工作中遇到了用户误删除事件，为了以防万一考虑记录所用用户的操作指令。
找到了下面解决方案,测试可行。

mkdir -p /var/log/usermonitor/
#创建用户审计文件存放目录和审计日志文件

echo 20200402 >/var/log/usermonitor/usermonitor.log
#创建用户审计日志文件

chown nobody:nobody /var/log/usermonitor/usermonitor.log
#将日志文件所有者赋予一个最低权限的用户

chmod 002 /var/log/usermonitor/usermonitor.log
#给该日志文件赋予所有人的写权限

chattr +a /var/log/usermonitor/usermonitor.log
#设置文件权限,使所有用户对该文件只有追加权限

export HISTORY_FILE=/var/log/usermonitor/usermonitor.log
export PROMPT_COMMAND='{ date "+%y-%m-%d %T ##### $(who am i |awk "{print \$1\" \"\$2\" \"\$5}")  #### $(whoami)  #### $(history 1 | { read x cmd; echo "$cmd"; })"; } >>$HISTORY_FILE'
#vim /etc/profile

source  /etc/profile
#配置生效

HISTSIZE=10000
#如果想更改history的记录命令条数,编辑vim /etc/profile
source  /etc/profile

————————————————
版权声明：本文为CSDN博主「Hwh1231」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/hwh1231/article/details/53261406