linux - 当用户使用 ssh 身份作为共享用户登录时，我可以在 linux 系统上审核用户活动吗？

Question

假设我在 linux 系统上有一个用户“appuser”，在他们的 authorized_keys 文件中设置了许多公钥，几个不同的人可以作为“appuser”登录。

当我使用与我的公钥链接的私钥登录时，我作为“appuser”所做的事情是否可以追溯到我？（我希望它是）。如果活动无法追溯到以应用用户身份登录的用户的身份，有没有办法让它可以追溯到该身份？

Answer 1

authorized_keys 文件允许一些选项，包括“命令”，它将调用您可以编写的程序或脚本。我还没有尝试过，但是您可以在脚本中执行您需要的任何操作，然后执行 bash（或您选择的 shell）。

您可以将登录名与密钥匹配的另一种方法是将 sshd_config 中的 LogLevel 转换为 VERBOSE 并 grep /var/log/secure （或任何 AUTHPRIV 消息将要发送）以获取“找到匹配的 .* 密钥”。您可以通过“ssh-keygen -l -f”运行在“找到匹配”行中找到的密钥，这会将匹配条目转储到授权密钥中。