如何限制普通用户用sudo su 到root？

123guan

公司服务器给一部分用户sudo 权限，限制想监控sudo的log，所以不想让他们su到root用户，应该怎么禁止呢？

如果在sudoer文件中封

比如这样 somebody ALL=(ALL)NOPASSWD: ALL,!/bin/su
这样子的话一棒子打死 所有用户都无法切换到
如果这样somebody ALL=(ALL)NOPASSWD: ALL,!/bin/su *root*
sudo su root, sudo su - root 会被封掉，但是如果不加参数的也没法禁止， 而且最恼火的 sudo -s 甚至 sudo -u root su这类的也没法封
在pam.d中好像也是把su一棒子打死 不知道怎么弄，忘大侠指教。

d00m3d

/etc/pam.d/su 里不是能配置某些组别，如 wheel 组才能用 su 麽？