如何查看ALB操作日志_负载均衡(SLB)-阿里云帮助中心

应用型负载均衡ALB（Application Load Balancer）的操作日志功能可以记录您的账号通过OpenAPI或控制台等方式操作ALB的行为。

背景信息

ALB已与操作审计服务集成，您可以在操作审计中查询用户操作ALB产生的管控事件。操作审计支持将管控事件投递到日志服务SLS的LogStore或对象存储OSS的存储空间中，满足实时审计、问题回溯分析等需求。更多信息，请参见什么是操作审计。

查看操作日志

负载均衡控制台支持您通过以下两种方式查看ALB操作日志。您可以根据业务场景选择适合的查询方式。

方式

场景说明

计费说明

操作

方式一：事件基础查询

仅限于单个阿里云账号、单个地域、90天内的事件查询，且查询条件只支持单个属性。

操作审计目前不收取任何费用。

事件基础查询

方式二：事件高级查询

支持跨阿里云账号、跨地域、实现更长时间日志的查询，且查询条件支持多属性或运行自定义SQL。

操作审计目前不收取任何费用。但是在使用事件高级查询过程中，数据投递到日志服务会产生少量的费用，需要按照SLS或OSS的定价单独付费。更多信息，请参见：

事件高级查询

事件基础查询

仅支持查询部分事件类型，且最长可以查看90天内的操作事件。

登录应用型负载均衡ALB控制台。
在左侧导航栏，选择应用型负载均衡ALB > 操作日志。

在操作日志页面，完成以下操作来筛选日志。

说明

如果当前为事件高级查询页面，在右上角单击切换为事件查询。

选择一种事件类型。

事件类型	支持的类型选项
读写类型	支持两种选择：写类型（Write）和读类型（Read）。
用户名	可输入您的用户名类型，例如user1代表RAM用户（子账号）。
资源类型	可在下拉列表中选择一种资源类型。

选择事件发生时间，最长可以查看90天内的操作事件。
单击进行筛查。

在筛选出来的事件列表中单击目标事件前面的图标。
在展开的事件详情区域查看事件的详细信息。
1. 单击事件详情。
2. 在事件详情对话框查看事件的XML记录，您可以在对话框右侧单击按钮，将事件记录复制到本地或其他目标存储地点。

事件高级查询

您可以根据实际使用场景灵活设置筛选条件或SQL语句，支持查询多个地域超过90天的事件。支持通用模式和简洁模式，您可以根据需要选择一种模式查看ALB操作日志。关于通用模式和简洁模式的使用场景，请参见下表。

模式	查询方式	说明	场景示例
通用模式（默认）	单条件查询	通过服务名称、事件名称、资源名称、资源类型、读写类型、用户名、密钥ID、源IP、请求者ID、账号类型、阿里云地域、事件源、事件ID等筛选条件进行查询。	查询ALB在固定时间内产生的全部事件，服务名称默认为ALB，可直接单击查询。
通用模式（默认）	多个条件组合查询	查询ALB在多个地域的事件。	如果需要查询ALB在杭州和上海地域的事件，单击展开，选择阿里云地域为华东1（杭州）和华东2（上海）。
简洁模式	关键字查询	根据需求输入特定的搜索字段。	如果需要查询所有的写事件，在搜索文本框输入`* AND event.eventRW: Write`。
	指定条件查询	指定操作者（Who）、操作（What）、关联资源（Which）、地点（Where）或其他（Other）类型的条件进行查询。	如果需要查询ALB在固定时间内产生的全部事件，服务名称默认为ALB，可直接单击查询。
	多个条件组合查询	同时指定操作者（Who）、操作（What）、关联资源（Which）、地点（Where）和其他（Other）类型的多个条件进行查询。	如果需要查询操作审计中Alex产生的事件，在搜索文本框输入`event.userIdentity.userName: Alex`。
	排除条件查询	同时指定多个条件，将其中一个条件前面的语句修改为NOT即可排除该条件进行查询。	如果需要查询操作审计中非Alex产生的事件，在搜索文本框输入`NOT event.userIdentity.userName: Alex`。

登录应用型负载均衡ALB控制台。
在左侧导航栏，选择应用型负载均衡ALB > 操作日志。
首次查看操作日志时，单击开启事件高级查询。
1. 在开启事件高级查询面板，选择创建跟踪或选择已有跟踪。
2. 输入跟踪名称。
3. 单击立即开通，开通日志服务SLS。
  说明
  - 将审计事件投递至SLS Logstore储存，您需要先完成对日志服务SLS开通与授权。开通并授权后，您的审计事件将自动存储至您选择SLS Logstore中，便于查看管理。
  - 数据投递到日志服务会产生少量的费用，根据您最近30天事件量预估。您可以单击查看跟踪成本预估了解详情。
4. 单击确定。
在操作日志页面，选择以下一种方式查看ALB操作日志。
说明
如果不设置筛选条件，默认查询全部事件。
方式一：通用模式（默认）
1. 输入筛选条件。
2. 单击查询。
方式二：简洁模式
1. 单击切换到简洁模式。
2. 在文本框中输入搜索字段或者查询语句。
  输入搜索字段时，需指定操作者（Who）、操作（What）、关联资源（Which）、地点（Where）或其他（Other）类型的条件。
3. 单击查询。
在筛选出来的事件列表中单击目标事件前面的图标。
在展开的事件详情区域查看事件的详细信息。
1. 单击事件详情。
2. 在事件详情对话框查看事件的XML记录，您可以在对话框右侧单击按钮，将事件记录复制到本地或其他目标存储地点。
完成事件高级查询后，在操作日志页面，您可以根据需要选择执行以下操作：
- 如果需要切换为基础事件查询，单击页面右侧的切换为事件查询。
- 数据投递到日志服务会产生少量的费用，如果需要停止该计费，请完成以下操作。
  1. 单击跟踪名称链接，在打开的跟踪详情页面，关闭跟踪状态。
  2. 返回ALB控制台的操作日志页面，单击日志服务链接，将鼠标悬浮在目标Logstore上，然后选择 > 删除。
- 如果需要关闭高级查询功能，请完成以下操作。
  1. 单击跟踪名称链接，在左侧导航栏单击跟踪，在跟踪页面，关闭高级查询。
  2. 返回ALB控制台的操作日志页面，刷新页面，您可以看到操作日志页面已切换为基础事件查询。

ALB的审计事件

事件名称	事件含义
AddEntriesToAcl	添加访问控制条目。
AddServersToServerGroup	添加后端服务器。
ApplyHealthCheckTemplateToServerGroup	健康检查模板应用到服务器组。
AssociateAclsWithListener	关联访问控制和监听。
AssociateAdditionalCertificatesWithListener	关联扩展证书和监听。
AttachCommonBandwidthPackageToLoadBalancer	关联负载均衡和共享带宽包。
Create	登录产品售卖页面进行的购买操作。
CreateAcl	创建访问控制。
CreateAScripts	创建可编程脚本。
CreateHealthCheckTemplate	创建健康检查模板。
CreateListener	创建监听。
CreateLoadBalancer	创建负载实例。
CreateRule	创建转发规则。
CreateRules	创建转发规则。
CreateSecurityPolicy	创建自定义安全策略。
CreateServerGroup	创建服务器组。
DeleteAcl	删除访问控制。
DeleteAScripts	删除可编程脚本。
DeleteHealthCheckTemplates	批量删除健康检查模板。
DeleteListener	删除监听。
DeleteLoadBalancer	删除负载均衡实例。
DeleteRule	删除转发规则。
DeleteRules	批量删除转发规则。
DeleteSecurityPolicy	删除安全策略。
DeleteServerGroup	删除服务器组。
DescribeRegions	查询地域。
DescribeZones	查询可用区。
DetachCommonBandwidthPackageFromLoadBalancer	解除负载均衡和共享带宽包的关联。
DisableDeletionProtection	关闭删除保护。
DisableLoadBalancerAccessLog	关闭访问日志。
DisableLoadBalancerIpv6Internet	关闭负载均衡IPv6公网。
DissociateAclsFromListener	解关联监听和访问控制。
DissociateAdditionalCertificatesFromListener	解关联监听和扩展证书。
EnableConfigManaged	开启配置管理。
EnableDeletionProtection	开启删除保护。
EnableLoadBalancerAccessLog	开启访问日志。
EnableLoadBalancerIpv6Internet	开启负载均衡IPv6公网。
GetGlobalLoadBalancerSummary	查询全局负载均衡汇总信息。
GetHealthCheckTemplateAttribute	查询健康检查模板详细信息。
GetListenerAttribute	查询监听配置。
GetListenerHealthStatus	查询健康检查。
GetLoadBalancerAttribute	查询负载均衡实例的详细信息。
InitializeServiceLinkedRole	初始化服务关联角色。
ListAclEntries	查询访问控制条目。
ListAclRelations	查询访问控制关联关系。
ListAcls	获取访问控制列表。
ListAScripts	查询可编程脚本列表。
ListAsynJobs	查询异步任务。
ListBackupVersions	查询配置备份信息。
ListHealthCheckTemplates	查询健康检查模板。
ListListenerCertificates	查询监听证书。
ListListeners	查询监听。
ListLoadBalancerLocalAddress	查询负载均衡回源路由。
ListLoadBalancers	查询负载均衡。
ListRules	查询转发规则。
ListSecurityPolicies	查询自定义安全策略。
ListSecurityPolicyRelations	查询安全策略关联关系。
ListServerGroups	查询服务器组。
ListServerGroupServers	查询服务器。
ListSystemSecurityPolicies	查询系统安全策略。
ListTagKeys	查询标签键。
ListTagResources	查询资源标签。
ListTagValues	查询标签值。
Modify	登录产品售卖页面进行的变配操作。
MoveResourceGroup	修改资源组。
Release	实例等的释放操作。
RemoveEntriesFromAcl	移除访问控制条目。
RemoveServersFromServerGroup	移除后端服务器。
ReplaceServersInServerGroup	替换服务器组中的服务器。
SerializeLoadBalancer	序列化负载均衡配置。
SerializeServerGroup	序列化服务器组配置。
ServiceManagedControl	资源托管控制服务。
StartListener	启动监听。
StopListener	停止监听。
TagResources	给资源添加标签。
UnSerializeLoadBalancer	反序列化负载均衡配置。
UnTagResources	删除资源的标签。
UpdateAclAttribute	更新访问控制的属性。
UpdateAScripts	更新可编程脚本。
UpdateHealthCheckTemplateAttribute	更新健康检查模板的属性。
UpdateListenerAttribute	更新监听的配置。
UpdateListenerLogConfig	更新监听日志相关属性。
UpdateLoadBalancerAddressTypeConfig	变更负载均衡实例的网络类型配置。
UpdateLoadBalancerAttribute	更新负载均衡实例属性。
UpdateLoadBalancerBillingConfig	修改负载均衡账单配置。
UpdateLoadBalancerEdition	变更负载均衡版本。
UpdateLoadBalancerZones	修改负载均衡的可用区。
UpdateRuleAttribute	更新转发规则属性。
UpdateRulesAttribute	修改转发规则属性。
UpdateSecurityPolicyAttribute	更新安全策略属性。
UpdateServerGroupAttribute	更新服务器组配置。
UpdateServerGroupServersAttribute	更新后端服务器配置。

背景信息

查看操作日志

事件基础查询

事件高级查询

方式一：通用模式（默认）

方式二：简洁模式

ALB的审计事件

相关文档