您可以使用操作审计创建跟踪,将操作事件持续投递到日志服务SLS或对象存储OSS中。Terraform可以完成自动化创建。

前提条件

运行Terraform程序前,请确保您已开通以下云服务:

  • 日志服务SLS
  • 对象存储OSS
说明 日志服务和对象存储在超出免费额度后,会产生少量费用。更多信息,请参见日志服务计算说明对象存储计算说明

背景信息

Terraform是一个开源的自动化资源编排工具,帮助您自动化构建、配置和管理云上资源。您可以通过Terraform模板创建跟踪。更多信息,请参见Terraform Alibaba Cloud Provider

创建跟踪

您可以通过Terraform程序将跟踪分别投递到日志服务SLS或对象存储OSS,或者同时进行投递。关于如何选择存储服务,请参见将操作事件持续投递到指定服务

当您需要将跟踪投递到SLS时,仅需在Cloud Shell部署SLS相关程序,即可自动创建跟踪。

  1. 访问使用Terraform创建操作审计的跟踪
  2. 在弹出的对话框中,单击确认,克隆代码到CloudShell。
  3. 输入以下命令,定位用来创建跟踪的Terraform模板的目录。
    cd ~/tutorial-actiontrail-createdby-terraform/trail-sls
  4. 输入以下命令,加载Terraform Alibaba Cloud Provider。
    terraform init
  5. 输入以下命令,创建跟踪。
    terraform apply

    如果返回Resources: X added(X表示新增资源的个数),说明跟踪创建成功,示例如下。

    Apply complete! Resources: 3 added, 0 changed, 0 destroyed.
    
    Outputs:
    
    sls_project_id = [
      [
        "tutorial-terraform-actiontrail",
      ],
    ]
    trail_id = [
      [
        "tutorial-actiontrail",
      ],
    ]

当您需要将跟踪投递到OSS时,仅需在Cloud Shell部署OSS相关程序,即可自动创建跟踪。

  1. 访问使用Terraform创建操作审计的跟踪
  2. 在弹出的对话框中,单击确认,克隆代码到CloudShell。
  3. 输入以下命令,定位用来创建跟踪的Terraform模板的目录。
    cd ~/tutorial-actiontrail-createdby-terraform/trail-oss
  4. 输入以下命令,加载Terraform Alibaba Cloud Provider。
    terraform init
  5. 输入以下命令,创建跟踪。
    terraform apply

    如果返回Resources: X added(X表示新增资源的个数),说明跟踪创建成功,示例如下。

    Apply complete! Resources: 2 added, 0 changed, 0 destroyed.
    
    Outputs:
    
    oss_bucket_id = [
      [
        "tutorial-terraform-actiontrail",
      ],
    ]
    trail_id = [
      [
        "tutorial-actiontrail",
      ],
    ]

当您需要将跟踪同时投递到SLS和OSS时,仅需在Cloud Shell部署程序,即可自动创建跟踪。

  1. 访问使用Terraform创建操作审计的跟踪
  2. 在弹出的对话框中,单击确认,克隆代码到CloudShell。
  3. 输入以下命令,定位用来创建跟踪的Terraform模板的目录。
    cd ~/tutorial-actiontrail-createdby-terraform/trail
  4. 输入以下命令,加载Terraform Alibaba Cloud Provider。
    terraform init
  5. 输入以下命令,创建跟踪。
    terraform apply

    如果返回Resources: X added(X表示新增资源的个数),说明跟踪创建成功,示例如下。

    Apply complete! Resources: 3 added, 0 changed, 0 destroyed.
    
    Outputs:
    
    oss_bucket_id = [
      [
        "tutorial-terraform-actiontrail",
      ],
    ]
    sls_project_id = [
      [
        "tutorial-terraform-actiontrail",
      ],
    ]
    trail_id = [
      [
        "tutorial-actiontrail",
      ],
    ]

(可选)删除资源

您可以根据场景选择不同的资源删除方法。删除后,自动投递跟踪程序将失效。

当您需要删除SLS和跟踪资源时,仅需输入删除命令,即可自动删除资源。

输入以下命令,删除程序中创建的所有资源。删除后,自动投递跟踪程序将失效。

terraform destroy

如果返回Resources: X destroyed(X表示删除资源的个数),说明资源删除成功,示例如下。

Destroy complete! Resources: 3 destroyed.

当您将跟踪投递到OSS时,您需要先停止跟踪,然后删除OSS Bucket中的所有文件,最后输入删除命令。

  1. 输入以下命令,停止跟踪。
    aliyun actiontrail StopLogging --region cn-hangzhou --Name your_trail_name

    说明:your_trail_name请替换为跟踪名称,本文示例中为tutorial-actiontrail。

  2. 等待1~2分钟,然后输入以下命令,删除OSS Bucket中的文件。
    aliyun oss rm oss://your_bucket_name -r --region cn-hangzhou

    说明:your_bucket_name请替换为OSS Bucket名称,本文示例中为tutorial-terraform-actiontrail。

  3. 输入以下命令,删除程序中创建的所有资源。删除后,自动投递跟踪程序将失效。
    terraform destroy

    如果返回Resources: X destroyed(X表示删除资源的个数),说明资源删除成功,示例如下。

    Destroy complete! Resources: 2 destroyed.

当您将跟踪同时投递到SLS和OSS时,您需要先停止跟踪,然后删除OSS Bucket中的所有文件,最后输入删除命令。

  1. 输入以下命令,停止跟踪。
    aliyun actiontrail StopLogging --region cn-hangzhou --Name your_trail_name

    说明:your_trail_name请替换为跟踪名称,本文示例中为tutorial-actiontrail。

  2. 等待1~2分钟,然后输入以下命令,删除OSS Bucket中的文件。
    aliyun oss rm oss://your_bucket_name -r --region cn-hangzhou

    说明:your_bucket_name请替换为OSS Bucket名称,本文示例中为tutorial-terraform-actiontrail。

  3. 输入以下命令,删除程序中创建的所有资源。删除后,自动投递跟踪程序将失效。
    terraform destroy

    如果返回Resources: X destroyed(X表示删除资源的个数),说明资源删除成功,示例如下。

    Destroy complete! Resources: 3 destroyed.

Terraform模板参数说明

当您需要修改Terraform程序中的代码时,您可以参考如下参数说明修改Terraform模板。例如:您可以将event_rw设置为Write,仅跟踪写事件。

参数 说明
trail_name 跟踪名称。
event_rw 阿里云操作事件的类型。取值:
  • Read:读事件。指的是仅读取云资源信息的事件。
  • Write:写事件。指的是增加、删除或修改云资源的事件。
  • All:所有事件。
oss_bucket_name OSS Bucket名称。
说明 oss_bucket_name和sls_project_arn需至少指定其中一个参数。
oss_key_prefix OSS Bucket中操作事件文件的前缀,默认为空。
role_name 用户允许操作审计服务扮演的RAM角色名称,操作审计使用该角色将操作事件投递到您的存储服务,默认值:aliyunserviceroleforactiontrail。

如果该角色不存在,系统会自动进行创建。更多信息,请参见操作审计服务关联角色

sls_project_arn 日志服务Project ARN。格式为acs:log:<region_id>:<account_id>:project/<project_name>
说明 oss_bucket_name和sls_project_arn需至少指定其中一个参数。
sls_write_role_arn 日志服务角色ARN。操作审计将用该角色来将操作事件写入对应SLS Logstore,格式为acs:ram::<account_id>:role/<role_name>。默认将使用服务关联角色。
trail_region 跟踪地域。默认值:All(跟踪所有地域)。

您也可以指定地域(region_id),多个地域用英文逗号(,)分隔,例如:cn-beijing,cn-hangzhou

mns_topic_arn MNS消息主题的ARN。如果设置了该参数,则当操作事件投递到OSS后,操作审计将向对应主题发送一条消息。
status 跟踪状态。取值:
  • Enable(默认值):启用跟踪。
  • Disable:禁用跟踪。