我希望得到一些可以使用的方法的帮助......
我正在构建一个将使用 SSH-CA 的解决方案（即，通过证书完成身份验证的 SSH）。
流程很简单：
1) 用户生成密钥对
2) 使用 HSM 进行身份验证并获得公钥签名
3) SSH 服务器验证签名和证书并允许访问
（有额外的位，但基本上就是这样）。
这是我的问题，我可以监控证书请求和 SSH 交互，但是如何监控用户的操作？
由于这是针对 devOps 人员的，他们需要 root，所以大多数人都将以 root 身份登录到 SSH 会话。
我仍然需要将发布的命令与实际的员工姓名或 ID 联系起来。
有什么聪明的主意吗？
我想过使用：
利用
LD_PRELOAD提供一个基本的面包屑路径。使用多个证书颁发机构，每个用户一个。
UNIX 组的使用，采用组的组。
但它们都是棘手的解决方案。
我会把这个作为答案:-)
对于用户发出的审计命令（即使在他们使用
su或切换到其他 uid 之后sudo），您需要auditd.您可以在此处找到有关如何设置、如何解释日志和警告的详细信息。