Su Linux root può tutto; il lavoro quotidiano si fa con un utente normale che eleva i privilegi con sudo solo quando serve. Creazione: useradd -m -s /bin/bash nome (o adduser su Debian, più amichevole), poi passwd nome.
I gruppi governano gli accessi condivisi: usermod -aG docker nome aggiunge al gruppo – la -a è vitale, senza sovrascrivi gli altri gruppi. Serve un nuovo login perché faccia effetto.
Chi può usare sudo lo decide /etc/sudoers, da toccare solo con visudo (valida la sintassi: un errore lì ti chiude fuori dalla macchina). In pratica basta il gruppo sudo (Debian) o wheel (RHEL). I passi successivi: vietare il login SSH di root e ragionare per permessi minimi.