Linux禁止非WHEEL用户使用su命令

1、修改文件/etc/pam.d/su

root@ *node* @node3:/root# cat  /etc/pam.d/su
#%PAM-1.0
auth		sufficient	pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth		sufficient	pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
auth		required	pam_wheel.so use_uid  #取消注释
auth		substack	system-auth
auth		include		postlogin
account		sufficient	pam_succeed_if.so uid = 0 use_uid quiet
account		include		system-auth
password	include		system-auth
session		include		system-auth
session		include		postlogin
session		optional	pam_xauth.so

2、修改文件/etc/login.defs

root@ *node* @node3:/root# cat /etc/login.defs
。。。。

SU_WHEEL_ONLY yes  #最后一行添加

3、测试

root@ *node* @node3:/root# su - web
上一次登录：五 8月  2 17:54:08 CST 2019pts/2 上
[web@node3 ~]$ su - root
密码：
su: 拒绝权限
[web@node3 ~]$ 

4、添加用户到wheel组测试

root@ *node* @node3:/root# vim /etc/group
....
wheel:x:10:web  #多个用户逗号隔开
....


root@ *node* @node3:/root# su - web
上一次登录：五 8月  2 17:59:38 CST 2019pts/2 上
[web@node3 ~]$ su - root
密码：
上一次登录：五 8月  2 17:54:39 CST 2019pts/2 上
最后一次失败的登录：五 8月  2 17:59:45 CST 2019pts/2 上
最有一次成功登录后有 1 次失败的登录尝试。

方法一：wheel组也可指定为其它组，编辑/etc/pam.d/su添加如下两行

[root@ ~]# vi /etc/pam.d/su
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=wheel

方法二：编辑/etc/pam.d/su将如下行#符号去掉

[root@ ~]# vi /etc/pam.d/su
#RedHat#auth required /lib/security/$ISA/pam_wheel.so use_uid 　 ← 找到此行，去掉行首的“#”
#CentOS5#auth required pam_wheel.so use_uid 　 ← 找到此行，去掉行首的“#”

#保存退出即可============

[root@ ~]# echo "SU_WHEEL_ONLY yes" >> /etc/login.defs　← 添加语句到行末

（实际测试这步操作可省略）

 

转载于:https://my.oschina.net/kcw/blog/3082825