ubuntuにて確認

参考

Linux - リモートログインしたユーザの操作ログ（script）を取得する - Qiita

仕込み方

/etc/profile.d/script.sh

# !/bin/sh
logging() {
    LOGFILE=/var/tmp/$(date +"%F_%T")-$USER.script
    # ssh接続した時のみログ記録
    P_PROC=`ps aux | grep $PPID | grep sshd | awk '{ print $11 }'`
    if [ "$P_PROC" = sshd: ]; then
      LOGTIME=$(date "+%T")
      # 端末を閉じるボタン押されると書き込みされないので-f付ける
      script -f -q $LOGFILE
      # このexitがないとログイン成功しない
      exit 0
    fi
}

# ------------------------
# 自分以外であることの判定
# ------------------------
# if [ $USER != "user1" ];then
if [ ! $UID -eq 1000 -a ! $UID -eq 500 ];then
    logging
fi

ログの閲覧の仕方

タイミングファイルを生成しておけば再現できるが、そうでなければ
moreかcatを使って読む。