今天發生一件有點詭異的事情，本來應該要經過某個指令才會產生的檔案
居然不知為何自己產生了，在我記憶中沒有去執行過那個指令
翻了一下 bash_history ，裡面也只有下過哪些指令，沒有紀錄時間，完全沒有參考價值(攤手)
所以翻了一下網路，至少把這兩台主要跑ansible的機器的log功能補上紀錄所有指令以及時間的部份
參考這個網頁
我沒有打算要紀錄「所有」使用者的指令，只要看有權力執行重要指令的帳號就好
所以先用minion(管理用的帳戶)登入後
先編輯 ~/.bashrc
加入
1
|
export PROMPT_COMMAND='RETRN_VAL=$?;logger -p local6.debug "$(whoami) [$$]: $(history 1 | sed "s/^[ ]*[0-9]\+[ ]*//" ) [$RETRN_VAL]"'
|
因為這邊用到syslog 的 local6，所以要跟著修改 syslog的設定
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
|
sudo vim /etc/rsyslog.d/bash.conf
加入這行
local6.* /var/log/commands.log
接著設定讓/var/log/commands.log 也能夠自動輪替
sudo vim /etc/logrotate.d/rsyslog
在適當的位置 加入 /var/log/commands.log
然後重起 rsyslog
sudo service rsyslog restart
|
用 minion 登出登入後，就可以看到所有指令都被完整的紀錄下來了
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
|
sudo cat /var/log/commands.log
2019-04-23 15:18:48 [minion@hqs010 ~]$ sudo cat /var/log/commands.log
Apr 23 15:06:51 hqs010 minion: minion [30832]: [0]
Apr 23 15:06:53 hqs010 minion: minion [30832]: ls -lart [0]
Apr 23 15:06:55 hqs010 minion: minion [30832]: ls -alrt /tmp/ [0]
Apr 23 15:06:58 hqs010 minion: minion [30832]: ls -lart /var/log/ [0]
Apr 23 15:07:07 hqs010 minion: minion [30832]: sudo cat /var/log/commands.log [0]
Apr 23 15:07:13 hqs010 minion: minion [30832]: ls -lart /tmp/ [0]
Apr 23 15:07:18 hqs010 minion: minion [30832]: cat /tmp/hqs010_inventory.txt [0]
Apr 23 15:07:22 hqs010 minion: minion [30832]: cd [0]
Apr 23 15:07:22 hqs010 minion: minion [30832]: ls [0]
Apr 23 15:07:24 hqs010 minion: minion [30832]: ls -lart [0]
Apr 23 15:07:28 hqs010 minion: minion [30832]: ls .inxi/ [0]
Apr 23 15:07:35 hqs010 minion: minion [30832]: clear [0]
Apr 23 15:18:48 hqs010 minion: minion [30832]: ip addr [0]
2019-04-23 15:18:55 [minion@hqs010 ~]$
|
裡面應該會看到滿滿的 cd / ls / cat 吧 XD