Как получить пользователя, который может 'su' другому пользователю, но не может 'su' root

Question

На моем сервере у меня есть 2 группы: ssh-users и su-users

ssh-users удерживают пользователей, с которыми у меня есть ssh. Пользователь sshu является членом ssh-users . После входа на сервер я хочу, чтобы члены ssh-users могли выполнять su для пользователя из группы su-users но не хотят, чтобы они могли использовать su root .

su-users содержат пользователей, которые могут выполнять основную работу, и хотят, чтобы у них были права на выполнение su для root или любого пользователя.

Как я могу добиться этого в Debian?

Я попробовал модуль pam_wheel.so в /etc/pam.d/su но любая группа, о которой я упоминал, имеет право su на root.

Я также попробовал это, но без эффекта: https://superuser.com/a/398087/119486

Answer 1

Так su работает по умолчанию. Все, что вам нужно сделать, это убедиться, что ваш пароль root является безопасным. Чтобы su для любого пользователя, вам нужно знать пароль этого пользователя. Так что, если ваши ssh-users не имеют пароля root, они не смогут переключиться на root. Пока у них есть пропуск целевого пользователя, они смогут отправлять su этому пользователю.

Я не понимаю, что еще тебе нужно.