通常情况下，一般用户通过执行“su -”命令、输入正确的root密码，可以登录为root用户来对系统进行管理员级别的配置。但在实际应用中可能会发现某些主机下的个别用户可以su，另一些用户su失败，即使密码是对的。

这是为了更进一步加强系统的安全性，在系统下建立一个管理员的组，只允许这个组的用户来执行“su -”命令登录为root用户导致的，而让其他组的用户即使执行“su -”、输入了正确的root密码，也无法登录为root用户。在UNIX和Linux下，这个组的名称通常为“wheel”。

操作方法如下，

1、打开/etc/pam.d/su文件，找到如下行，将其注释去掉：

1auth           required        pam_wheel.so use_uid

2、修改/etc/login.defs文件

1echo "SU_WHEEL_ONLY yes" >> /etc/login.defs

上面的操作完成后，可以新建一个用户，再su登陆发现无法正常su过去，通过如下的命令将用户加入到wheel组后，其可以正常su登陆。

1usermod -G wheel 用户名

当然也不一定非得是wheel组，也可以是不在test组中的用户不允许su，则对应的pam文件配置如下：

1auth required /lib/security/pam_wheel.so group=test