В чём преимущество sudo для одного аккаунта при работе через ssh?

Это тема для холиваров. Как вам удобнее, так и делайте. При логине по ключу уже не так важно, чтобы был запрещён логин root'а, пароль к которому пытаются подобрать боты.

это будет, наверное 99% операций.

Это как настроить систему. Например, proto-h можно разрешить читать логи и ещё какие файлы. root нужен для внесения изменений в настройки, а операции по анализу состояния системы можно делать и без root.

не путай теплое с мягким авторизацию конкретного демона и права доступа. Рассмотрим оба случая. 1 при подборе пароля бот с уверенностью знает что у тебя точно должен быть пользователь рут, для наглядности проанализируй свой лог, наверное 80% подборов будет именно с этим пользователем. Если у тебявключена авторизация по ключу, как выше было описано то все подборы сводятся к нулю, но это не означает что у тебя отключена авторизация по паролю, а это опять же ставит твою машинку под угрозу подбора пароля. 2. Если злоумышленник попадает в систему под рутом он уже знает что он может делать все, при использовании судо пользователь сможет делать только то что ты ему розрешишь. Я всегда и везде просто отключаю пользователя рут, чтоб его даже в системе небыло, при подборе пароля угадать имя твого пользователя отличное от рута сводится к почти нулю.

без лишней команды sudo.

sudo -s

sudo -i

man sudo

А зачем вообще эта sudo? Че бы не: «su <пользак>» и вывалиться обратно по Ctrl+D?

Зачем нужно отключать возможность заходить под root через ssh?

Потому-что заходить под root по ssh не нужно. А еще ты можешь посмотреть все команды которые выполнялись в auth.log.

Я вообще иной раз делаю ssh root@host (естественно, ssh по паролю запрещен, только по ключу). Ну или ssh host && su -

Подразумевалось, что пионерам не просто догадаться, что на произвольно торчащем в интернет хосте нужно подбирать пароль именно от proto-h.

Если у тебявключена авторизация по ключу, как выше было описано то все подборы сводятся к нулю, но это не означает что у тебя отключена авторизация по паролю, а это опять же ставит твою машинку под угрозу подбора пароля.

О, прикольно, забыл про это. Важная штука :)

Я всегда и везде просто отключаю пользователя рут, чтоб его даже в системе небыло, при подборе пароля угадать имя твого пользователя отличное от рута сводится к почти нулю.

А как тогда делать что-то важно, например, менять конфиги grub? Специального юзера завести, наделённого полной властью?

Переименуй рута в какого-нибудь toor'а. Тупо в /etc/passwd и /etc/shadow

у меня есть отдельный пользователь который может все, но по ссх под ним подключится нельзя. Если нужно чет важное сделать то тогда sudo su - superuser и делаю что нужно. Используй директиву AllowUsers чтоб определить кому можно подключатся, смени стандартный порт, поставь Fail2ban и можешь спать спокойно.

sudo -i

sudo su

:-)