删除用户后，如何通过deluser审计机制确保系统安全不被破坏？

前言：在系统中删除用户是一场细腻的艺术

每一次用deluser把一个账号从服务器里抹去， 都像是春天里拔掉一株杂草，却又要确保土壤依旧肥沃、雨水依旧甘甜。系统平安不是一瞬间的奇迹，而是日复一日、点滴积累的后来啊。 摆烂。 正如古人说“多生孩子， 多种树”，我们在技术上也要兼顾繁荣与守护，让每个新建用户都有成长的空间，一边让每一次离别都留下清晰可追溯的足迹。

1. 为什么要审计deluser操作？

审计不是为了找茬，而是为了让系统在风雨中屹立不倒。若没有记录：，调整一下。

• 管理员可能忘记已经删除了哪些账户，导致权限残留。
*误删关键账号后难以追溯。
• 合规检查时缺少凭据，影响组织声誉。

得了吧... 所以 把deluser这把“剪刀”放进审计框架，就像给花园装上摄像头——既能防止偷窃，也能捕捉美好瞬间。

2. 基础准备：开启系统审计服务

Ubuntu 系统默认自带服务， 只要稍作配置，就能让它悄悄记录下所有用户删除事件。

# 安装 auditd 及相关插件
sudo apt-get update
sudo apt-get install -y auditd audispd-plugins
# 启动并设为开机自启
sudo systemctl enable auditd
sudo systemctl start auditd

3. 配置捕获deluser

3.1 添加审计规则

打开规则文件， 加入两条针对 32 位和 64 位体系结构的监控指令：，太治愈了。