在阿里云服务器（ECS）运维的日常里，会话记录像是一次次隐形的巡检笔记，帮你追溯谁在什么时候访问了你的实例、执行了哪些操作，以及是否存在异常登录。无论是排错、做安全审计，还是对接合规要求，这个技能都显得特别实用。下面这份全流程指南，围绕在阿里云服务器上查看会话记录的常用方法展开，覆盖从基础命令到高级审计的完整路径。你只要按步骤落地执行，后续的诊断效率会提升一个档次。
先把“会话记录”的内涵理清楚：一台服务器上的会话记录，通常指系统登录会话（谁在什么时间通过 SSH/控制台登录）、会话中的活动轨迹以及登出时间等。为了支撑高效的排查，通常需要同时掌握本地日志、系统审计日志以及外部日志服务的能力。阿里云服务器多为 Linux 实例，因此本地日志和审计工具是最直接也是最强大的组合。你如果只看一个地方，可能看不到完整的轨迹；而把多源日志串起来，才会呈现出清晰的“谁、何时、做了什么”的全貌。
一、最基础的会话查看工具：谁在登录、现在在线、最近有哪些会话。常用命令包括 who、w、last、utmp/wtmp/utmpx 相关文件等。who 可以显示当前登录会话的用户、终端、登录时间等信息；w 在此基础上还会给出正在执行的命令、空闲时间等上下文；last 则是基于 /var/log/wtmp 的历史会话记录，能看见最近的登录、登出时间、IP 地址和会话时长。把这几个命令连起来用，基本可以覆盖日常的大部分排查场景。
二、不同发行版的日志位置：在 Linux 生态中，日志的存放位置因发行版而异。常见的是：在 Debian/Ubuntu 系列，认证相关日志常见于 /var/log/auth.log、/var/log/syslog；在 CentOS/RHEL/阿里云镜像中，常见的是 /var/log/secure 与 /var/log/messages。查看这些文件，可以快速定位 sshd 的认证事件、失败登录、以及会话创建和断开等信息。对于云环境，别忘了核对时区设定与系统时间一致性，错位的时间会让你错失关键的登录瞬间。
三、实操：快速定位最近的 SSH 会话。登录到你的阿里云 ECS 实例后，可以按如下步骤执行：先用 who -a 查看当前在线用户及其终端；再用 last -a 查看最近的登录记录及登出时间、用户、来源 IP；若要查看实时的 SSH 活动，可以使用 journalctl -u sshd --since "24 hours ago"（前提是你的发行版使用 systemd 及 journald）来获取 sshd 服务的日志片段。若你的系统未使用 journald，可以直接查看 /var/log/auth.log 或 /var/log/secure，对应关键词如 "sshd", "Accepted", "Failed" 等进行筛选。
四、深入审计：auditd 的强大之处。要想把“每一个会话行为”落地到可检索的审计日志中，auditd（Linux 审计子系统）是更专业的选择。安装并启用 auditd 后，你可以通过设置规则来记录会话相关的文件访问、登录相关事件以及关键系统调用。常用的规则包括：-w /var/run/utmp -p wa -k session（记录 utmp 的写入与属性变更，用于登录会话的时间线）；-w /var/log/wtmp -p wa -k session（记录会话登出/登录的时间点）；-w /var/log/lastlog -p wa -k login（记录最近登录信息）。启用后，重启 auditd，并通过 ausearch -k session / aureport -k session 进行检索与报表。Auditd 虽然配置较细，但对于需要留存长期可溯源的会话日志来说，是不可或缺的工具。
五、PAM 层的会话记录方式。PAM（Pluggable Authentication Modules）提供了登录阶段的扩展能力，借助 pam_tty_audit 等模块能对终端设备的使用进行审计记录。开启方式通常是在 PAM 配置中加入相应模块与参数，结合 auditd 的日志，可以在用户通过 ssh、控制台或 sud、su 等切换会话时，留下更为细粒度的轨迹。实际落地时，务必确保 pam 模块版本与系统兼容，避免因配置错误导致无法登录。
六、阿里云生态下的日志服务整合。除了本地日志，很多团队会把日志送到阿里云日志服务（Log Service）做集中化分析。这一步非常适合大规模实例群组或混合云场景。常见做法是：在云服务器上安装日志采集代理（如 logtail），把 /var/log/auth.log、/var/log/secure、/var/log/audit/audit.log、/var/log/messages 等日志源送往一个日志服务的 Logstore；在日志服务中你可以按关键字、IP、用户名、时间戳等维度进行快速检索，生成可视化仪表板，设置告警。这样就算你有几十上百台 ECS 实例，也能把“谁在何时登录、执行了哪些命令”一览无遗。
七、落地示例：两套实操脚本思路。为了让你更快落地，给出两种可直接使用的思路：一是基于普通日志文件的查询组合，二是基于 auditd 的专用日志查询。思路一：grep、awk、sed 的组合可以快速从 /var/log/auth.log（或 /var/log/secure）中抽取出“Accepted password for 用户 from IP”的记录，以及“Failed password”相关条目，再结合 last 的输出，拼出较完整的时间线。思路二：使用 ausearch -k login -k session 等关键字检索 auditd 产出的日志，结合 aureport，输出一个会话线索表。无论哪种方式，最关键的是实现时间线的连贯性与可追溯性。
八、时间与安全的双重守护。记得定期核对时间同步与时区设置，确保所有日志的时间戳准确。开启日志轮转、定期清理旧日志，避免磁盘占用压垮实例。为 SSH 服务配置强认证策略（如禁用 Root 直接登录、使用强密码策略、基于密钥认证并禁用基于口令的登陆等），也能在源头减少不良会话产生的可能性。若你采用云端日志服务，别忘了对接告警策略：一旦侦测到异常的登录频率、来自异常地理位置的会话、或未授权的命令执行，及时触发告警通知，避免小事变成大事。
九、广告忽然插入时：玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink。顺便把眼前的操作想象成一次“日志侦探任务”，每一条日志都是一个线索，带你一步步摸清楚服务器的真实动态。
十、把知识落地到实际场景。比如你在排查某台 ECS 实例的异常登登录，先用 who、w、last 组合构建时间线；若发现时间线不对或有异常 IP，立刻查看 /var/log/auth.log 或 /var/log/secure 的相关条目；如需要持续监控与告警，搭建 Log Service 的日志管道和仪表板，会让问题定位从“找线索”变成“看图说话”。在云端环境里，只有把本地日志、系统审计日志以及云端日志服务三者的视图联动起来，才算真正做到“看得到、查得到、救得回”。
如果你现在正想要更细粒度的会话证据，或者想要一个可复用的排查模板，把以上步骤整理成一份可执行的清单，那就把这份思路带去你的服务器上试试看。你会发现，即使是最简单的 last 与 who 的组合，也能在错综复杂的运维环境中，为你绘出清晰的线索。是不是突然意识到，原来每一次登录都像是在给你写一条时间线？