RHEL 8 - 记录用户会话操作

《OpenShift 4.x HOL教程汇总》
已在 RHEL 8.4 上验证
本文的前置条件：RHEL 8 - 安装 webconsole

安装Session Recording插件

1. 安装cockpit-session-recording和tlog。

$ yum -y install cockpit-session-recording tlog

2. 打开webconsole，确认界面中多了“Sesion Recording”菜单。进入该菜单界面如下，点击“用户名”右侧的蓝色配置按钮。
   
3. 在配置界面中配置“SSSD Config”的“Scope”为“所有”，然后点击“保存”。
   
4. 查看配置文件sssd-session-recording.conf，确认“scope”已被设置为“all”。

$ cat /etc/sssd/conf.d/sssd-session-recording.conf
[session_recording]
scope=all
users=
groups=

5. 查看配置文件tlog-rec-session.conf，确认提示信息。

$ cat /etc/tlog/tlog-rec-session.conf | grep notice
    // "notice" : "\nATTENTION! Your session is being recorded!\n\n",

查看会话操作记录

1. 在系统中创建一个用户，然后用跳到到该用户访问主机，注意在登录后会提示用户会话的操作会被记录。

$ useradd rhel
$ su - rhel
。。。 
ATTENTION! Your session is being recorded!
 
[rhel@somehost ~]$

2. 依次执行以下命令。

$ ls /tmp
$ who
$ df -hP
$ yum list installed
$ exit

3. 在webconsole中的“Session Recording”中可以看到该用户的会话记录，点击记录可以进入查看操作记录。
   
4. 在操作记录中可以查看还用户的操作命令以及屏幕输出内容。
   
5. 执行命令可以查看到rhel用的会话操作日志记录

$ journalctl -o verbose --output-fields=TLOG_USER,TLOG_REC TLOG_USER=rhel
-- Logs begin at Thu 2021-10-07 05:00:09 EDT, end at Thu 2021-10-07 09:34:28 EDT. --
Thu 2021-10-07 09:05:36.309682 EDT [s=c95f25248cd446b2baaab97cfc773838;i=49e;b=6ea8b74449d44071aefa0c8d71095399;m=1384f0b6;t=5cdc2eb2a2307;x=930ed15a0288>
    TLOG_REC=6ea8b74449d44071aefa0c8d71095399-1330-7d05
    TLOG_USER=rhel
Thu 2021-10-07 09:05:36.717090 EDT [s=c95f25248cd446b2baaab97cfc773838;i=49f;b=6ea8b74449d44071aefa0c8d71095399;m=138b27c8;t=5cdc2eb305a1a;x=d2b983b545b5>
    TLOG_REC=6ea8b74449d44071aefa0c8d71095399-1330-7d05
    TLOG_USER=rhel
Thu 2021-10-07 09:05:36.719238 EDT [s=c95f25248cd446b2baaab97cfc773838;i=4a0;b=6ea8b74449d44071aefa0c8d71095399;m=138b2fe6;t=5cdc2eb306238;x=19cbed1850bc>
    TLOG_REC=6ea8b74449d44071aefa0c8d71095399-1330-7d05
    TLOG_USER=rhel