跟踪 ESX 主机用户登录和活动

Products

• VMware vSphere ESXi

Issue/Introduction

免责声明：本文为 Tracking ESX host user logins and activities (1010026) 的翻译版本。尽管我们会不断努力为本文提供最佳翻译版本，但本地化的内容可能会过时。有关最新内容，请参见英文版本。

---

本文提供跟踪登录到 ESX 主机服务控制台的用户的相关用户信息的命令。

Environment

VMware ESX 4.1.x
VMware ESX 4.0.x
VMware ESX Server 3.5.x
VMware ESX Server 3.0.x

Resolution

注意：本文不适用于 ESXi 主机。

/var/log/messages 和 /var/log/secure 日志文件跟踪尝试的用户登录以及尝试是否成功。
使用 grep 命令以筛选 SSH (sshd) 或 VMware Infrastructure/vSphere Client 及 Web Access (vmware-authd) 的进程：

# grep 'sshd' /var/log/messages* /var/log/secure*
# grep 'vmware-authd' /var/log/messages* /var/log/secure*

在 ESX 服务控制台上，使用以下命令收集有关登录用户的其他信息：

• w
  

  w 命令显示登录用户及其操作的列表。
  输出如下所示：

  # w
  13:38:57 up 88 days, 12:38, 3 users, load average: 0.06, 0.12, 0.16
  USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
  root pts/1 10.0.0.12 Mon 1pm 45:39m 0.17s 0.17s -bash
  username pts/2 myname-laptop.do 12:12pm 0.00s 0.06s 0.01s sshd: username [priv]
  root pts/3 hostname.domain. Sun 6pm 3days 0.05s 0.05s -bash

• last
  

  last 命令搜索 /var/log/wtmp 文件并显示自创建文件以来登录和注销的所有用户的列表。
  输出如下所示：

  # last
  username pts/2 myname-laptop.do Thu Apr 3 12:12 still logged in
  root pts/2 myname-laptop.do Thu Apr 3 11:25 - 11:40 (00:14)

  注意：运行 last reboot 可显示自创建 var/log/wtmp 以来的所有重新引导的列表。

• who
  

  who 命令显示当前登录服务器的用户的列表。
  输出如下所示：

  # who
  root pts/1 Mar 31 13:52 (10.0.0.12)
  username pts/2 Apr 3 12:12 (myname-laptop.domain.com)
  root pts/3 Mar 30 18:48 (hostname.domain.com)
  

• fuser
  

  fuser 命令用于终止不必要的会话（即 w 或 last 命令报告为打开的会话）。
  注意：fuser 命令可能在更早版本的 ESX 3.5 上不可用。

  输出如下所示：

  # w
  13:50:54 up 88 days, 12:50, 3 users, load average: 0.52, 0.40, 0.24
  USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
  root pts/1 10.0.0.12 Mon 1pm 45:51m 0.17s 0.17s -bash
  username pts/2 myname-laptop.do 12:12pm 0.00s 0.05s 0.01s sshd: username [priv]
  root pts/3 hostname.domain. Sun 6pm 3days 0.05s 0.05s -bash

  # fuser -k /dev/pts/1
  /dev/pts/1 1699

  # w
  username pts/2 myname-laptop.vm 12:12pm 0.00s 0.05s 0.01s sshd: username [priv]
  root pts/3 hostname.domain. Sun 6pm 3days 0.05s 0.05s -bash

  fuser 命令还可用于将进程 ID 与具有已打开网络端口的应用程序相关联。使用 fuser 命令可将进程 ID 与网络端口（如 SSH）进行映射。如果您知道进程 ID 及其正在执行的操作（如重新引导）并将其关联到 SSH 端口，则可以确定启动重新引导的用户的连接方式。
  输出如下所示：

  # fuser ssh/tcp
  ssh/tcp: 1031 4622 12190 29655 29670

# ps -ef |grep 1031
root 1031 1 0 Jan06 ?00:00:00 /usr/sbin/sshd
root 4622 1031 0 Mar30 ?00:00:00 sshd: root@pts/3
root 12190 1031 0 Mar31 ?00:00:08 sshd: root@pts/1
root 29655 1031 0 12:12 ?00:00:00 sshd: username [priv]
root 1312 29778 0 14:04 pts/2 00:00:00 grep 1031

Additional Information

Tracking ESX host user logins and activities