如何配置 Linux 来记录用户使用sudo su -or之后输入的所有命令sudo su - username？
答案1
默认情况下，systemd-journald将系统中发生的所有事件记录到单个集中式数据库中/run/log。
您可以使用“_UID”字段过滤掉用户创建的日志条目。
例如：journalctl _UID=1000 _COMM=su
这将显示与用户 ID 1000 关联的所有日志。
/run/log 中的日志是非持久性的（重新启动时清除）。为了持久化，您需要修改该journald.conf文件。
转到/etc/systemd/journald.conf以下行并取消注释。
Storage=auto.
然后创建一个“journal”目录/var/log并重新加载systemd-journald。
sudo Killall -USR1 systemd-journald。