su的限制后的疑问

overoot

我设置了用户的使用su的限制
比如admin 能用su命令切换到root（usermod -G wheel admin)
而guest就不行(不属于wheel组）

但有个问题我没弄明白：
我当前用户为root
su admin后，不要密码验证就直接进入了root的console
su guest,提示输入密码，密码正确仍不能登入（达到目的）
但问题就出在admin上。这个用户不要密码，用su就成为root了，存在一定的隐患。也未达到我预想的效果，（这是不是我哪里没设置对呢 ？）
请问如何让这个用户加上密码验证?
谢谢

lanche

试试 passwd admin

overoot

???
我为admin设置了密码啊

cloudover

TAKE IT EASY PLEASE!
I BELIEVE YOU WILL SOLVE IT SHORT TIME LATER!

dannycat

[quote:2a36f19c1e="overroot"]我当前用户为root
su admin后，不要密码验证就直接进入了root的console
su guest,提示输入密码，密码正确仍不能登入（达到目的）
但问题就出在admin上。这个用户不要密码，用su就成为root了，存在一定的隐患。也未达到我预想的效果，（这是不是我哪里没设置对呢 ？）[/quote]
都不知道你究竟是怎么做到的。
root  su admin 就直接进入了 root 的 console ？
root  su  guest 提示输入密码？！

你的 root 是真的还是假的？

overoot

不好意思没说清楚

/etc/pam.d/su
取消注释限制用户使用su命令切换到root，但wheel组是个例外

我用的是root登陆的。
用su admin（wheel组）切换到admin
再用su 想返回root
结果没有要密码验证就直接返回root了

用su guest（非wheel组）切换到guest
想测试能否使用su ,返回root
提示输入密码。我“输对密码”后仍然不能返回root
说明设置生效

为此。我也用先admin,guest分别登陆过
测试su时。结果同上 。

dannycat

给出你的 /etc/pam.d/su 来。

你是不是用了 auth       sufficient   /lib/security/pam_wheel.so use_uid trust ？

overoot

#%PAM-1.0
auth       sufficient   /lib/security/$ISA/pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
auth       sufficient   /lib/security/$ISA/pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
auth       required     /lib/security/$ISA/pam_wheel.so use_uid
auth       required        /lib/security/$ISA/pam_stack.so service=system-auth
account    required        /lib/security/$ISA/pam_stack.so service=system-auth
password   required        /lib/security/$ISA/pam_stack.so service=system-auth
session    required        /lib/security/$ISA/pam_stack.so service=system-auth
session    optional        /lib/security/$ISA/pam_xauth.so

dannycat

呵呵，我说的没错嘛。

# Uncomment the following line to implicitly trust users in the "wheel" group.
auth sufficient /lib/security/$ISA/pam_wheel.so trust use_uid

你启用这一行就是说完全信任 wheel 组的用户，当然就不需要用密码了。
注释掉这一行。

有 auth required /lib/security/$ISA/pam_wheel.so use_uid 这一行就足够满足你的要求，允许 wheel 组的用户执行 su 到 root ，但是必须提供 root 的密码。

overoot

hehe 这下弄搞明白了。谢谢斑竹