ローカルアカウント作成日

コンプライアンスの目的で、UNIXマシン上のローカル（ユーザーおよび非ユーザー）アカウントの作成日に関する情報をフェッチする必要があります。

そのような情報を収集する方法はありますか（最も信頼できる方法や正確な方法でなくても）。

たとえば、別の方法として、home（ユーザーアカウントの）ディレクトリ作成日を検索しましたが、POSIX準拠のシステムでは、ファイル作成のタイムスタンプが利用できないことがわかりました。

ユーザーが作成してから作成されていない場合は、.bash_logoutファイルを使用して日付を決定できます。ルートとして：

ls -l /home/<username>/.bash_logout

または、ユーザーがホームディレクトリを持っている場合は、そのディレクトリの最終変更日を確認できます。

ls -ld /home/username/

使用できる日付のみを取得するにはawk：

ls -ld /home/username/ | awk '{ print $6,$7,$8 }'

ソース

アカウントの作成が記録される場合があります。Linux（共通のシャドウユーティリティスイートを使用している場合）ではuseradd、ファシリティの下にログエントリを作成しますauth.info。このログは通常、/var/log/secureまたはにあります/var/log/auth.log（ディストリビューションによって異なります）。

バックアップを確認して、/etc/passwdこのアカウントを持たない最も新しいバックアップを確認できます。私が使用してお勧めしますetckeeperの変化を追跡するために、/etcそう、git annotate /etc/passwd私に答えを与えるだろう。（実際にgit annotateは、ユーザーのエントリが最後に変更されたときに通知されます。自動化がこの回答の範囲外であるもう少し掘り下げると、エントリが追加されたときに通知されます。）

監査ログ、バックアップ、変更履歴がない場合は、ヒューリスティックスを使用する必要があります。良い手がかりは、iノード変更時刻（ctime）が最も古いファイルです。このヒューリスティックは、両方の方法で成り立つ可能性があります。ディレクトリがユーザーのホームに移動された場合、古いctimeのファイルが含まれている可能性があります（ただし、ユーザーよりも古い場合は、変更としてユーザーのuidである必要はありません。 uidにはctimeの更新が含まれるため、ユーザーが所有していないファイルをスキップできます）; 逆に、一部のイベントはファイルのctimeを変更する可能性があります（たとえば、システム全体がバックアップから復元された場合）。ユーザーのホームディレクトリ（ls -Alctr ~bob| sed -n 2p）から開始できます。これには/etc/skel、ユーザーが変更したことがない（.bash_logout一般的な）ファイルが含まれている可能性があり、で古いファイルがあるかどうかを確認できますfind ~bob ! -cnewer ~bob/.bash_logout -user bob。zshで実行ls -ld ~bob/**/*(Doc[1]u:bob:)。

$ chage -l fred

パスワード変更日を確認します。

ローカルユーザーの場合は、それを記録するシステムおよびファイルシステム（Linux、ほとんどのBSD、macOS）のホームディレクトリの誕生時刻を確認できます。その方法はシステムによって異なります。

LDAPディレクトリ内のユーザーのcreateTimestamp場合whenCreated、対応するLDAPエントリの（場合によっては）属性を確認できます。

ldapsearch -LLL -x -H ldaps://ldap.example.com -s sub \
  -b dc=example,dc=com 'uid=username' createTimestamp whenCreated