本文为您介绍如何通过操作审计控制台创建多账号跟踪。多账号跟踪将把资源目录内所有成员的事件投递到多账号跟踪中设置的SLS Logstore或OSS存储空间。

前提条件

您已经开通资源目录。具体操作，请参见开通资源目录。

背景信息

操作步骤

  1. 通过委派管理员账号（或者管理账号）登录操作审计控制台。
    关于如何设置委派管理员账号，请参见管理委派管理员账号。
  2. 在左侧导航栏，单击跟踪。
  3. 在顶部导航栏选择您想创建多账号跟踪的地域。
    说明 该地域将成为多账号跟踪的Home地域，即创建跟踪的地域。
  4. 在跟踪页面，单击创建跟踪。
  5. 在创建跟踪页面，设置跟踪的相关参数。
    • 基本信息
      参数说明
      跟踪名称跟踪的名称。您需要在阿里云账号中设置唯一的名称，该名称将用于在SLS中对Logstore命名，命名规则为actiontrail_<跟踪名称>。
      日志事件跟踪投递的事件。取值：管控事件，表示用户管理云上资源时管控平面的操作记录。

      管控事件的事件类型如下：

      • 所有事件：读事件和写事件。审计相关的法规和标准均强调对审计事件的完整记录，建议您选择所有事件。
      • 写事件：增加、删除或修改云上资源的事件，例如：CreateInstance（创建一台包年包月或者按量付费的ECS实例）。如果您仅导出事件进行自定义分析，且只关注会影响云资源的事件，则选择写事件。
      • 读事件：本身没有在云上增加、删除或修改配置的操作意图，也不会对云上配置造成变更，仅读取云服务资源信息的事件，例如：DescribeInstances（查询一台或多台ECS实例的详细信息）。读事件一般事件量非常大，会占用较多存储空间。但审计相关法规和标准均强调对审计事件的完整记录，所以建议您同时投递读事件，以便完整还原AK的使用历史和资源的访问历史。
      说明 当您通过操作审计控制台创建跟踪时，默认将跟踪投递的地域设置为全部地域。如果需要创建部分地域的跟踪，请调用创建跟踪接口设置TrailRegion参数。
      应用到所有成员跟踪的应用范围。取值：
      • 是：该跟踪为多账号跟踪，将收集管理账号和所有成员的事件，投递到统一的存储空间。为避免遗漏事件，建议您选择此选项。
      • 否：该跟踪将成为单账号跟踪，仅投递当前账号的事件。
      说明
      • 此选项一旦选定不可更改。如果创建多账号跟踪后您需要修改应用到所有成员选项，则需要删除多账号跟踪后重新创建。
      • 创建多账号跟踪后，跟踪页面中的跟踪类型列显示多账号跟踪。
    • 审计事件投递
      您可以将跟踪分别投递到日志服务SLS或对象存储OSS，或者同时进行投递。关于如何选择存储服务，请参见将事件持续投递到指定服务。
      说明 目前投递的事件范围，是多账号跟踪生效后产生的新事件，不包括原有的最近90天事件。您可以创建历史事件投递任务，将最近90天的事件一次性补投递到您跟踪指定的地址，最大限度、最大范围满足您的需求。具体操作，请参见创建跟踪历史投递任务。
      • 选择将事件投递到日志服务SLS
        • 选择投递到本账号，设置如下参数。
          参数描述
          日志库所属地域日志项目所在地域。
          日志项目名称日志服务SLS中日志项目的名称。同一账号下，日志项目名称不能重复。
          • 当您选中创建新的日志项目时，将通过操作审计控制台新建日志项目，输入日志项目名称。
          • 当您选中选择已有的日志项目时，在日志服务SLS中选择已有日志项目名称。
          说明 投递成功后操作审计会自动创建一个名为actiontrail_<跟踪名称>的日志库（Logstore），该Logstore会自动帮您设置审计最佳配置，创建查询所需索引和仪表盘，并禁止用户写入，保证审计数据的准确性。您无需提前创建Logstore。
        • 选择投递到其他账号，设置日志项目ARN和日志写入角色ARN。

          选择投递到其他账号时需要先在目标账号中创建RAM角色，授予操作审计服务向目标账号投递事件的权限，并提前创建日志项目。具体操作，请参见将资源目录中多个成员的事件投递到同一账号。

      • 选择将事件投递到对象存储OSS
        • 选择投递到本账号，设置如下参数。
          参数描述
          存储空间名称对象存储OSS中存储空间的名称。同一账号下，存储空间名称不能重复。
          • 当您选中创建新的存储空间时，通过操作审计控制台新建存储空间，输入存储空间名称。
          • 当您选中选择已有的存储空间时，在对象存储OSS中选择已有存储空间名称。
          日志文件前缀事件存放的日志文件前缀，方便后续查找事件。
          开启服务端加密存储空间中的日志文件是否加密。当您选中创建新的存储空间时，需要设置该参数。取值：
          • OSS完全托管
          • KMS
          • 否
          说明 关于OSS服务器加密功能，请参见服务器端加密。
        • 选择投递到其他账号，设置存储空间角色ARN、存储空间名称和日志文件前缀。

          选择投递到其他账号时需要先在目标账号中创建RAM角色，授予操作审计服务向目标账号投递事件的权限，并提前创建OSS存储空间。具体操作，请参见将资源目录中多个成员的事件投递到同一账号。

  6. 单击确认。

执行结果

创建多账号跟踪后，事件会以JSON格式保存在SLS Logstore或OSS存储空间中。您可以通过管理账号在日志服务SLS或对象存储OSS中查看已投递的事件。

说明 管理账号仅能在对象存储OSS或日志服务SLS中看到资源目录中成员的事件，不能通过操作审计控制台的事件查询或LookupEvents接口查询成员的事件。
  • 日志服务SLS：操作审计会自动创建一个名为actiontrail_<跟踪名称>的日志库（Logstore）。您可以在跟踪列表页面将鼠标悬浮到跟踪对应存储服务列的叹号图标，然后单击SLS日志库名称分析事件。
  • 对象存储OSS：各成员中产生的全局事件，将与Home地域的事件放在一起。非全局事件存放在资源归属的地域目录下。您可以通过Elastic MapReduce服务或自行授予第三方日志分析服务分析此事件的权限。

    您也可以在跟踪列表页面将鼠标悬浮到跟踪对应存储服务列的叹号图标，然后单击OSS Bucket名称，最后单击文件管理查看事件。关于OSS存储路径的更多信息，请参见事件投递到OSS存储空间后，存储路径是怎样的？。