su Meldungen ins syslog loggen lassen

[HardHat]

Hi,

ich möchte gerne, dass erfolgreiche und fehlgeschlagene Lorinversuche im syslog auftauchen. Auch wenn ein user einen Befehl über su ausführt, sollte das geloggt werden. Ich habe in der Datei /etc/login.defs die Parameter LOG_OK_LOGINS und SYSLOG_SU_ENAB auf yes gestellt, aber es tauchen keine Meldungen auf. Wo muss ich das einstellen?

HardHat

[Olaf Dietsche]

Vielleicht hilft das hier weiter:

Code: Alles auswählen

man login.defs
...
SULOG_FILE (string)
              This  parameter  specifies  a  full pathname of a
              file in which su activity  is  logged.   If  this
              parameter  is  not specified, the logging is sup­
              pressed.
...

[HardHat]

Dieser Parameter verhindert ja gerade, dass die Nachrichten ins syslog kommen und schickt sie stattdessen in die angegebene Datei. Bei mir ist der Parameter nicht gesetzt. Vielleicht liegt es eher daran:

Code: Alles auswählen

man login.defs
...
       SYSLOG_SU_ENAB (boolean)
              If yes [b]and login was compiled with syslog  support[/b],
              then all su activity will be noted through the sys­
              log facility.  See SULOG_FILE for related  informa­
              tion.

Könnte es sein, dass das login binary von debian ohne syslog support daher kommt?

[Olaf Dietsche]

Ich habe das soeben ausprobiert. Bei mir landen die Einträge in /var/log/auth.log

Code: Alles auswählen

LOG_OK_LOGINS           no
...
# Enable "syslog" logging of su activity - in addition to sulog file logging.
# SYSLOG_SG_ENAB does the same for newgrp and sg.
#
SYSLOG_SU_ENAB          yes

Möglicherweise wird das auch durch einen pam Eintrag gesteuert. Meine Einträge in auth.log sehen so aus:

Code: Alles auswählen

Jun 26 20:48:52 goat su[30765]: + pts/1 olaf-root
Jun 26 20:48:52 goat PAM_unix[30765]: (su) session opened for user root by olaf(uid=1000)

[HardHat]

Aha! Das klärt dann alles. In /etc/syslog.conf werden auth und auth-priv Nachrichten nach /var/log/auth geschickt und anschließend explizit nicht in /var/log/syslog abgelegt (wo ich sie immer gesucht habe).