关于su的问题，请进来看（在线等。。。）

raullpq

我现在有2组用户，我要让A组的可以su到root，而B组的人不能su到root，还有组和组之间不能相互su，有什么办法可以实现吗？？？在线等。。。

werix

Perharps it's better to use sudo instead of sudoers in your case:
1)apt-get install sudoers
2)man sudoers
3)visudo /etc/sudoers

At openbsd/freebsd, we have more strict method to do "su"....

raullpq

在redhat上没有办法实现吗？我要在linux平台上实现

synn

找这个软件:sudoers

raullpq

谢谢了，我研究一下这个软件

nobody_am

sudo能控制吗su吗？

nobody_am

编辑/etc/pam.d/su
你会看倒第二行有提示：不注释第三行，会有可信任su用户，那个用户在wheel组。
但是可信任用户，连密码都不用打了。岂不更不安全？

tower

我实验了一下,su 和sudo是2个概念
visudo，加
Cmnd_Alias  SU=/bin/su
tower ALL=!SU
此时用tower不能sudo su，但然可以直接su
---------------------------------------------------
问题是我照着vsftpd的pam文件改了su 的pam
auth       required    pam_listfile.so item=user sense=deny file=/etc/sudeny onerr=succeed
auth       sufficient   /lib/security/pam_rootok.so
auth       required     /lib/security/pam_stack.so service=system-auth
account    required     /lib/security/pam_stack.so service=system-auth
password   required     /lib/security/pam_stack.so service=system-auth
session    required     /lib/security/pam_stack.so service=system-auth
session    optional     /lib/security/pam_xauth.so
--------------------------------------------------
添加/etc/sudeny后，好象没有作用，原来在其他服务的pam文件中加上pam_listfile都有用的，这次不知问题处在那里？？？？？

nobody_am

请仔细阅读注释掉的两行说明：

#%PAM-1.0
auth       sufficient   /lib/security/$ISA/pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth       sufficient   /lib/security/$ISA/pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
#auth       required     /lib/security/$ISA/pam_wheel.so use_uid
auth       required     /lib/security/$ISA/pam_stack.so service=system-auth
account    required     /lib/security/$ISA/pam_stack.so service=system-auth
password   required     /lib/security/$ISA/pam_stack.so service=system-auth
session    required     /lib/security/$ISA/pam_stack.so service=system-auth
session    optional     /lib/security/$ISA/pam_xauth.so

tower

问题是那样做有个限制，必须是wheel组，不喜欢