删掉 root 家目录下有问题的缓存和配置sudo rm -rf /root/.cache/gdm sudo rm -rf /root/.config/dconf删完后sudo reboot让 GDM 重新为 root 生成干净的会话配置。两条命令删的都是用户级缓存不影响系统级配置风险很小。如果删除后仍然黑屏检查是否有开机自启的扩展或脚本把 root 的会话拖垮ls /root/.config/autostart/里有可疑条目先挪走再说。5.5 普通用户也被卡住PAM 注释错了位置忘了备份现象注释完 PAM 文件重启后 root 没登进去连普通用户也登录不了了输入正确密码同样被拒绝。原因绝大多数是注释错了行或编辑时把文件里的其他规则行误伤了少数情况是运行了pam-auth-update重写配置后把文件弄坏。PAM 文件是逐行生效的一行写错所有用户的认证都会被卡死不只 root。解决这是整套操作里最需要冷静的场景。先切到 tty 用 root 或普通用户登录tty 的登录不依赖 GDM 的 PAM 文件然后拿备份恢复sudo cp /etc/pam.d/gdm-password.bak /etc/pam.d/gdm-password sudo cp /etc/pam.d/gdm-autologin.bak /etc/pam.d/gdm-autologin恢复后重启普通用户就能回到登录界面了。然后再重新按第 4 章操作这次用diff /etc/pam.d/gdm-password /etc/pam.d/gdm-password.bak确认到底只改动了目标行。血泪经验是备份一定要在修改前做而且别只备份一份我通常把.bak后缀带上日期方便回滚时选到对的版本。5.6 虚拟机里 root 登录异常VMware 与 Wayland 的冲突现象VMware 虚拟机里执行完整套配置root 登录后黑屏或花屏鼠标键盘没反应普通用户却一切正常。原因VMware 的虚拟机显示驱动和 Wayland 会话的兼容性本就不算好root 账户因为权限模型问题更容易撞上 Wayland 的登录限制两者叠加就变成很难看的黑屏。解决在/etc/gdm3/custom.conf里先加[daemon] WaylandEnablefalse保存后重启登录界面右下角选「Ubuntu on Xorg」进入。另外确认 VMware Tools 已正确安装vmware-toolbox-cmd -v能输出版本号说明 VMware Tools 在跑图形栈的踩坑率会低一大截。这套组合在 VMware Workstation 里我验证过多次Xorg 会话是最稳的路径。6. 登录后验证与日常习惯别把 root 当平时用的账户6.1 用几条命令确认配置全部生效root 图形登录成功后先在终端里跑一遍验证别急着开始干正事whoami id passwd -S root systemctl status gdm3 --no-pager前两条确认当前身份确实是 rootpasswd -S root确认密码字段是P而不是锁定态systemctl status gdm3用来检查显示管理器有没有残留告警。另外再看一眼/root/.profile当前内容确认tty -s mesg n || true已经写进去免得下次重启又回到登录循环。这几条跑完没问题root 图形登录就算真正落地了。我个人的习惯是登录后先把可用的整组配置备份一份到 root 家目录下比如cp /etc/pam.d/gdm-password ~/backup/gdm-password.good把「能正常登录」的状态存下来之后再改任何登录相关配置都不至于没有退路。6.2 把 root 留在应急场景日常还是 sudo配置落地之后要明确一个边界root 图形登录是给应急和特定开发场景用的不是日常使用的账户。装软件、改系统文件继续用 sudo把 root 留给需要完整 root 会话的场景比如桌面端自动化脚本、嵌入式烧写工具、需要 root 权限的 GUI 调试程序。系统监控、日志分析这类活普通用户加 sudo 完全足够。顺带检查一下安全边界如果机器经常暴露在网络环境建议查看/etc/gdm3/custom.conf有没有被改成允许远程 root 登录的组合没有远程需求就保持默认别为了省事把 root 的 SSH 登录也一并放开。OpenSSH 的PermitRootLogin设置和图形登录是两套独立配置图形登录开启并不会自动影响 SSH反之亦然但安全边界要一起评估。从那以后我每次在 Ubuntu 20.04 上配 root 登录都会强制走一遍完整流程先备份 PAM 文件再改登录器配置最后在 tty 里验证.profile没问题才重启而不是像第一次那样改完直接重启跟登录界面赌玄学。这套配置本身不复杂跑通一次之后就熟门熟路了但每一步「为什么这么写」值得记住。等你在别的版本或别的发行版上再遇到登录器问题时能少走很多弯路。希望帮到你。本文还有配套的精品资源点击获取
简介针对 Ubuntu 20.04 默认禁用 root 账户的问题这份 PDF 教程面向需要以 root 身份进行系统管理、安装软件或执行高权限命令的 Linux 用户完整梳理了从创建 root 密码到实现开机手动登录的一系列操作步骤。资源为单个 PDF 文档共 1 个文件压缩包大小约 1.97MB内容以终端命令和系统配置文件修改说明为主步骤式排版清晰命令、路径与示例一一对应方便随时查阅。目前已有 4026 人学习下载对 Ubuntu 初学者尽快启用 root 账户很有帮助。教程依次讲解了 sudo passwd root 设置密码、在 /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf 中增加 greeter-show-manual-login 与 all-guest 配置、注释 /etc/pam.d/gdm-autologin 和 /etc/pam.d/gdm-password 中针对 root 的认证限制、以及修改 /root/.profile 为 tty -smesg n || true 等关键处理每一步都附有明确的文件路径和命令还特别提醒直接使用 root 可能导致的系统风险。通过这份资料既能顺利完成 root 登录配置也能理解 Ubuntu 图形界面登录与 PAM 认证的基本关系同时规避操作误区适合系统学习 Linux 用户管理。1. Ubuntu 20.04 的 root 账户为什么默认锁死什么场景才值得放开它新装完 Ubuntu 20.04你会发现安装过程根本没有设置 root 密码这一步sudo命令倒是能跑但真正的 root 账户始终处于锁定状态。平时用 sudo 够用可一旦落到几个具体场景——比如手里一块 rk3588 开发板要跑烧写脚本、装完显卡驱动后想直接用 root 图形界面调参数、或者你在 VMware 虚拟机里反复切换登录器做系统级调试——没有 root 图形登录权限就会非常别扭。这篇把 Ubuntu 20.04 开启 root 账户的完整流程拆开讲一遍从sudo passwd root设置密码到修改登录器配置、注释 PAM 规则、修复 root 家目录的.profile每一步都会交代命令在干什么、参数是什么含义、哪里容易翻车。适合刚装完系统想一次性配好的人也适合系统已经在用、需要验证 root 登录状态的老手对照检查。2. 开启 root 账户第一步设置 root 密码以及验证密码状态2.1 为什么安装时没有 root 密码/etc/shadow 与 sudo 机制Ubuntu 从很早的版本开始就走「安装时不设置 root 密码、日常用 sudo 提权」的路子。安装器会把 root 账户在/etc/shadow里的密码字段写成一个锁定标记通常是!或*。这个标记意味着 root 的密码验证被永久关闭任何方式的密码输入都无法通过自然也没法在登录界面用 root 身份登录。这种设计不是偷懒而是为了避免用户长期以 root 身份操作造成误删误改。sudo走的是另一套机制普通用户被加入sudo组后执行sudo时用当前用户自己的密码授权然后以 root 身份运行指定命令权限范围可审计、可追溯。日常装包、改系统目录sudo apt install、sudo vim /etc/fstab都够用并不需要 root 图形登录。但这里有个边界sudo只能以 root 逐条执行命令解决不了「需要完整 root 会话」的场景。比如你在虚拟机里用 root 桌面环境跑自动化脚本或者在某些嵌入式移植环境里程序明确要求以 root 用户启动图形程序这类需求就只能靠真正开启 root 登录来承接。还有一种情况值得留意sudo 自身坏了——比如/etc/sudoers被改错、sudo 组被误删——此时没有 root 应急入口系统会非常被动。提前把这个入口打开等于给自己留了一条后路。2.2 执行 sudo passwd root无回显、策略与复杂度建议第一步操作很简单在终端里执行sudo passwd root系统会先要求输入当前用户的密码做 sudo 授权然后连续两次输入要为 root 设置的新密码。注意 Linux 终端里输入密码时没有任何回显——不显示星号不显示字符数光标也不动这是正常现象别以为自己没敲进去。两次输入一致后终端会输出passwd: password updated successfullyroot 密码就算设好了。这一步的实质是把/etc/shadow中 root 用户密码位置的锁定标记替换为真正的密码哈希。密码复杂度建议按「至少 8 位、包含字母与数字」起步因为这台机器的 root 一旦能图形登录暴力破解入口就暴露在登录界面上了。如果机器还做了端口映射或有公网暴露我建议密码长度提到 12 位以上并且不要和当前普通用户密码一样。这里有一个容易忽略的点sudo passwd root设置的密码与当前用户的密码无关。当前用户密码改了root 密码不受影响反过来 root 密码变了当前用户照样可以用原密码 sudo。如果你是在别人已经配好的机器上做这一步改完 root 密码记得同步到运维记录里否则下次别人要用 root 时被挡在门外排查半天才发现是密码被改过。2.3 设置完成后先验证su、id 与 passwd -S密码设完不要急着重启去改登录器先在当前终端里验证一下 root 账户是不是真的解锁了su - root whoami passwd -S rootsu - root会切换到 root 的登录 shell提示输入密码时就输刚才设置的那个whoami输出root表示切换成功passwd -S root是查看 root 密码状态输出里如果带Ppassword set而不是Llocked说明密码字段已经生效可以继续往下走。如果su -这一步就报认证失败说明密码没设对返回 2.2 重设一次不要带着未生效的密码去改登录器配置。su -里的那个减号很关键它表示同时加载 root 的登录环境包括~/.bashrc、/root/.profile等。我习惯在改登录器配置前先在 root 的 shell 里执行ls /root和echo $PATH确认 root 家目录可读、环境变量正常。这一步能提前暴露.profile语法错误之类的问题避免后面图形登录时反复被踢回登录界面。3. 修改登录器配置先判断是 LightDM 还是 GDM3再改 50-ubuntu.conf3.1 你的显示管理器是哪个LightDM 和 GDM3 的判定方法很多教程让你直接改/usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf但这个路径能否生效取决于你的系统当前用的显示管理器是不是 LightDM。Ubuntu 20.04 的默认显示管理器其实是 GDM3不是 LightDMLightDM 主要出现在 16.04 时期以及后来手动装了lightdm包的机器上。所以动手前先判定一次能省掉大量「改了没反应」的排查时间。在终端执行cat /etc/X11/default-display-manager systemctl status gdm3 --no-pager第一条命令输出/usr/sbin/gdm3说明当前显示管理器是 GDM3输出/usr/sbin/lightdm则说明是 LightDM。第二条命令配合第一条约等于二次确认gdm3 服务状态是 active 还是 inactive一眼就能看到。如果系统装过多套桌面环境并用update-alternatives切换过显示管理器可能被改过以这两条命令的输出为准。判定结果分两种情况系统是 LightDM那 3.2 的方案直接用系统是 GDM3那50-ubuntu.conf这个文件是 LightDM 内部使用的GDM3 根本不读它你需要按 3.3 的方式处理。很多照抄老教程翻车就栽在这里——文件改得没错但加载它的程序压根不在运行白折腾。3.2 给 LightDM 加手动登录入口50-ubuntu.conf 的两个参数如果你的系统确实是 LightDM操作就很简单。先备份原文件再追加两行配置sudo cp /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf.bak sudo vim /usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf在文件末尾追加greeter-show-manual-logintrue all-guestfalsegreeter-show-manual-logintrue的作用是在登录界面显示「手动输入用户名」的入口这样你可以输入root而不是从用户列表里选人。all-guestfalse是关闭访客会话避免登录界面多出一个不需要的来宾账户入口同时减少不必要的登录风险。保存后执行sudo systemctl restart lightdm重启显示管理器或者直接重启系统验证效果。这两个参数还有一个隐含作用LightDM 默认的登录界面只显示有桌面会话的普通用户列表root 通常不在列表里没有手动输入入口就只能去 tty 里用su -进 root加上这个入口之后等于是把 root 登录的通道显式打开了。注意这个文件位于/usr/share只读目录必须以 sudo 编辑。如果你系统里同时存在/etc/lightdm/lightdm.conf.d/目录那边的优先级更高实际配置读取顺序是/etc/lightdm/覆盖/usr/share/lightdm/两个地方别都写否则容易出现你以为生效了、其实被另一份配置盖掉的情况。3.3 系统是 GDM3 时怎么办PAM 解禁后的登录流程GDM3 默认的登录界面同样只显示普通用户列表但它右下角有一个「未列出」入口点击后可以手动输入用户名和密码。root 账户只要你已经设了密码、又按第 4 章注释掉了 PAM 的限制从「未列出」里就能直接登录并不需要 LightDM 那两行配置。所以 GDM3 场景下第 3 章要做的不是改 50-ubuntu.conf而是确认登录界面是否出现「未列出」入口。GDM3 一般默认就有如果你的发行版做了深度定制入口被人为藏掉可以在/etc/gdm3/custom.conf里做一处调整[daemon] WaylandEnablefalseWaylandEnablefalse在这里的用途是强制 GDM3 走 Xorg 会话。root 账户在 Wayland 会话下经常因为权限模型不兼容出现登录失败或黑屏切到 Xorg 是 root 图形登录最稳的组合。改完保存sudo systemctl restart gdm3生效。这句配置同时也能规避第 5 章里提到的 VMware 黑屏问题虚拟机环境建议直接加上。顺带提醒GDM3 的会话选择在登录界面右下角的齿轮位置root 登录时如果看到可选会话优先选「Ubuntu on Xorg」不要选默认的 Wayland。这个习惯和WaylandEnablefalse是同一层意思只是一个在系统级强制、一个在会话级手动选择。4. 注释 PAM 规则让 root 账户能走到输密码这一步4.1 PAM 在这里扮演什么角色auth 与 pam_succeed_if.so即使你设好了 root 密码、登录入口也有了root 还是会被挡在图形登录门外原因出在 PAM全称 Pluggable Authentication Modules。PAM 是 Linux 登录鉴权的插件框架GDM 的登录流程会调用/etc/pam.d/下的规则文件来判断「这个用户能不能登录」。Ubuntu 在 GDM 相关的规则里放了一行专门针对 root 的限制不处理它密码输对了也会被拒绝。打开/etc/pam.d/gdm-password和/etc/pam.d/gdm-autologin第三行通常都是auth required pam_succeed_if.so user ! root quiet_success这一行的含义是如果当前尝试登录的用户不是 root就放行是 root就拒绝。pam_succeed_if.so是一个条件判断模块user ! root是条件表达式quiet_success表示条件成立时安静通过、不打印额外日志。整个文件的 auth 部分按顺序执行这行放在前面等于提前把 root 排除掉了。这里要区分两个文件gdm-password负责手动输入密码的登录流程gdm-autologin负责自动登录流程。如果你只用自动登录改 gdm-autologin 就够如果你在登录界面输密码必须改 gdm-password。稳妥起见两个都注释反正已经设好的 root 图形登录不会受影响。4.2 操作 gdm-autologin 和 gdm-password备份、注释、检查动手前先备份这一步是翻车后的后悔药sudo cp /etc/pam.d/gdm-autologin /etc/pam.d/gdm-autologin.bak sudo cp /etc/pam.d/gdm-password /etc/pam.d/gdm-password.bak然后用编辑器打开两个文件把第三行前面加上#。编辑器用 vim、nano、gedit 都行看个人习惯sudo vim /etc/pam.d/gdm-password打开后找到这一行它一般就是文件第三行auth required pam_succeed_if.so user ! root quiet_success在这一行最前面加一个#变成#auth required pam_succeed_if.so user ! root quiet_success两个文件都注释完后用 grep 确认修改结果grep -n quiet_success /etc/pam.d/gdm-password /etc/pam.d/gdm-autologin正常输出应该是带#开头的注释行。如果grep输出里看到没有#的行说明注释没生效或文件路径不对回去重看。修改 PAM 文件不需要重启就能在下次登录时生效但涉及 GDM 的配置还是建议重启一次让显示管理器重新加载整个栈。4.3 这些参数写的是什么意思required、user ! root、quiet_success把这一行拆开看每一步都清楚它在做什么。auth是 PAM 模块组类型表示此条规则参与「认证」阶段required表示这条模块必须通过失败则整个认证失败但 PAM 会继续执行后续模块以收集更多日志pam_succeed_if.so是模块名用于在 PAM 栈里做条件判断user ! root是判断条件含义是「当前用户名不是 root」quiet_success是选项表示条件满足时静默通过、无需输出成功信息。组合在一起等于告诉 PAM只要不是 root认证直接通过是 root认证在这里就失败。GDM 的登录请求走到这一行时root 被提前拒掉后面的 pam_unix.so 密码校验根本没机会执行这就是为什么 root 密码设对了也登不进图形界面。很多资料建议直接删掉这一行我建议用注释而不是删除。原因有两点一是注释保留现场出问题时diff一下就能看出改过什么二是有些发行版会在 PAM 文件里追加新规则直接删行容易破坏行号对应关系后续排查不便。如果你装了多个显示管理器比如同时装了 lightdm 和 gdm3记得把/etc/pam.d/lightdm里的同名规则也检查一遍。不同显示管理器会各自带一套 PAM 文件漏掉任何一个对应的登录入口都会被挡。5. 避坑与常见问题排查登录循环、黑屏、配置不生效5.1 先掌握两个应急入口CtrlAltF2 与 journalctl改完 PAM 和登录器配置后重启如果遇到问题先进入 tty 文本终端应急。按CtrlAltF2可以切到纯字符登录界面用普通用户或 root 密码登录后就能手动检查文件、重新配置。CtrlAltF1或F3在不同机器上可能对应图形会话具体哪个键位因机器而异多按几个组合试总能找到一个能输用户名的地方。排查时最常用的日志命令是journalctl -b -p err --no-pager | grep -iE gdm|pam|root-b表示仅看本次启动的日志-p err只看报错级别及以上的消息grep过滤 GDM、PAM、root 关键字。如果 root 登录失败这里通常会留下authentication failed、pam_unix拒绝之类的记录比在登录界面猜原因直接得多。配合tail -f /var/log/auth.log可以实时观察登录请求的认证链路。5.2 登录循环密码输完弹回登录界面现象root 账户在登录界面输入密码后屏幕黑一下马上弹回登录界面看起来像没登录过。原因最常见的是/root/.profile里的mesg n 2 /dev/null || true在图形登录环境下执行报错导致 root 的登录会话异常退出GDM 只好把用户踢回登录界面。解决切到 tty登录 root 或使用 sudo打开/root/.profile把末尾的mesg n 2 /dev/null || true改成tty -s mesg n || truetty -s会先判断标准输入是否为终端如果是才执行mesg n否则直接跳过且返回真。图形登录时 root 没有可用的 ttymesg n会在这个上下文里报错导致 shell 非零退出加上这个前置判断就绕开了。改完保存回到登录界面再试一次登录循环基本消失。顺手检查一下/root/.bash_profile、/root/.xprofile里有没有类似带重定向的语句同样的坑可能藏在别处。5.3 配置改了没生效LightDM 配置文件被 GDM3 无视现象按教程改了/usr/share/lightdm/lightdm.conf.d/50-ubuntu.conf重启后登录界面没有任何变化没有「未列出」入口也没有手动输入框。原因十有八九是系统当前根本不跑 LightDM。Ubuntu 20.04 默认的显示管理器是 GDM3LightDM 的配置文件不会被 GDM3 读取命令行和桌面都会静默忽略这份文件。解决先跑cat /etc/X11/default-display-manager确认当前显示管理器然后对照第 3 章的方案走对应路径。如果确认是 GDM350-ubuntu.conf就不用管了直接检查 PAM 是否注释干净从登录界面的「未列出」入口登录。比盲目改配置更快的办法是先搜索本机现有配置find /etc -path *lightdm* -name *.conf 2/dev/null看看系统里到底有没有 LightDM 在跑没有就别浪费时间改那个目录。5.4 root 桌面黑屏只剩壁纸GNOME 会话初始化问题现象root 登录进去了但桌面上只有背景图任务栏、图标、菜单全都不出现鼠标能移动但没有任何可用组件。原因GNOME 桌面按用户维度初始化 dconf 配置和会话组件。root 用户第一次图形登录时这些用户级配置目录不存在或权限不对GNOME Shell 启动异常就表现为只剩壁纸的空桌面。解决切到 tty删掉 root 家目录下有问题的缓存和配置sudo rm -rf /root/.cache/gdm sudo rm -rf /root/.config/dconf删完后sudo reboot让 GDM 重新为 root 生成干净的会话配置。两条命令删的都是用户级缓存不影响系统级配置风险很小。如果删除后仍然黑屏检查是否有开机自启的扩展或脚本把 root 的会话拖垮ls /root/.config/autostart/里有可疑条目先挪走再说。5.5 普通用户也被卡住PAM 注释错了位置忘了备份现象注释完 PAM 文件重启后 root 没登进去连普通用户也登录不了了输入正确密码同样被拒绝。原因绝大多数是注释错了行或编辑时把文件里的其他规则行误伤了少数情况是运行了pam-auth-update重写配置后把文件弄坏。PAM 文件是逐行生效的一行写错所有用户的认证都会被卡死不只 root。解决这是整套操作里最需要冷静的场景。先切到 tty 用 root 或普通用户登录tty 的登录不依赖 GDM 的 PAM 文件然后拿备份恢复sudo cp /etc/pam.d/gdm-password.bak /etc/pam.d/gdm-password sudo cp /etc/pam.d/gdm-autologin.bak /etc/pam.d/gdm-autologin恢复后重启普通用户就能回到登录界面了。然后再重新按第 4 章操作这次用diff /etc/pam.d/gdm-password /etc/pam.d/gdm-password.bak确认到底只改动了目标行。血泪经验是备份一定要在修改前做而且别只备份一份我通常把.bak后缀带上日期方便回滚时选到对的版本。5.6 虚拟机里 root 登录异常VMware 与 Wayland 的冲突现象VMware 虚拟机里执行完整套配置root 登录后黑屏或花屏鼠标键盘没反应普通用户却一切正常。原因VMware 的虚拟机显示驱动和 Wayland 会话的兼容性本就不算好root 账户因为权限模型问题更容易撞上 Wayland 的登录限制两者叠加就变成很难看的黑屏。解决在/etc/gdm3/custom.conf里先加[daemon] WaylandEnablefalse保存后重启登录界面右下角选「Ubuntu on Xorg」进入。另外确认 VMware Tools 已正确安装vmware-toolbox-cmd -v能输出版本号说明 VMware Tools 在跑图形栈的踩坑率会低一大截。这套组合在 VMware Workstation 里我验证过多次Xorg 会话是最稳的路径。6. 登录后验证与日常习惯别把 root 当平时用的账户6.1 用几条命令确认配置全部生效root 图形登录成功后先在终端里跑一遍验证别急着开始干正事whoami id passwd -S root systemctl status gdm3 --no-pager前两条确认当前身份确实是 rootpasswd -S root确认密码字段是P而不是锁定态systemctl status gdm3用来检查显示管理器有没有残留告警。另外再看一眼/root/.profile当前内容确认tty -s mesg n || true已经写进去免得下次重启又回到登录循环。这几条跑完没问题root 图形登录就算真正落地了。我个人的习惯是登录后先把可用的整组配置备份一份到 root 家目录下比如cp /etc/pam.d/gdm-password ~/backup/gdm-password.good把「能正常登录」的状态存下来之后再改任何登录相关配置都不至于没有退路。6.2 把 root 留在应急场景日常还是 sudo配置落地之后要明确一个边界root 图形登录是给应急和特定开发场景用的不是日常使用的账户。装软件、改系统文件继续用 sudo把 root 留给需要完整 root 会话的场景比如桌面端自动化脚本、嵌入式烧写工具、需要 root 权限的 GUI 调试程序。系统监控、日志分析这类活普通用户加 sudo 完全足够。顺带检查一下安全边界如果机器经常暴露在网络环境建议查看/etc/gdm3/custom.conf有没有被改成允许远程 root 登录的组合没有远程需求就保持默认别为了省事把 root 的 SSH 登录也一并放开。OpenSSH 的PermitRootLogin设置和图形登录是两套独立配置图形登录开启并不会自动影响 SSH反之亦然但安全边界要一起评估。从那以后我每次在 Ubuntu 20.04 上配 root 登录都会强制走一遍完整流程先备份 PAM 文件再改登录器配置最后在 tty 里验证.profile没问题才重启而不是像第一次那样改完直接重启跟登录界面赌玄学。这套配置本身不复杂跑通一次之后就熟门熟路了但每一步「为什么这么写」值得记住。等你在别的版本或别的发行版上再遇到登录器问题时能少走很多弯路。希望帮到你。本文还有配套的精品资源点击获取
