linux - ユーザーが ssh ID を使用して共有ユーザーとしてログインしている場合、Linux システムでのユーザー アクティビティを監査できますか?

Question

Linux システムにユーザー "appuser" がいて、authorized_keys ファイルに多数の公開鍵が設定されており、複数の異なるユーザーが "appuser" としてログインできるとします。

公開鍵にリンクされている秘密鍵を使用してログインする場合、「appuser」としての行動は追跡可能ですか? （そうであってほしい）。アクティビティがアプリ ユーザーとしてログインしたユーザーの ID まで追跡できない場合、その ID まで追跡できるようにする方法はありますか?

Answer 1

authorized_keys ファイルでは、作成可能なプログラムまたはスクリプトを呼び出す「コマンド」など、いくつかのオプションを使用できます。私はこれを試していませんが、スクリプトで必要なアクションを実行してから、bash (または選択したシェル) を実行できる場合があります。

ログインとキーを一致させる別の方法は、sshd_config の LogLevel を VERBOSE に変更し、grep /var/log/secure (または AUTHPRIV メッセージが送信するもの) を「一致する .* キーが見つかりました」にすることです。「Found matching」行で見つかったキーを「ssh-keygen -l -f」で実行できます。これにより、一致するエントリがauthorized_keysにダンプされます。