使用操作审计监控AccessKey的使用

本文将介绍如何使用操作审计将操作事件投递到日志服务SLS，从而实现对AccessKey的监控和告警。

背景信息

开通操作审计之后，可查询最近90天的操作事件，您可以使用AccessKeyId来检索事件。具体操作，请参见通过操作审计控制台查询详细事件。您也可以将操作事件投递到日志服务，从而保存更长时间。

创建跟踪

1. 登录操作审计控制台。
2. 在顶部导航栏选择您想创建单账号跟踪的地域。
   说明 该地域将成为单账号跟踪的Home地域，即创建跟踪的地域。
3. 在左侧导航栏，选择操作审计 > 创建跟踪。
4. 在跟踪基本属性页面，设置如下参数，单击下一步。

   参数	说明
   跟踪名称	跟踪的名称。同一阿里云账号中跟踪名称不能重复。
   跟踪的地域	选择全部地域。
   事件类型	选择所有事件。

5. 在审计事件投递页面，选择将事件投递到日志服务SLS。
6. 选择创建新的日志项目，选择日志库所属地域，设置日志项目名称。
7. 单击下一步。
8. 在预览并创建页面，确认跟踪信息，单击提交。

配置日志服务

1. 在操作审计控制台，选择操作审计 > 跟踪列表。
2. 单击目标跟踪日志服务列下的日志分析。
   说明 您也可以登录日志服务控制台进行配置。
3. 在页面右上角，单击15分钟（相对），设置查询的时间范围。
4. 在搜索框中输入查询语句：event.userIdentity.accessKeyId: "LTAI********eB7Z" | select count(1) as use_ak_LTAI********eB7Z，然后单击查询/分析。
5. 将日志另存为快速查询或另存为告警。
   • 另存为快速查询：单击页面右上角的另存为快速查询，输入快速查询名称后，单击确定。
     说明 将日志另存为快速查询后，您可以在日志服务控制台直接选择该快速查询。

     详细信息，请参见快速查询。

   • 另存为告警：单击页面右上角的另存为告警，在告警规则面板配置相关参数，单击确定。

     详细信息，请参见设置告警。

     
     说明 将日志另存为告警后，满足触发条件即可收到告警通知，例如：按照上图进行告警配置后，如果accessKeyId在5分钟内被使用过，则上报告警。

执行结果

创建的快速查询和告警均可在日志服务控制台进行快速查看和管理。