Сначала не разрешено ничего. Таким образом Вы должны позволить логин администратору, который может делать все необходимое. Это может быть сделано при обслуживании ядра, установкой подходящих значений для всех задействованных файлов программы.
Как ссылку, вы можете использовать параметр ядра rsbac_auth_enable_login, который устанавливает auth_may_setuid (все права для изменения владельца процесса) для /bin/login. Это поведение усилено в структуре данных модуля AUTH.