如何禁止 su -

Question

我是系统管理员，我不希望用户使用su - $appuser并尝试输入应用程序用户的密码

相当

使用sudo su - $appuser并输入自己的密码。

一些不知道的天真的用户尝试su - $appuser输入错误的密码，通过这样做，应用程序用户会在 3 次尝试失败后被锁定（由 AD 团队定义；无法更改）。我们要强制用户使用sudo su -

这能实现吗？

Answer 1

好吧，你总是可以使用传统的 BSD 路由......

创建一个组 -轮子是传统名称...

将允许使用的用户添加su到该组中 - 在您的情况下，没有（可能除了root，但无论如何都允许root）。

设置的组所有权su给轮

剥夺他人的执行权su

最后，su应该拥有root:wheel所有权，并且它的权限应该是： rws--x--- (ie. chmod u=rwxs,g=x,o= su) (或者更好; --s--x--- ; ie. chmod u=xs,g=x,o= su)

这将阻止除root和wheel成员之外的任何人执行su. 由于使用sudo有效地使任何用户root，sudo su ...也应该工作。