今回は、su コマンドでroot になれるユーザーを制限するPAM を設定していきます。まず、/etc/login.defs の最下行に、
SU_WHEEL_ONLY yes
を追記。次に、useradd コマンドで、ユーザーをwheel グループに加えます。
usermod -aG wheel username
つづいて、/etc/pam.d/su に以下の行を追加、
auth required pam_wheel.so use_uid group=wheel
上記設定で、root になれるユーザーをwheel グループのみに制限できます。
参考URL: http://www.atmarkit.co.jp/ait/articles/0108/18/news003_3.html