管控事件结构-操作审计(ActionTrail)-阿里云帮助中心

本文为您介绍管控事件的关键字段和示例。

关键字段

名称	描述
acsRegion	阿里云地域。
additionalEventData	事件的补充信息。
apiVersion	当eventType取值为ApiCall时，事件代表一个API的调用。此时，该字段为API的版本信息。
eventCategory	事件分类。取值：Management（管控事件）。
eventId	事件ID。
eventName	事件名称。具体含义如下：如果eventType取值为ApiCall，该字段为API的名称。如果eventType取值不为ApiCall，该字段表示事件含义。
eventRW	事件的读写类型。取值： Write：写类型。 Read：读类型。
eventSource	事件来源。
eventTime	事件的发生时间（UTC格式）。
eventType	发生的事件类型。取值： ApiCall：API调用事件。 ConsoleOperation：部分控制台或售卖页的管控事件。 ConsoleSignin：控制台登录事件。 ConsoleSignout：控制台登出事件。 AliyunServiceEvent：此类事件为阿里云平台对您的资源执行的管控事件。说明当操作事件为云原生大数据计算服务 MaxCompute的事件时，eventType取值可能包含：JobEvent、TunnelEvent、TableEvent、AdminEvent、ResourceEvent、FunctionEvent、PrivilegeEvent、RoleEvent、UserEvent、SchemaEvent。事件类型含义参考审计日志范围。
eventVersion	管控事件格式的版本，当前版本为1。
errorCode	云服务处理API请求发生错误时，记录的错误码。
errorMessage	云服务处理API请求发生错误时，记录的错误消息。
requestId	请求ID。
requestParameters	API请求的输入参数。requestParameters包含的常见子字段，请参见requestParameters常见子字段。
requestParameterJson	requestParameters的JSON格式。
resourceName	事件的相关资源名称，是资源的唯一标识。说明同类型的资源名称（ID）之间以半角逗号（,）间隔，不同类型的资源名称（ID）之间以半角分号（;）间隔。
resourceType	事件的相关资源类型。说明多个资源类型之间以半角分号（;）间隔。
responseElements	API响应的数据。
referencedResources	事件影响的资源列表。
serviceName	事件相关的阿里云服务名称。
sourceIpAddress	事件发起的源IP地址。取值如下：一般为发起请求的客户端地址，支持IPv4地址和IPv6地址。如果是阿里云服务发起的请求，则IP地址会记录为云服务标识，例如：ecs.aliyuncs.com。如果源IP地址属于VPC网段或阿里云内部网段，且无法区分是否来自用户VPC时，IP地址会记录为Internal。
vpcId	如果源IP地址属于VPC网段且可识别时，记录来源VPC的Id。
userAgent	发送API请求的客户端代理标识。
isGlobal	是否全局事件。取值： true：全局事件。 false：非全局事件。
eventAttributes	事件属性。更多信息，请参见eventAttributes包含的字段。
userIdentity	请求者的身份信息。更多信息，请参见userIdentity包含的字段。

表 1. eventAttributes包含的字段

名称	描述
SensitiveAction	标识该事件为敏感操作。取值：true。

表 2. userIdentity包含的字段

名称	描述
type	身份类型。当前支持的身份类型包括： root-account：阿里云账号。 ram-user：RAM用户。 assumed-role：RAM角色。 system：阿里云服务。 cloudsso-user：云SSO用户。 saml-user：企业自有身份（基于SAML身份）。 alibaba-cloud-account：跨阿里云账号授权时被授权的身份。 oidc-user：企业自有身份（基于OIDC身份）。
principalId	当前请求者的ID，需结合type来唯一确认请求者身份。如果type取值为root-account，则记录阿里云账号ID。如果type取值为ram-user，则记录RAM用户ID。如果type取值为assumed-role，则记录`RoleID:RoleSessionName`。如果type取值为cloudsso-user，则记录云SSO用户ID。如果type取值为alibaba-cloud-account 当阿里云账号跨账号操作时，记录阿里云账号ID。当RAM用户跨账号操作时，记录RAM用户ID。当扮演角色跨账号操作时，记录`RoleID:RoleSessionName`。如果type取值为saml-user或oidc-user或system，不记录principalId。
accountId	当前请求身份所属的阿里云账号ID。
accessKeyId	当前请求身份所属的AccessKey ID。如果请求者通过SDK访问API，则记录该字段。如果请求者通过控制台登录，则该字段不显示。如果请求者通过安全令牌进行访问，则记录临时访问密钥ID。
userName	当前请求者的身份名称。如果type取值为ram-user，则记录RAM用户名。如果type取值为assumed-role，则记录`RoleName:RoleSessionName`。如果type取值为root-account，userName取值为root。如果type取值为cloudsso-user，则记录云SSO用户的用户名。如果type取值为saml-user，则记录企业自有身份的用户名（基于SAML身份）。如果type取值为alibaba-cloud-account或system，不记录userName。如果type取值为oidc-user，则记录企业自有身份的用户名（基于OIDC身份）。
sessionContext	请求者通过临时安全令牌调用API或通过控制台登录时记录该字段。该字段的内容包括： `creationDate`：创建时间。 `mfaAuthenticated`：用户登录控制台时是否使用多因素认证。

表 3. requestParameters常见子字段

名称	描述
ClientPort	客户端发起API请求时使用的临时端口号。该字段不是安全组规则的端口，而是客户端的临时端口，数值为整数，无需转换。
AcsProduct	请求涉及的产品标识。

示例

{
  "eventId": "92b33345-0cef-47be-821f-fb9914d3****",
  "eventAttributes": {
    "SensitiveAction": "true"
  },
  "eventVersion": 1,
  "sourceIpAddress": "ecs.aliyuncs.com",
  "userAgent": "ecs.aliyuncs.com",
  "eventRW": "Write",
  "eventType": "ApiCall",
  "referencedResources": {
    "ACS::ECS::Instance": [
      "i-8vb0smn1lf6g77md****"
    ],
    "ACS::ECS::Disk": [
      "d-8vbf8rpv2nn0l1zm****"
    ]
  },
  "userIdentity": {
    "type": "system",
    "userName": "ecs.aliyuncs.com"
  },
  "serviceName": "Ecs",
  "requestId": "32B7EB75-62EE-511E-9449-E19EBF67C2ED",
  "eventTime": "2022-10-22T21:52:00Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DeleteDisk"
}