Re: Frage / Alternative zu who

[Thomas Gross <thomas@xxxxxxxxxx>]

On Fri, 2005-11-18 at 14:42 +0100, Alexander Dehoff wrote:
> Hi Leute,
> 
> und wieder einmal habe ich ne kleine Frage :)
> 
> Ich moechte mir in die .bashrc von root (auf nem Webserver, auf dem 4
> Leute das root PW kennen) ein Kommando einstellen, das bei jedem Login
> ein Mail verschickt, in dem steht von welchen account aus su gemacht
> wurde.
Also auf meinem System (Fedory Core) loggt pam alle Useridwechsel mit.

Hier landet das in /var/log/messages.
Beispiel:
Nov 18 15:00:25 zarp su(pam_unix)[16711]: session opened for user root by thomas(uid=500)
.... und spaeter ...
Nov 18 15:06:54 zarp su(pam_unix)[16791]: session closed for user root

Und falls er es nur versucht hat:
Nov 18 15:09:52 zarp su(pam_unix)[16873]: authentication failure; logname=thomas uid=500 euid=0 tty= ruser=thomas rhost=  user=root

Ich habe aber auch schon logfiles gesehen die sulog oder aehnlich hiessen.
Du kannst bestimmt auch in der syslog.conf ein eigenes Logfile
einrichten die nur diese speziellen Meldungen enthaelt. Ich glaube die
facility ist auth und/oder authpriv.

Dann kannst du dein Programm einfach aus diesem File die Informationen
auslesen lassen.

	thomas