使用DLA分析OSS中的事件

操作步骤

1. 在DLA中创建Schema。
   1. 登录数据湖分析管理控制台。
   2. 在页面左上角，选择与OSS所在地域一致的DLA地域。
   3. 在左侧导航栏，选择数据湖管理 > 数据入湖。
   4. 在数据入湖页面，单击更多，然后单击ActionTrail日志清洗右侧的进入向导。
   5. 在ActionTrail日志清洗页面，根据控制台提示进行配置。

      配置项	说明
      ActionTrail文件根目录	操作审计投递到OSS中日志数据的存储目录。目录以AliyunLogs/Actiontrail结尾。 选择位置：自定义操作审计投递到OSS中的事件的存储目录。 自动发现：DLA自动设置操作审计投递到OSS中的事件的存储目录。
      Schema名称	OSS在DLA中的映射数据库名称。
      清洗后数据保存位置	DLA清洗OSS数据后，将结果数据写入OSS，即数据清洗后的存储位置。 不勾选自定义：DLA默认指定存储位置。 勾选自定义：支持您自定义存储位置。
      数据清洗时间	DLA每天清洗OSS数据的时间。 系统默认的数据清洗时间是00:30。您可以根据业务规律，将数据清洗时间设置在业务低峰期，以免清洗过程中对业务造成影响。

   6. 单击创建。
2. 将操作审计投递到OSS存储空间中的日志数据同步到DLA中。
   1. 在ActionTrail日志清洗页面，单击立即同步。
   2. 选择数据湖管理 > 元数据管理，然后单击目标Schema名操作列的库表详情。
   3. 在元数据管理页面，单击表页签查看同步情况。
      关于Schema表结构的更多信息，请参见Schema表结构。
3. 使用标准SQL语法分析操作审计日志数据。
   1. 在左侧导航栏，选择Serverless Presto > SQL执行。
   2. 找到待分析的数据库，双击切换到当前数据库。
   3. 输入查询语句，单击同步执行，系统自动生成执行结果。

查询案例

查询指定AccessKey的事件

• 查询语句：select * from `action_trail` where `user_identity_access_key_id` = '目标AccessKey ID' limit 20; 。
• 查询结果：前20条目标AccessKey ID产生的事件。

查询指定AccessKey访问ECS的事件

• 查询语句：select * from `action_trail` where `user_identity_access_key_id` = '目标AccessKey ID' AND `service_name` = 'Ecs' limit 20; 。
• 查询结果：前20条目标AccessKey ID访问ECS产生的事件。

Schema表结构

Schema表包含以下关键字段。