nevvad

В файл /var/log/auth.log смотрим два последних вхождения строки, где uid пользователя 0 (root, для того, чтобы узнать id пользователя используем утилиту id):

grep "uid=0" /var/log/auth.log | tail -2
Jun 28 09:16:26 hostname systemd: pam_unix(systemd-user:session): session opened for user vasyn by (uid=0)
Jun 28 09:17:01 hostname CRON[23129]: pam_unix(cron:session): session opened for user root by (uid=0)

Чтобы получить аналогичный результат с помощью программы awk используем следующею конструкцию:

awk '/uid=1000/{print$0}' /var/log/auth.log | tail -n 1