Linux上的用户创建

Question

是否可以确定用户是何时在Linux上创建的？我知道一些事情可以做，但这是一个不可靠的方法。第一个选项是检查何时创建了主目录，运行命令ls -ld /home/user查看时间戳。然后可以选择检查bash_profile或bash_logout：ls -l /home/user/.bash_profile和ls -l /home/.bash_logout。请用一种更可靠的方法来帮助我！

Answer 1

Fedora是非常RedHatty的，它似乎记录了useradd的使用，即使是由root调用时(而不是通过sudo，当然也会留下日志)：

[root@anni log]# useradd foo
[root@anni log]# tail /var/log/secure
Sep 13 16:15:15 anni useradd[17621]: new group: name=foo, GID=502
Sep 13 16:15:15 anni useradd[17621]: new user: name=foo, UID=502, GID=502, home=/home/foo, shell=/bin/bash

保存/var/log/secure的旧副本需要多长时间，这取决于您和您的log旋转式配置。

Answer 2

默认情况下，Linux不记录创建日期。

Answer 3

您可以监视/var/log/secure中的useradd条目：

Sep 13 17:11:08 *** useradd[27220]: new group: name=test, GID=515
Sep 13 17:11:08 *** useradd[27220]: new user: name=test, UID=514, GID=515, home=/home/test, shell=/bin/bash

当然，如果用户是以其他方式创建的(例如，通过直接编辑/etc/passwd )，那么您就不走运了。

您可以通过存储一个副本来监视/etc/passwd中的更改，并在每次检查时将其与旧副本进行比较。