Администраторы могут менять пароли других администраторов.

Важное свойство администраторов на Ubuntu - то, что они могут выполнить любые действия, которые они выбирают, как корень, с помощью sudo и polkit. Это необходимо для них, чтобы иметь власть полностью администрировать систему. И это уже, как администратор изменяет пароль другого пользователя.

Значительные ограничения должны были бы быть помещены на месте для остановки этого эффективно, которое приведет к администратору не эффективно быть администратором больше. Даже если бы Вы кропотливо настроили систему за многочисленными исключениями (возможно, через AppArmor или SELinux), чтобы помешать им делать это, то они могли довольно легко возвратить это питание, если они могут:

• Выполните некоторую команду как корень, который сам позволяет им ввести и выполнить произвольную команду.
• Отредактируйте произвольные файлы в системе.
• Отредактируйте или создайте конфигурационный файл, который управляет, кто может выполнить команды как корень и что управляет, чтобы они могли работать (такой как /etc/sudoers, или файлы в /etc/sudoers.d), даже если им не разрешают отредактировать все корневые файлы.
• Отредактируйте конфигурационный файл, вовлеченный в автоматическое выполнение команд как корень, такой как /etc/crontab. Или, точно так же запланируйте at задания для корня.
• Установите произвольное программное обеспечение. Они могли сделать пакет, который делает любую из вышеупомянутых вещей автоматически как корень во время шага конфигурации ее установки. Или они могли сделать пакет, который позволяет им сделать это, когда они запускают программное обеспечение, это устанавливает (например, это могло установить setuid исполняемые файлы, принадлежавшие корню, записанному для повреждения введенных ограничений).
• И это - просто примеры. Это нигде не около исчерпывающего списка.

Я подозреваю, что то, что Вы действительно хотите, может быть одним из следующего:

1. Создать ограниченного пользователя с некоторыми дополнительными полномочиями, но не полную мощность администратора и не питание выполнить произвольные команды как корень или отредактировать большинство конфигурационных файлов в масштабе всей системы.

   Это запустилось бы с простого шага, размеченного в ответе ByteBOT - пользователь не должен быть администратором, чтобы ограничения эффективно были наложены.

   Практично ли это, зависит от определенных полномочий и ограничений, которые Вы хотите им иметь. (Это не практично, если Вы хотите, чтобы они смогли сделать все кроме паролей измененных администраторов, посмотрите выше.), Если полномочия Вы хотите дать им, четко определены и не слишком расширяемы, это может быть выполнимо.

2. Для остановки коллег - администраторов или возможно персонала, кто, как официально предполагается, делает, как Вы говорите от поведения способом, Вы считаете неправильными или вредными. Если это - ситуация, это не действительно техническая проблема. Попытки решить этот вид проблемы через технические средства обычно имеют намного больше недостатков, чем преимущества.

   Одна из причин этого - то, что это создает технический конкурс для разрешения (чтение: постоянно не удается значительно решить), разногласие, которое должно вместо этого быть решено некоторой комбинацией обсуждения, согласования, объяснения ситуации или переопределения/роспуска отношений между персоналом. Вероятно (надо надеяться), Вы действительно не хотите придавать официальный характер мелкой ссоре и территориальной борьбе между членами Вашей команды.

3. Создать автоматизированный механизм, который напоминает администраторам этой системы, что они, как обычно предполагается, не изменяют пароли других администраторов.

   Если это - то, что Вы хотите, и Вы понимаете, что это действительно не сохранит администратора, который хочет изменить любой пароль от выполнения так, то я полагаю, что это выполнимо.

При попытке решить проблему 1 или проблему 3, Вы могли бы рассмотреть регистрацию нового вопроса об этом с деталями.