操作审计仅默认为每个阿里云账号记录最近90天的事件，默认仅支持通过操作审计控制台查询事件。如果您因为审计要求需要获取180天以上的事件，或者需要将事件下载到本地进行分析，则必须创建跟踪将事件投递到SLS或OSS，再通过SLS或OSS的数据下载能力将事件以文件形式下载到本地。
背景信息
本文以单账号跟踪为例，为您介绍如何在日志服务SLS中下载操作审计的事件，步骤如下：
在操作审计控制台创建跟踪将事件投递到SLS，该跟踪将持续收集新产生的审计事件并持续投递到指定的SLS Logstore。
（可选）在操作审计控制台创建数据回补投递任务，该任务可以将过去90天平台已经记录的历史审计事件以一次性任务的方式投递到跟踪已经指定的SLS Logstore。
在SLS控制台下载事件。您可以根据需求在SLS控制台查询特定的事件，然后使用多种方式下载已经投递到SLS的审计事件。
例如：通过以下SQL语句查询管控事件中所有写事件的聚合情况。
说明如果设置的查询时间段较长，建议设置
LIMIT N，返回N条事件。例如：设置LIMIT 20，返回20条事件。* AND "event.eventCategory": Management AND "event.eventRW": Write | SELECT"event.serviceName"AS servieName,"event.eventName"AS eventName,"event.eventRw"AS eventRw,"event.sourceIpAddress"AS sourceIpAddress,"event.resourceName"AS resourceName,"event.resourceType"AS resourceType,"event.userIdentity.userName"AS userName,"event.userIdentity.type"AS userType,"event.userIdentity.accessKeyId"AS accessKeyId,"event.acsRegion"AS eventRegion,COUNT("event.eventId")AS n, date_trunc('hour', __time__) AS time GROUP BY time, servieName, eventName, eventRw, sourceIpAddress, resourceType, resourceName, accessKeyId, userType, userName, eventRegion ORDER BY time DESC LIMIT 20查询结果如下图所示（n表示事件聚合次数）：
步骤一：创建跟踪并投递到SLS
登录操作审计控制台。
在左侧导航栏，单击跟踪。
在顶部菜单栏，选择您想创建单账号跟踪的地域。
说明该地域将成为单账号跟踪的Home地域，即创建跟踪的地域。
在跟踪页面，单击创建跟踪。
在创建跟踪页面，设置跟踪的相关参数。
单击确认。
步骤二（可选）：创建数据回补投递任务
创建跟踪仅能投递跟踪创建时间之后的事件，如果需要下载最近90天的完整事件，您还需创建数据回补投递任务，补投递跟踪创建时间往前一段时间的事件。
如果需要创建数据回补投递任务，请通过提交工单，获取数据回补功能的使用权限。
在左侧导航栏，单击数据回补。
在顶部菜单栏，选择您需要投递任务的地域。
说明该地域必须与单账号跟踪所在地域相同。
在数据回补页面，单击创建任务。
在创建任务页面，选择跟踪。
说明选择跟踪后，系统将自动填入跟踪的地域、日志项目地域、日志项目名称和日志库信息。
单击确定。
创建任务后，您可以在数据回补页面查看任务的投递状态，确保任务成功投递。
步骤三：在SLS控制台下载事件
您可以在SLS控制台查询特定时间范围的事件，然后下载事件。如果查询到多个事件，SLS会将多个事件下载到同一个文件中，方便您后续使用。
在操作审计控制台，进入跟踪所在日志库。
在左侧导航栏，单击跟踪。
在顶部菜单栏，选择您单账号跟踪和数据回补投递任务所在的地域。
在跟踪页面，将鼠标悬浮到目标跟踪存储服务列的SLS或SLS&OSS上，然后单击SLS日志库名称。
在SLS控制台，单击15分钟（相对），设置查询的时间范围（例如：今天）。
输入查询语句，然后单击查询/分析。
关于如何设置查询语句，请参见如何在SLS设置SQL语句查询操作审计的事件。
下载事件。
方式一：下载按字段维度分类的事件统计信息。
在统计图表页签，单击
图标，然后单击下载日志。方式二：下载事件代码文件。
在原始日志页签，单击
图标。
在日志下载对话框，选择下载方式，然后单击确定。
直接下载：将本页展示的日志以CSV格式下载到本地。
通过Cloud Shell下载：请根据页面提示，下载所有日志。
说明目前Cloud Shell位于上海地域，如果当前Logstore不在上海地域，下载日志会产生一定的公网流量费用。关于价格的更多信息，请参见产品定价。
通过命令行工具下载：请根据页面提示，下载所有日志。
相关文档
关于下载操作事件详情的具体操作，请参见下载日志。