通过操作审计（ActionTrail）查看资源操作事件

简介

操作审计（ActionTrail）帮助您监控并记录阿里云账号的活动，包括通过阿里云控制台、OpenAPI、开发者工具对云上产品和服务的访问和使用行为。您可以将这些行为事件下载或保存到日志服务SLS或对象存储OSS，然后进行行为分析、安全分析、资源变更行为追踪和行为合规性审计等操作。ActionTrail的详细信息，请参见什么是操作审计。

应用场景

用于需要获取资源的操作事件和相关信息的场景。例如，如果需要查询某个RDS实例是由哪个RAM用户创建的，可以通过搜索RDS实例ID，查询到所有该实例的操作事件，在CreateDBInstance事件的详情中查看创建实例的账号。

此外，如果需要批量导出多个RDS实例的操作事件（例如集中查看和下载所有RDS实例的操作日志），可以通过操作审计的事件投递功能将事件投递到日志服务SLS或对象存储OSS中，然后进行批量查询和下载。具体操作，请参见本文的批量导出操作事件。

费用

不涉及费用。

使用限制

• 只有单账号跟踪的事件可以通过操作审计控制台查询，且每秒最多可以查询两次。多账号跟踪的事件不能通过操作审计控制台查询，只能在对应的SLS Logstore或OSS存储空间中查询。具体操作，请参见查询多账号跟踪的事件。

• 操作审计事件查询功能只能查询当前地域最近90天的事件。

  • 如果需要查询超过90天的事件，您必须创建单账号跟踪并将事件投递到相应的存储服务。否则，将无法追溯90天以前的事件。具体操作，请参见创建单账号跟踪。

  • 如果需要同时查询多个地域超过90天的事件，或者使用多个搜索条件过滤查询事件，您可以使用事件高级查询功能。具体操作，请参见自定义查询事件。

• 云上操作后10分钟才可以通过操作审计控制台查询相关事件。

操作步骤

1. 登录操作审计控制台。

2. 在左侧导航栏，单击事件 > 事件查询。

3. 在顶部导航栏选择您想查询事件的地域。

4. 在事件查询页面输入搜索条件，设置查询的时间范围，然后单击图标。

   说明

   • 您可以设置读写类型、操作者名称、云服务名称、事件名称、关联资源类型、关联资源名称、AccessKey ID、是否敏感操作和事件 ID单个搜索条件来过滤查询事件。

   • 您只能在以下地域查询全局事件：

     • 公共云：华东1（杭州）。
     • 金融云：华东2 金融云。
     • 政务云：华北2 政务云1。

5. 找到待查询的事件，单击右侧操作列下的查看详情，可查看事件的详细信息及事件记录代码。

   说明

   关于事件中字段的更多信息，请参见管控事件结构定义。

批量导出操作事件

如果您需要批量导出多个RDS实例的操作事件，仅通过操作审计控制台逐条查看效率较低。您可以通过创建跟踪将操作事件投递到日志服务SLS或对象存储OSS中，然后在SLS或OSS中进行批量查询和下载。

1. 创建单账号跟踪，将操作事件投递到SLS Logstore或OSS Bucket。具体操作，请参见创建单账号跟踪。

2. 跟踪创建完成后，操作审计会将后续产生的操作事件自动投递到您指定的SLS Logstore或OSS Bucket中。根据投递目标的不同，选择对应的方式批量获取RDS操作事件：

   • 投递到SLS：登录日志服务控制台，在对应的Logstore中，通过查询分析语句按云服务名称过滤RDS相关事件（例如serviceName : Rds），然后将查询结果导出为CSV或其他格式进行批量分析。

   • 投递到OSS：登录对象存储控制台，在对应的Bucket中按日期路径找到操作事件的JSON日志文件，批量下载后进行分析。