Criação de usuários no Linux Redhat

Question

Existe alguma maneira que alguém possa determinar quando um usuário foi criado no Linux? Eu sei de algumas coisas que alguém pode fazer, mas é uma maneira não confiável de fazê-lo. A primeira opção é verificar quando o diretório inicial foi criado, executando o comando ls -ld /home/user para ver o registro de data e hora. Depois, há a opção de verificar o bash_profile ou bash_logout : ls -l /home/user/.bash_profile e ls -l /home/.bash_logout . Por favor, me ajude com uma maneira mais confiável de fazer isso!

    

Answer 1

O Fedora, que é bastante RedHatty, parece registrar o uso de useradd, mesmo quando invocado pelo root (ao invés de via sudo, que naturalmente também deixaria logs):

[root@anni log]# useradd foo
[root@anni log]# tail /var/log/secure
Sep 13 16:15:15 anni useradd[17621]: new group: name=foo, GID=502
Sep 13 16:15:15 anni useradd[17621]: new user: name=foo, UID=502, GID=502, home=/home/foo, shell=/bin/bash

Por quanto tempo você mantém cópias antigas de /var/log/secure é uma questão para você e sua configuração do logrotate.

    

Answer 2

AFAIK, por padrão, o Linux não registra a data de criação.

    

Answer 3

Você pode monitorar /var/log/secure das entradas do useradd:

Sep 13 17:11:08 *** useradd[27220]: new group: name=test, GID=515
Sep 13 17:11:08 *** useradd[27220]: new user: name=test, UID=514, GID=515, home=/home/test, shell=/bin/bash

É claro que, se o usuário for criado de outras formas (por exemplo, editando /etc/passwd diretamente), você ficará sem sorte.

Você sempre pode monitorar as alterações em /etc/passwd armazenando uma cópia e, a cada verificação, comparando-a com a cópia antiga.

    

Answer 4

Eu não sei sobre o horário de criação do usuário, mas o primeiro login de usuário seria em /var/log/auth.log . Presumivelmente, o usuário efetua login imediatamente após o usuário ser criado para configurar sua senha. Qualquer coisa no diretório pessoal do usuário não é confiável, pois o usuário pode sobrescrevê-lo.