哪个用户运行关机的 Redhat linux 日志

Question

在 redhat 生产机器上，有人刚刚运行了 shutdown ，我需要找到专门显示哪个用户运行了“shutdown”命令的日志文件（以及什么时候会很好）。

Answer 1

根据命令的执行方式，这可能有点棘手。

1. 检查您的 sudo 日志，他们正在使用 sudo 对吗？！？
2. 如果直接以 root 身份运行，查看同时登录的其他人。通过last命令使用 wtmp 文件可能会有所帮助。
3. 如果他们以 root 用户身份远程登录，请再次使用last他们登录的地址以及当时谁在使用该系统进行检查。此外，修复此问题，使他们无法以 root 用户身份远程登录。
4. 如果通过控制台登录，请检查您的访问日志以查看当时谁对系统进行了物理访问。