普通用户在做

如果你不想让一个用户可以执行“su”，你可以将它的所有者设置为“root”，将chmod设置为700.只有root可以执行它。

如果你想要一个特殊的组的用户执行“su”，你可以设置它的组 – 可以说 – “轮”。 然后将chmod改为770.并将所有必须执行“su”的用户放入wheel组。

我发现了一个我喜欢的解决scheme：

1. sudo groupadd nosu
2. sudo usermod -a -G nosu USERNAME
3. sudo vi /etc/pam.d/su
4. 取消注释行：

auth需要pam_wheel.so否认group = nosu

我可以想到两个明显的解释：

1. 用户仍保留在用户从授予权限的组中移除之前创build的login名
2. 用户是明确列出的我/ etc / sudoers