将 root 限制为 su 本地帐户

Question

我知道 root 可以修改任何配置文件。

作为最佳实践，我想在针对 NIS 或 Active Directory 进行身份验证的帐户上禁用 root 的 su 功能。

作为最佳实践，我希望仅允许在本地帐户上使用 root 权限。我的本地帐户的定义是 /etc/passwd 中具有 id 的任何行（因为用于+user::::::NIS 访问）。

我想这会涉及修改 pam 配置，但我不清楚如何修改。