http://hamaco.hatenablog.jp/entry/20080425/1209123632 を参考にさせていただきました。
記載通りだと誰も su 出来ないのですが、この方法では、特定ユーザーには許可します。

1. /etc/login.defs に以下の行を追加

   SU_WHEEL_ONLY yes

2. wheel グループに su を許可するユーザーを追加

   # usermod -G wheel 追加するユーザー名

3. /etc/pam.d/su の編集
   以下の行の頭の # を外す

   auth required pam_wheel.so use_uid

wheel グループに sudo コマンドを許可するには

# visudo

root 権限で実行して、

# %wheel        ALL=(ALL)       ALL

の先頭の # を削除します。
１つ目の ALL はホストを、2つ目の ALL はどのユーザーになれるかを、3つ目の ALL はコマンドを意味するようです。