Para conseguir que el root no pueda iniciar una sesión gráfica, vamos a hacer una configuración en el módulo Linux-PAM.
En el fichero:
# nano /etc/pam.d/lightdm
añadiremos la siguiente línea:
auth required pam_succeed_if.so quiet user != root
Tendríamos los siguiente:
# cat /etc/pam.d/lightdm
#%PAM-1.0
# Evitamos que el root haga login en el entorno gráfico
auth required pam_succeed_if.so quiet user != root
# Block login if they are globally disabled
auth requisite pam_nologin.so
# Load environment from /etc/environment and ~/.pam_environment
session required pam_env.so readenv=1
session required pam_env.so readenv=1 envfile=/etc/default/locale
@include common-auth
...