Linux中如何禁止普通用户使用su命令

共计 924 个字符，预计需要花费 3 分钟才能阅读完成。

要切换到另一个用户帐户，用户可以从他们当前的登录会话中运行 su 命令，如下所示，用户可以通过 su 切换用户：

[bob@localhost ~]$ su - user01
Password:

默认情况下，所有用户都可以使用 su 命令。我们可以在 /etc/sudoers 中禁用 su 命令。

若要切换到 root 帐户，用户必须具有 root 密码。在此示例中，用户正在切换到 root 帐户。

[user01@localhost ~]$ su -
Password:

禁用普通用户的 su 访问权限，首先，备份以下 /etc/sudoers 的原始文件，如下所示：

[bob@localhost ~]$ sudo cp -p /etc/sudoers /etc/sudoers.back
[sudo] password for bob:

使用 visudo 命令打开 sudoers 配置文件

[bob@localhost ~]$ sudo visudo

在 ## Command Aliases 部分下面添加如下行：

Cmnd_Alias DISABLE_SU = /usr/bin/su

然后在文件末尾添加以下行，将用户名 bob 替换为需要禁用 su 访问权限的用户：

bob ALL=(ALL) NOPASSWD: ALL, !DISABLE_SU

保存退出

使用 bob 用户验证一下。系统应返回如下错误消息 “Sorry, user bob is not allowed to execute ‘/bin/su – user01’ as root on localhost.localdomain.”

[bob@localhost ~]$ sudo su - user01
Sorry, user bob is not allowed to execute '/bin/su - user01' as root on localhost.localdomain.

还可以禁用用户组的 su 访问权限。例如，要禁用组 wheel 中所有用户的 su 访问权限，可以执行下面命令：

[bob@localhost ~]$ sudo visudo
%wheel ALL=(ALL) ALL, !DISABLE_SU

保存退出。