TranslateProject/published/20221013 How To Monitor User Activity In Linux.md

[#]: subject: "How To Monitor User Activity In Linux"
[#]: via: "https://ostechnix.com/monitor-user-activity-linux/"
[#]: author: "sk https://ostechnix.com/author/sk/"
[#]: collector: "lkxed"
[#]: translator: "ChatGPT"
[#]: reviewer: "wxy"
[#]: publisher: "wxy"
[#]: url: "https://linux.cn/article-16297-1.html"

如何在 Linux 中监控用户活动
======

![][0]

作为一位 Linux 管理员，你需要跟踪所有用户的活动。当服务器发生故障时，你可以分析和查看用户活动，以便寻找问题的根源。监控 Linux 用户有多种方式。本指南将专门讨论 **GNU 记账工具**，这是一项用于监视 Linux 用户活动的实用工具。

### 什么是记账工具？

记账工具可以提供诸如 Linux 系统中的连接、已执行的程序以及系统资源的使用等有底系统使用信息。这些记账工具可以通过 `psacct` 或 `acct` 软件包安装。

`psacct` 和 `acct` 实际上是相同的。在基于 RPM 的系统中，它以 `psacct` 的形式存在；而在基于 DEB 的系统中，它作为 `acct` 提供。

你可能想知道 `psacct` 或 `acct` 工具的作用。通常，用户在命令行的历史记录会保存在他们的 `$HOME` 目录下的 `.bash_history` 文件中。有些用户可能会尝试编辑、修改或删除这些历史记录。

然而，即使他们完全 [清除了命令行历史][1]，记账工具依然能够获取用户活动信息。这是因为，**所有进程记账文件都由 root 用户拥有**，而普通用户则无法进行编辑。

### Linux 中如何安装 psacct 或 acct

`psacct`/`acct` 被打包在多种流行的 Linux 发行版本中。

如果要在 Alpine Linux 中安装 `psacct`，请运行以下命令：

```
$ sudo apk add psacct
```

如果在 Arch Linux 及其变体版本（如 EndeavourOS 和 Manjaro Linux）中安装 `acct`，请运行以下命令：

```
$ sudo pacman -S acct
```

在 Fedora、RHEL 及其衍生版本（如 CentOS、AlmaLinux 和 Rocky Linux）中安装 `psacct`，请运行以下命令：

```
$ sudo dnf install psacct
```

在 RHEL 6 以及更早版本中，你应当使用 `yum` 命令而非 `dnf` 来安装 `psacct`。

```
$ sudo yum install psacct
```

在 Debian、Ubuntu 以及 Linux Mint 中，通过如下命令来安装 `acct`：

```
$ sudo apt install acct
```

若在 openSUSE 中安装 `acct`，则运行：

```
$ sudo zypper install acct
```

### 启动 psacct/acct 服务

要启用并开启 `psacct` 服务，请执行以下命令：

```
$ sudo systemctl enable psacct
```

接着启动 `psacct` 服务：

```
$ sudo systemctl start psacct
```

如果你需要检查 `psacct` 服务是否已加载和激活，可以运行：

```
$ sudo systemctl status psacct
```

在基于 DEB 的系统中，安装完成之后，`acct` 服务会自动启动。

如果你想验证 `acct` 服务是否已经启动，可以执行以下命令：

```
$ sudo systemctl status acct
```

```
● acct.service - Kernel process accounting
     Loaded: loaded (/lib/systemd/system/acct.service; enabled; vendor preset: enabled)
     Active: active (exited) since Thu 2022-10-13 16:06:35 IST; 28s ago
       Docs: man:accton(8)
    Process: 3241 ExecStart=/usr/sbin/accton /var/log/account/pacct (code=exited, status=0/SUCCESS)
   Main PID: 3241 (code=exited, status=0/SUCCESS)
        CPU: 879us

Oct 13 16:06:35 ubuntu2204 systemd[1]: Starting Kernel process accounting...
Oct 13 16:06:35 ubuntu2204 accton[3241]: Turning on process accounting, file set to '/var/log/account/pacct'.
Oct 13 16:06:35 ubuntu2204 systemd[1]: Finished Kernel process accounting.
```

### 利用 psacct 或 acct 来监测 Linux 中的用户活动

`psacct`（进程记账）软件包包含以下用来监测用户和进程活动的工具：

* `ac` - 提供用户登录时间的统计信息。
* `lastcomm` - 展示先前执行过的命令的信息。
* `accton` - 开启或关闭进程记账。
* `dump-acct` - 把 `accton` 的输出文件转化为易读的格式。
* `dump-utmp` - 以易读的方式打印 `utmp` 文件。
* `sa` - 汇总信息，关于先前执行的命令。

现在就让我们一起了解如何通过每个工具来监控 Linux 用户的活动。

#### 1、使用 ac 命令

`ac` 工具可以为你提供以小时为单位的连接时间报告，这样你就能知道用户或一组用户连接到系统的时长。

##### 1.1、展示所有用户的总连接时间

```
$ ac
```

上述命令会显示所有用户的总连接时间（单位为小时）。

```
total       52.91
```

![展示所有用户的总连接时间][3]

##### 1.2、按日期排序显示所有用户的总连接时间

你可以通过使用 `-d` 参数，按日期排序显示所有用户的连接时间，操作如下：

```
$ ac -d
```

示例输出：

```
May 11	total        4.29
May 13	total        3.23
May 14	total        7.66
May 15	total        8.97
May 16	total        0.52
May 20	total        4.09
May 24	total        1.32
Jun  9	total       15.18
Jun 10	total        2.97
Jun 22	total        2.61
Jul 19	total        1.95
Today	total        0.29
```

![按日期排序显示所有用户的总时间][4]

##### 1.3、获取各个用户的总连接时间

使用 `-p` 参数，你可以查看每位用户各自在系统中总的连接时长。

```
$ ac -p
```

示例输出：

```
ostechnix                           52.85
root                                 0.51
total       53.36
```

![获取各个用户的总连接时间][5]

##### 1.4、显示指定用户的总连接时间

你还可以显示特定用户的总登录时间。

```
$ ac ostechnix
```

示例输出：

```
total       52.95
```

##### 1.5、显示特定用户各日期的总连接时间

要按日期查看某个用户的登录时间，可以运行：

```
$ ac -d ostechnix
```

示例输出：

```
May 11	total        4.29
May 13	total        3.23
May 14	total        7.66
May 15	total        8.97
May 16	total        0.01
May 20	total        4.09
May 24	total        1.32
Jun  9	total       15.18
Jun 10	total        2.97
Jun 22	total        2.61
Jul 19	total        1.95
Today	total        0.68
```

![显示某个用户各日期的总连接时间][6]

如需更多详情，可参考手册页面。

```
$ man ac
```

#### 2、lastcomm 命令使用示例

`lastcomm` 工具用于列出过去执行过的命令，它会按执行的最近程度将命令列在前面。

##### 2.1、展示过去执行的命令

```
$ lastcomm
```

示例输出：

```
systemd-hostnam  S     root     __         0.06 secs Thu Oct 13 17:21
systemd-localed  S     root     __         0.06 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
awk                    ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
uname                  ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
sed                    ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
grep                   ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
grep                   ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
bash              F    ostechni pts/1      0.00 secs Thu Oct 13 17:22
[...]
```

##### 2.2、打印特定用户先前执行的命令

上述命令显示的是所有用户的命令。要显示特定用户以前执行的命令，可以使用下面的命令：

```
$ lastcomm ostechnix
```

示例输出：

```
less                   ostechni pts/1      0.00 secs Thu Oct 13 17:26
lastcomm               ostechni pts/1      0.00 secs Thu Oct 13 17:26
lastcomm               ostechni pts/1      0.00 secs Thu Oct 13 17:26
lastcomm               ostechni pts/1      0.00 secs Thu Oct 13 17:26
gdbus                X ostechni __         0.00 secs Thu Oct 13 17:24
lastcomm               ostechni pts/1      0.00 secs Thu Oct 13 17:24
ac                     ostechni pts/1      0.00 secs Thu Oct 13 17:24
update-notifier   F    ostechni __         0.00 secs Thu Oct 13 17:23
apport-checkrep        ostechni __         0.06 secs Thu Oct 13 17:23
apport-checkrep        ostechni __         0.05 secs Thu Oct 13 17:23
systemctl              ostechni __         0.00 secs Thu Oct 13 17:23
apt-check              ostechni __         0.81 secs Thu Oct 13 17:23
dpkg                   ostechni __         0.00 secs Thu Oct 13 17:23
ischroot               ostechni __         0.00 secs Thu Oct 13 17:23
dpkg                   ostechni __         0.00 secs Thu Oct 13 17:23
[...]
```

##### 2.3、打印特定命令的执行次数

你还可以查看特定命令被执行的次数。

```
$ lastcomm apt
```

示例输出：

```
apt              S     root     pts/2      0.70 secs Thu Oct 13 16:06
apt               F    root     pts/2      0.00 secs Thu Oct 13 16:06
apt               F    root     pts/2      0.00 secs Thu Oct 13 16:06
```

如上述输出所示，root 用户执行了 `apt` 命令三次。

更详细的信息，可参考手册页：

```
$ man lastcomm
```

#### 3、sa 命令示例

`sa` 实用程序将总结关于先前执行的命令的信息。

##### 3.1、打印所有命令的总结

```
$ sa
```

示例输出：

```
1522    1598.63re       0.23cp         0avio     32712k
    139     570.90re       0.05cp         0avio     36877k   ***other*
     38     163.63re       0.05cp         0avio    111445k   gdbus
      3       0.05re       0.04cp         0avio     12015k   apt-check
     27     264.27re       0.02cp         0avio         0k   kworker/dying*
      2      51.87re       0.01cp         0avio   5310464k   Docker Desktop
      5       0.03re       0.01cp         0avio       785k   snap-confine
      8      59.48re       0.01cp         0avio     85838k   gmain
      5     103.94re       0.01cp         0avio    112720k   dconf worker
     24       3.38re       0.00cp         0avio      2937k   systemd-udevd*
      7       0.01re       0.00cp         0avio     36208k   5
      3       1.51re       0.00cp         0avio      3672k   systemd-timedat
      2       0.00re       0.00cp         0avio     10236k   apport-checkrep
      2       0.01re       0.00cp         0avio   4316160k   ThreadPoolForeg*
      2       0.00re       0.00cp         0avio      8550k   package-data-do
      3       0.79re       0.00cp         0avio      2156k   dbus-daemon
     12       0.00re       0.00cp         0avio     39631k   ffmpeg
[...]
```

##### 3.2、查看进程数量和 CPU 分钟数

要打印基于每个用户的进程数量和 CPU 分钟数，运行带 `-m` 标志的 `sa` 命令：

```
$ sa -m
```

示例输出：

```
1525    1598.63re       0.23cp         0avio     32651k
root                                  561     647.23re       0.09cp         0avio      3847k
ostechnix                             825     780.79re       0.08cp         0avio     47788k
gdm                                   117      13.43re       0.06cp         0avio     63715k
colord                                  2      52.01re       0.00cp         0avio     89720k
geoclue                                 1       1.01re       0.00cp         0avio     70608k
jellyfin                               12       0.00re       0.00cp         0avio     39631k
man                                     1       0.00re       0.00cp         0avio      3124k
kernoops                                4     104.12re       0.00cp         0avio      3270k
sshd                                    1       0.05re       0.00cp         0avio      3856k
whoopsie                                1       0.00re       0.00cp         0avio      8552k
```

##### 3.3、打印用户 ID 和命令名称

对于账户文件中的每个命令，使用 `-u` 标志打印用户 ID 和命令名称。

```
$ sa -u
```

示例输出：

```
root       0.00 cpu      693k mem      0 io accton          
root       0.00 cpu     3668k mem      0 io systemd-tty-ask 
root       0.00 cpu     3260k mem      0 io systemctl       
root       0.01 cpu     3764k mem      0 io deb-systemd-inv 
root       0.00 cpu      722k mem      0 io acct.postinst   
root       0.00 cpu      704k mem      0 io rm              
root       0.00 cpu      939k mem      0 io cp              
root       0.00 cpu      704k mem      0 io rm              
root       0.00 cpu      951k mem      0 io find            
root       0.00 cpu      911k mem      0 io gzip            
root       0.00 cpu      722k mem      0 io sh              
root       0.00 cpu      748k mem      0 io install-info    
root       0.00 cpu      911k mem      0 io gzip            
[...]
```

如需更多详细信息，请参考手册页：

```
$ man sa
```

#### 4、dump-acct 和 dump-utmp 命令

`dump-acct` 实用工具将 accton 格式的输出文件显示为人类可读的格式。

```
$ dump-acct /var/account/pacct
```

`dump-utmp` 将 utmp 文件显示为人类可读的格式。

```
$ dump-utmp /var/run/utmp
```

如需了解更多详情，请参考手册页：

```
$ man dump-acct
```

```
$ man dump-utmp
```

#### 5、accton 命令

`accton` 命令将允许你开启或关闭记账。

要开启进程记账，请运行：

```
$ accton on
```

要关闭它，运行：

```
$ accton off
```

如需了解更多详情，请参考手册页：

```
$ man accton
```

### 总结

每个 Linux 管理员都应该知道 GNU 记账实用程序，以便注意所有用户的行为。在故障排除时，这些实用程序会非常有帮助。

### 资源

* [GNU 记账实用程序官网][7]

*（题图：MJ/da3f7e79-2a53-4121-a2ed-d63a22c3d3f4）*

--------------------------------------------------------------------------------

via: https://ostechnix.com/monitor-user-activity-linux/

作者：[sk][a]
选题：[lkxed][b]
译者：[ChatGPT](https://linux.cn/lctt/ChatGPT)
校对：[wxy](https://github.com/wxy)

本文由 [LCTT](https://github.com/LCTT/TranslateProject) 原创编译，[Linux中国](https://linux.cn/) 荣誉推出

[a]: https://ostechnix.com/author/sk/
[b]: https://github.com/lkxed
[1]: https://ostechnix.com/how-to-clear-command-line-history-in-linux/
[2]: https://ostechnix.tradepub.com/free/w_syst04/prgm.cgi
[3]: https://ostechnix.com/wp-content/uploads/2022/10/Display-total-connect-time-of-all-users.png
[4]: https://ostechnix.com/wp-content/uploads/2022/10/Show-total-connect-of-all-users-by-day-wise.png
[5]: https://ostechnix.com/wp-content/uploads/2022/10/Get-total-connect-time-by-user-wise.png
[6]: https://ostechnix.com/wp-content/uploads/2022/10/View-total-connect-time-of-a-certain-user-by-day-wise.png
[7]: https://www.gnu.org/software/acct/manual/accounting.html
[0]: https://img.linux.net.cn/data/attachment/album/202310/19/105911voe22858b5o7287s.jpg