разрешить su только определенным юзерам

Добавить его в группу wheel.
Разрешить доступ к su только группе wheel.

Например в Debian, в /etc/login.defs
есть строка:
#SU_WHEEL_ONLY

ALT:

control su wheelonly

OBSOLETED BY PAM

These options are now handled by PAM. Please
edit the appropriate file in /etc/pam.d/ to
enable the equivelants of them.

Например в Debian, в /etc/login.defs
есть строка:
#SU_WHEEL_ONLY


Раскоментировать? и все?

/etc/pam.d/su править?


well группа отсутствует по умолчанию.
в мандриве она была под номером 10, в дебиане номер 10 занят, какой порядковый номер группы присвоить?

Если верить комментариям в /etc/pam.d/su, то уже не wheel, 
а группа root должна быть (или другая указанная):

# Uncomment this to force users to be a member of group root
# before they can use `su'. You can also add "group=foo"
# to the end of this line if you want to use a group other
# than the default "root" (but this may have side effect of
# denying "root" user, unless she's a member of "foo" or explicitly
# permitted earlier by e.g. "sufficient pam_rootok.so").
# (Replaces the `SU_WHEEL_ONLY' option from login.defs)
# auth       required   pam_wheel.so

сделал так
добавил юзверя в группу adm
раскоментировал строку в /etc/pam.d/su
и дописал group=adm

auth required pam_wheel.so group=adm

Оно работает
Вопрос. нужно ли теперь раскоментировать

SU_WHEEL_ONLY в файле login.defs

Нет, это устаревший способ.