自定义查询事件

当您需要查询多个地域超过90天的事件时,可以通过自定义查询功能设置筛选条件或SQL语句查询事件。本文为您介绍如何通过操作审计控制台自定义查询事件详情。

前提条件

请确保您已创建跟踪,且将事件投递到日志服务SLS中。具体操作,请参见创建单账号跟踪创建多账号跟踪

使用场景

自定义查询事件支持简单查询和SQL查询。您可以使用简单查询进行可视化搜索,或者使用简单查询借助结构化查询语言SQL(Structured Query Language)进行灵活搜索。

模式

查询方式

说明

场景示例

简单查询

单条件查询

通过服务名称、阿里云地域、事件名称、账号类型、读写类型、资源名称、资源类型和操作者等筛选条件进行查询。

如果您需要查询KMS在固定时间内产生的全部事件,设置服务名称密钥管理服务(Kms)

多个条件组合查询

查询多个服务的事件、或者同一服务在多个地域的事件。

如果您需要查询KMS在杭州和上海地域的事件,设置服务名称密钥管理服务(Kms)阿里云地域华东1(杭州)华东2(上海)

SQL查询

关键字查询

根据需求输入特定的搜索字段。

如果您需要查询所有的写事件,在搜索文本框输入* AND event.eventRW: Write

指定条件查询

指定操作者(Who)、操作(What)、关联资源(Which)、地点(Where)或其他(Other)类型的条件进行查询。

如果您需要查询KMS在固定时间内产生的全部事件,在搜索文本框输入* AND event.serviceName: Kms

多个条件组合查询

同时指定操作者(Who)、操作(What)、关联资源(Which)、地点(Where)和其他(Other)类型的多个条件进行查询。

如果您需要查询操作审计中Alex产生的事件,在搜索文本框输入* AND event.serviceName: Actiontrail AND event.userIdentity.userName: Alex

排除条件查询

同时指定多个条件,将其中一个条件前面的语句修改为NOT即可排除该条件进行查询。

如果您需要查询操作审计中非Alex产生的事件,在搜索文本框输入* AND event.serviceName: Actiontrail NOT event.userIdentity.userName: Alex

操作步骤

  1. 登录操作审计控制台

  2. 在左侧导航栏,选择事件 > 高级查询

  3. 查询范围-跟踪选择已创建的跟踪。

  4. 自定义模板Default页签,设置事件的查询条件。

    • 简单查询

      简单查询模式下,根据界面提示设置查询条件。

    • SQL查询

      关闭简单查询开关,输入SQL查询条件。

      说明
      • 关于高级查询的SQL语法和查询示例,请参见高级查询的SQL语法

      • 当简单查询不能满足您的需求时,您可以先在简单查询模式下,根据界面提示设置查询条件,再关闭简单查询开关。您在简单查询模式下设置的查询条件会自动转换为SQL语句,您可以对该SQL查询条件进行定制。

  5. 设置查询事件的时间段,单击运行

    说明
    • 操作审计默认查询7天的事件。

    • 您可以单击右侧的事件告警,为当前事件设置告警。具体操作,请参见创建自定义告警规则

    • 您可以对系统模板默认的SQL语句进行修改,然后单击保存,将其另存为自定义模板,进行二次应用。

  6. 查看事件的查询结果。

    • 原始日志

      原始日志页签,单击目标事件对应操作列的查看事件详情,查看事件的基本信息和JSON格式。

    • 直方图

      查询直方图页签,查看事件发生的直方图。

相关文档