Nil (./100) :
Je ne sais pas comment fonctionne le système (s'il enregistre le mot de passe root crypté ou s'il donne un certificat particulier à un utilisateur qui a connu le mot de passe root)

2^ème solution. Enfin presque. Ce qui se passe, c'est que ce sont des capabilités et que ça enregistre dans une BDD centrale que tel utilisateur a telle capabilité.

mais un utilisateur qui a connu une fois le mot de passe root peut très bien ne plus avoir à le connaître à t+1 (s'il a fait une bêtise, on change le mot de passe sans le lui redonner, par exemple).

Tu peux virer toutes les capabilités PolicyKit pour l'utilisateur en question facilement (il y a des logiciels graphiques polkit-gnome-authorization et polkit-kde-authorization qui permettent de le faire facilement).

Autre hypothèse : un administrateur vient sur la machine d'un utilisateur. Celui-ci a un gros travail en cours. Vu que X11 ne permet pas la gestion de sessions concurrentes (enfin, surtout que les distribs courantes ne permettent pas simplement d'avoir plus d'un X lancé à la fois)

Si, il est facile d'ouvrir une deuxième session X11 en tant qu'un autre utilisateur, à condition d'utiliser display manager et desktop qui vont ensemble (GDM avec GNOME, KDM avec KDE).

si l'administrateur a quelque chose à faire en tant que root (mise à jour, reconfig, install de paquetage), il peut avoir à le faire dans la session lancée. Donc il donne (sans le savoir s'il n'est pas au fait de la subtilité - quand je parle d'administrateur, ça peut être des opérateurs ou des pupitreurs qui ne sont pas des gourous de la sécurité) sans le savoir un droit assez conséquent à l'utilisateur.

Il y a une case "Remember authorization" qu'on peut décocher.

Ca peut sembler dérisoire vu que ce sont des "paquets signés" donc théoriquement sûrs. Mais si un usager se met à installer sur son poste des centaines de services, pas sûr que ça soit apprécié.

Les services sont en général désactivés par défaut même si on les installe, il faut le mot de passe root aussi pour les activer. (Mais system-config-services va aussi utiliser PolicyKit un de ces jours.)