使用操作审计监控创建RAM用户

创建告警规则

1. 登录操作审计控制台。

2. 在左侧导航栏，单击事件告警。

3. 选择告警规则页签，单击新建告警，按照界面提示完成规则配置。

   请注意以下参数（其他参数按需设置）。

   配置项	要求
   查询统计	在查询统计中将日志库设置与步骤一所创建跟踪投递的目标SLS日志库（格式为actiontrail_跟踪名称）保持一致。 查询语句设置为： (event.serviceName:Ram or event.serviceName:Ims) and event.eventName:CreateUser | SELECT "event.userIdentity.principalId" as operator, "event.resourceName" as user, date_format(__time__, '%Y-%m-%d %H:%i:%s') as time 说明 上述语句通过字段event.serviceName指定查询的云服务，event.eventName指定查询的操作事件，查询是否有符合创建RAM用户的操作事件。通过SELECT获取操作事件中的操作人、创建的账号、操作时间等信息用于告警通知。 操作审计支持的云服务及操作事件，请参见支持的云服务。 操作审计事件结构定义，请参见管控事件结构定义。 SLS查询语法，请参见查询语法与功能。
   触发条件	触发条件设置为当有数据时。 告警严重度，可以根据实际业务场景设置告警严重程度。

4. 单击确定。

创建告警内容模板

1. 在左侧导航栏，单击事件告警。

2. 在告警中心页面，选择通知策略 > 内容模板。

3. 在内容模板管理页面，单击创建，按照界面提示完成内容模板配置。

   将内容模板类型切换为短信，并将发送内容设置为以下信息。

   阿里云用户：{{ alert.aliuid }}
   告警规则名称：{{ alert.alert_name }}
   告警等级：{{ alert.severity | format_severity }}
   {% for result in alert.fire_results %}
   操作人：{{ result.operator }}于{{ result.time }}创建RAM用户：{{ result.user }}
   {% endfor %}

   说明

   内容模板中{{ 参数名 }}表示引用模板变量，通过{% for result in alert.fire_results %}遍历所有查询结果并通过{{ result.参数名 }}获取操作事件内的指定参数。更多内容模板参数和语法说明，请参见内容模板语法（新版）。

4. 单击确认。

创建告警通知用户

1. 在左侧导航栏，单击事件告警。

2. 在告警中心页面，选择通知对象 > 用户管理。

3. 在用户管理页面中，单击创建，在添加用户面板完成信息填写。

   • 手机号：用于接收告警信息的手机号，需开启才能接收告警。

   • 启用：保持开启，若关闭则无法正常接收告警。

4. 单击确认。

创建行动策略

1. 在左侧导航栏，单击事件告警。

2. 在告警中心页面，选择通知策略 > 行动策略。

3. 在行动策略页面，单击创建，在添加行动策略设置面板中完成信息填写。

   在第一行动列表中完成条件和行动组配置。

   配置项	要求
   条件设置	单击图标，在条件设置对话框中将规则选择为步骤创建告警规则中所创建的监控规则。
   行动组	渠道设置为短信。 接收人设置为步骤创建告警通知用户中所创建的用户。

4. 单击确认。

开启告警并关联行动策略

1. 在左侧导航栏，单击事件告警。

2. 在告警中心页面，单击告警规则页签。

3. 在监控规则列表中选中步骤创建告警规则中创建的规则，单击操作列中编辑，在告警监控规则设置面板中开启告警并关联行动策略。

   配置项	要求
   输出目标	切换至SLS通知。
   开启	表示监控规则状态，需要切换至开启状态。
   告警策略	策略类型：选择普通模式。 行动策略：选择步骤创建行动策略中创建的策略。

4. 单击确认。

RAM用户在操作审计控制台创建跟踪提示无权限。

当您使用RAM用户进行配置时，需要授予RAM用户访问和管理操作审计的权限。具体操作，请参见为RAM用户授权。