su 的使用限制

    从大二开始用linux，那时候我就知道有su，而且还知道必须使用“su -”，否则环境变量过不去的。到现在5年了吧，我昨天才知道su是可以用组来限制的。这充分说明一个问题：眼高手底！
    大家经常用su主要是从普通用户切换到root用户，另外也有时候用于普通用户之间的切换。先说su切换到root用户。默认所有用户只要知道root密码都可以“su -”切换到root用户，这样系统存在一些危险。在linux可以限制可以使用su切换的用户，只有属于wheel组的人才可以使用su来切换用户，这个限制是由pam来限制的.

[root@lvs203 ~]# usermod -G wheel work 　← 将普通用户work加在管理员组wheel组中
[root@lvs203 ~]# vi /etc/pam.d/su 　← 打开这个配置文件

将

#auth required /lib/security/$ISA/pam_wheel.so use_uid
修改为
auth required /lib/security/$ISA/pam_wheel.so use_uid

  
    这样只有work可以su切换到任何用户（只要用正确的密码），其他用户即使有正确的密码，也不能切换到任何用户。默认root用户是属于wheel组的：

[root@lvs203 ~]# cat /etc/group|grep wheel
wheel:x:10:root,fan