linux 禁止普通用戶su到root用戶

為了更進一步加強系統的安全性，有必要建立一個管理員的 組，只允許這個組的用戶來執行“su -”命令登錄為root用戶，而讓其他組的用戶即使執行“su -”、輸入了正確的root密碼，也無法登錄為root用戶。在UNIX和Linux下，這個組的名稱通常為“wheel”


禁止非whell組用戶切換到root
1、 修改/etc/pam.d/su配置                                                                
                                                                                                                                                          
[root@qdata-rac1 /root]# vi /etc/pam.d/su                                    
auth required pam_wheel.so group=wheel  --將auth改行沒有注釋掉普通用戶就沒辦法切換到root 
#auth required pam_wheel.so group=wheel --將#auth改行注釋掉普通用戶就可以切換到root




2、修改/etc/login.defs文件


[root@qdata-rac1 /root]# echo “SU_WHEEL_ONLY yes” >> /etc/login.defs　← 添加語句到行末以上操作完成后，可以再建立一個新用戶，然后用這個新建的用戶測試會發現，沒有加入到wheel組的用戶，執行“su -”命令，即使輸入了正確的root密碼，也無法登錄為root用戶
     
3、通過oracle用戶登錄嘗試切換到root                                 
                                                                 
                                         
[oracle@qdata-rac1 /root]$ su - root     即使密碼輸入正確也無法切換  
Password:                                                        
su: incorrect password                                           




5: 把root用戶加入wheel組再嘗試切換,可以切換        


[root@qdata-rac1 ~]$ usermod -G wheel oracle   ← 將普通用戶woo加在管理員組wheel組中                                                                                                
[oracle@qdata-rac1 ~]#su - oracle                                                                            
[oracle@qdata-rac1 /root]$ su - root           ←  這時候我們看到是可以切換了              
Password: