声明：
以下的方法仅为了完成BOSS的任务，仅供参考。其中的一些文件、用户权限并不规范，而且每有一条命令执行，就会进行一次同步，请三思。
目的：
通过修改/etc/profile，定制命令历史的格式、存储位置，使得每个用户每次登录系统的操作历史都会被记录到对应的文件中。并且将这些文件备份到远程服务器，防止篡改、删除。
步骤：
1、收集各个用户的历史记录
修改/etc/profile，指定历史记录存储路径、格式等：
#history
USERIP=`who am i 2> /dev/null | awk '{print $NF}' | sed -e 's/[()]//g'` #获取用户的登录IP
LOGNAME=`who am i 2> /dev/null | awk '{print $1}'` #获取登录用户名
HISTDIR=/logs/.history #定义历史记录存储路径
if [ -z $USER_IP ] #如果没有获取到用户IP，则记录为hostname
then
USER_IP=`hostname`
fi
if [ ! -d $HISTDIR ] #当历史记录存储路径不存在时，在这里创建
then
mkdir -p $HISTDIR
chmod 777 $HISTDIR
fi
if [ ! -d $HISTDIR/${LOGNAME} ] #创建各个用户对应的存储路径
then
mkdir -p $HISTDIR/${LOGNAME}
chmod 300 $HISTDIR/${LOGNAME}
fi
DATETIME=`date +"%Y%m%d%H%M%S"`
export HISTFILE="$HISTDIR/${LOGNAME}/${DATETIME}.${USERIP}.history" #定义历史记录文件
export HISTSIZE=10000 #定义历史记录的最大条数
export HISTTIMEFORMAT="[%Y-%m-%d %H:%M:%S] " #定义历史记录时间格式
chmod 300 $HISTDIR/${LOGNAME}/*.history* 2> /dev/null #修改文件权限
export PROMPT_COMMAND='{ echo "$(pwd) $(history 1 | { read x cmd; echo "$cmd"; })"; } >> $HISTFILE' #在第一条命令结束，第二条命令开始之前，将命令写入到历史记录文件
问：这里为什么用“who am i”命令获取登录用户名？
答：其实在初始的/etc/profile文件中，已经通过“USER="`/usr/bin/id -un`；LOGNAME=$USER”方式获取了用户名。这种方式获取的用户名是当前执行命令的用户名。
而“who am i”则获取当前登录系统的用户名。如：使用test用户登录到系统，执行“who am i”获取到的就是“test”。即使通过su切换到root用户，再次执行“who am i”获取到的仍是“test”。
执行source /etc/profile使更改生效：
[root@slave1 ~]# source /etc/profile
达到的效果：
各个用户都有对应的目录，该目录下的文件名定义为："登录时间.登陆IP"。
[root@slave1 ~]# tree -pD /logs/.history/ /logs/.history/ ├── [d-wx------ Jul 8 15:20] root │ ├── [--wx------ Jul 8 15:12] 20190708151107.192.168.1.38.history │ ├── [--wx------ Jul 8 15:12] 20190708151248.192.168.1.38.history │ ├── [--wx------ Jul 8 15:16] 20190708151331.192.168.1.38.history │ ├── [--wx------ Jul 8 15:17] 20190708151609.192.168.1.38.history │ ├── [--wx------ Jul 8 15:18] 20190708151714.192.168.1.38.history │ └── [-rw-r--r-- Jul 8 15:33] 20190708151825.192.168.1.38.history └── [d-wx------ Jul 8 15:31] test └── [-rw-rw-r-- Jul 8 15:34] 20190708153159.192.168.1.38.history
2、特殊情况
系统管理员为某些特权用户设定了sudo权限，这使得他们可以切换到root用户执行一些命令。
现象：
假如在系统里存在一个“test”用户，设定了sudo权限，如下：
[root@slave1 ~]# visudo test ALL=(ALL) NOPASSWD:ALL
使用test用户登录系统，并切换到root用户，执行一些命令，并查看历史记录文件：
[test@slave1 ~]$ sudo bash [root@slave1 test]# date 2019年 07月 08日 星期一 15:32:13 CST [root@slave1 test]# cd [root@slave1 ~]# cat /logs/.history/test/20190708153159.192.168.1.38.history /home/test /home/test [2019-07-08 15:32:04] sudo bash
发现只有一条命令“sudo bash”被记录了。
原因：
这种情况跟环境变量有关。
当以test身份登录系统后，相关的变量如下：
[test@slave1 ~]$ set | grep -E -i '(logname|^his*)' HISTCONTROL=ignoredups HISTDIR=/logs/.history HISTFILE=/logs/.history/test/20190708153159.192.168.1.38.history HISTFILESIZE=10000 HISTSIZE=10000 HISTTIMEFORMAT='[%Y-%m-%d %H:%M:%S] ' LOGNAME=test
当通过sudo bash方式切换到root身份时，相关的变量如下：
[root@slave1 ~]# set | grep -E -i '(logname|^hist*)' HISTFILE=/root/.bash_history HISTFILESIZE=10000 HISTSIZE=10000 LOGNAME=root
所以，历史记录会被记录到/root/.bash_history文件中，而不是定义的/logs/.history/test/20190708153159.192.168.1.38.history文件。
解决方案：
在sudoers文件里添加一行，使切换用户时保留当前用户的一些环境变量：
visudo Defaults env_keep += "HISTCONTROL HISTDIR HISTFILE HISTTIMEFORMAT LOGNAME PROMPT_COMMAND"
修改之后，退出，再次查看环境变量：
[root@slave1 ~]# exit exit [test@slave1 ~]$ sudo bash [root@slave1 test]# set | grep -E -i '(logname|^hist*)' HISTCONTROL=ignoredups HISTFILE=/logs/.history/test/20190708153159.192.168.1.38.history HISTFILESIZE=10000 HISTSIZE=10000 HISTTIMEFORMAT='[%Y-%m-%d %H:%M:%S] ' LOGNAME=test
3、将保存的history文件同步到远程服务器
在远程服务器master（192.168.1.204）上操作：
[root@master ~]# yum -y install rsync [root@master ~]# vim /etc/rsyncd.conf uid = nobody gid = nobody use chroot = yes max connections = 10 pid file = /var/run/rsyncd.pid exclude = lost+found/ transfer logging = yes timeout = 900 ignore nonreadable = yes dont compress = *.gz *.tgz *.zip *.z *.Z *.rpm *.deb *.bz2 address = 192.168.1.204 hosts allow = 192.168.1.202 [history] path = /logs read only = no write only = no auth users = rsync secrets file = /etc/rsync_users.db [root@master ~]# mkdir /logs [root@master ~]# chmod 777 /logs/ [root@master ~]# vim /etc/rsync_users.db rsync:123123 [root@master ~]# chmod 600 /etc/rsync_users.db [root@master ~]# /usr/bin/rsync --daemon [root@master ~]# ps -ef | grep -v grep | grep rsync root 6148 1 0 17:23 ? 00:00:00 /usr/bin/rsync --daemon
在需要收集history的服务器slave1（192.168.1.202）上操作：
[root@slave1 ~]# yum -y install rsync inotify-tools [root@slave1 ~]# vim /etc/server.pass 123123 [root@slave1 ~]# chmod 600 /etc/server.pass [root@slave1 ~]# cd /logs/ [root@slave1 logs]# vim rsync.sh #!/bin/bash I_CMD="inotifywait -mrq -e modify,create /logs/.history" R_CMD="rsync -azH /logs/.history [email protected]::history --password-file=/etc/server.pass" $I_CMD | while read DIRECOTRY EVENT FILE do $R_CMD done [root@slave1 logs]# sh rsync.sh
好了，当slave1上有命令执行时，就会开始同步了。