特定のユーザーだけがローカルセッションと対話できるようにする

Active Directoryドメインに参加しているCentos7システムがあります。問題は、Centos7サーバーにログインすると、セッション内のActive Directoryドメイン内のすべてのユーザー名と対話できることです。

ユーザーが特定のグループに属していない限り、SSHを介したアクセスを拒否できますが、ユーザーが行うことはできません。

su - different_user

different_userActive Directoryのユーザーはどこにいますか？

モジュールを使うとこれが可能かもしれませんpamが、どのモジュールを使うべきかわかりません。私はこれを試みたので、すべてのユーザーが他のユーザーアカウントを使用pam_required.soできなくなりました。suアクセス権が必要な人も同じです。