操作审计（ActionTrail）帮助您监控并记录阿里云账号的活动。您可以将这些行为事件采集到日志服务SLS，使用日志审计功能进行行为分析、安全分析、资源变更行为追踪和行为合规性审计等操作。本文介绍如何配置日志审计服务采集操作审计日志。
背景知识
-
操作审计（ActionTrail）帮助您监控并记录阿里云账号的活动，包括通过阿里云控制台、OpenAPI、开发者工具对云上产品和服务的访问和使用行为。操作审计默认为您追踪并记录最近90天的事件，支持在线查阅事件。更多信息，请参阅什么是操作审计。
-
日志审计服务依托于阿里云日志服务平台，支持通过多日志项目中心管理日志数据，您可以将云产品日志中心化汇总、查询、统计、分析，同时满足数据合规的相关地域限制要求。实现依法、有序的数据自由流动管理。更多信息，请参阅新版日志审计服务概述。
概览
日志审计开启云产品操作审计的步骤如下。日志审计支持多个云产品配置，云产品的日志类型、默认Project名称、默认LogStore名称、日志计费等信息请参见云产品采集注意事项。
前提条件
-
请确保您已开通日志服务SLS。具体操作，请参见使用LoongCollector采集并分析ECS文本日志。
-
使用操作审计之前，必须先开通操作审计服务，具体操作，请参见开通平台操作审计。
1. 关联Project
-
登录日志服务控制台，创建Project。例如创建地域为
华东1（杭州），名称为sample-production-cn-hangzhou的Project。 -
在日志应用区域的审计与安全页签，单击新版日志审计服务。
-
在新版日志审计页面，单击关联Project，在对话框中配置关联的Project，然后单击确定关联。
说明操作审计日志会接入到日志审计关联的 Project 中。
对话框中包含 地域、Project 和 注释 三个配置项。
-
在日志审计的页面，单击已关联的Project 的名称。
-
在云产品页签中选择操作审计，单击前往开启。
2. 创建跟踪
-
在操作审计>前往开启面板，明确创建跟踪的要求，单击操作审计控制台。
创建跟踪的要求包括：跟踪名称不限制、跟踪配置为所有事件、审计事件投递为将事件投递到日志服务SLS、投递账号为投递到本账号、日志所属地域为
cn-beijing、日志项目名称为lh-test。仅当日志审计关联Project下存在以actiontrail_为前缀的日志库时，才会被认为已开启操作审计的规则采集。 -
在操作审计控制台，根据要求，配置基本信息和审计事件投递，完成创建。
在左侧导航栏单击 跟踪，进入创建跟踪页面。在 基本信息 区域，设置 跟踪名称（例如
sample-production-actiontrail），跟踪配置 勾选 管控事件 并选择 所有事件，应用到所有成员 选择 否。在 审计事件投递 区域，勾选 将事件投递到日志服务 SLS，投递账号 选择 投递到本账号，日志项目 选择 选择已有的日志项目，日志库所属地域 选择 华东1（杭州），日志项目名称 选择sample-production-cn-hangzhou。完成配置后单击 确认。 -
创建跟踪成功后，查看详情，操作审计默认创建的LogStore为
actiontrail_sample-production-actiontrail。说明操作审计会自动创建一个名为
actiontrail_<跟踪名称>的日志库（LogStore）在跟踪详情页面，单击审计事件投递页签，可查看日志服务 SLS 投递配置：日志项目名称为
sample-production-cn-hangzhou，日志项目地域为华东1（杭州）。
3. 查询分析
-
在日志审计列表，进入到目标Project页，在云产品页签，选择已开启云产品列表中的操作审计，单击前往查看。
-
在查询分析>操作审计日志页，进行分析和查询。
在查询输入框中输入查询条件，单击查询/分析按钮执行查询。