日志管理-华为云

云数据库 RDS-开启或关闭SQL审计日志:使用须知

使用须知主实例和只读实例都支持开启SQL审计日志。审计日志使用UTC时间，不受时区配置的影响。审计日志开通后，系统会将SQL操作记录下来，生成的审计日志文件会暂存在本地的数据盘，随后上传到OBS并保存在备份存储空间。如果审计日志的大小超过了备份空间容量，就会按照超出的部分进行计费。审计日志清理周期为1小时。修改审计日志的保留天数，1个小时后开始清理过期的审计日志。审计日志开通后，在业务高峰期可能会产生大量的审计日志，导致本地暂存较多的日志文件，有磁盘打满风险，建议同步开启磁盘自动扩容。

云数据库 RDS 日志管理

云日志服务 LTS-设置多账号日志汇聚:背景信息

背景信息集团公司经常采用多账号解决方案（LandingZone），不同的业务部门使用不同的账号，实现权限、资源等的隔离，提高账号的安全性。集团公司的安全合规部门有统一收集日志的诉求，期望将不同账号下各个业务部门的关键日志集中存储和分析，汇聚到一个日志账号中，用于应对不同国家和地区的安全合规审计要求。集团公司的运营部门也可能出于运营分析的诉求，期望将不同账号下各个业务部门的关键日志集中存储和分析，汇聚到一个日志账号中，方便后续进行统一的大数据处理和可视化展示。

云日志服务 LTS 日志管理

云日志服务 LTS-设置多账号日志汇聚:设置多账号日志汇聚任务

设置多账号日志汇聚任务使用管理账号或者委托管理员账号登录管理控制台，选择“ 云日志服务 LTS”进入日志管理页面。在日志应用下方，单击“多账号日志汇聚中心”。在多账号日志汇聚配置页面，开启日志接收状态，左侧选择某个成员账号，右侧勾选对应的源日志组/日志流，支持自定义目标日志组/日志流的名称。若不需要使用日志汇聚配置功能时，可以关闭日志接收状态，则所有汇聚配置都会失效，源日志流停止汇聚到目标日志流上。支持创建日志流的数量不超过总数量。更多信息请参考基础资源限制。设置完成后，单击“确定”，该账号汇聚配置创建中，预计5分钟左右创建完成，请稍后刷新查看配置。目标日志流初始化时默认采用源账号日志流的索引配置和结构化配置，配置成功后，若源账号日志流修改索引/结构化配置则不会同步到目标日志流。删除源账号的日志组/日志流不会对目标账号的日志组/日志流造成影响。取消勾选日志组/日志流并成功下发配置后，该日志组/日志流将不再继续汇聚。

云日志服务 LTS 日志管理

云日志服务 LTS-设置多账号日志汇聚:方案介绍

方案介绍组织（以下简称Organizations）云服务为企业用户提供多账号关系的管理能力。Organizations支持用户将多个华为云账号整合到创建的组织中，并可以集中管理组织下的所有账号。用户可以在组织中设置访问策略，帮助用户更好地满足业务的安全性和合规性需求。云日志服务LTS 联合Organizations推出多账号日志汇聚中心，您可以在Organizations使用管理账号指定某个成员账号成为LTS可信服务的委托管理员账号，然后可以在LTS将组织下某个成员账号的日志流复制到管理账号或者委托管理员账号中，实现多账号日志集中汇聚的目的。某个成员账号的源日志组/日志流实际上是被复制一份到管理账号或者委托管理员账号对应的目标日志组/日志流中，因此两个账号间的日志组/日志流之间不会互相干扰，可以在各自账号下独立配置转储、消费、加工等任务。

云日志服务 LTS 日志管理

DDOS防护 AAD-查看DDoS高防防护日志:操作场景

操作场景业务接入DDoS高防后，您可以通过查看高防实例线路的DDoS攻击防护日志和防护域名的CC攻击防护日志，了解当前业务的网络安全状态。在“概览”页面，您可以查看以下防护日志信息： DDoS攻击防护可以查看高防实例线路的高防入流量峰值、攻击流量峰值和DDoS攻击次数信息，以及流量和报文两个维度的攻击类型分布、DDoS攻击事件、TOP5攻击类型流量清洗等信息。 CC攻击防护可以查看防护域名请求与攻击次数、攻击类型分布、TOP5攻击源IP的次数等信息。

DDOS防护 AAD 防护日志管理

DDOS防护 AAD-查看DDoS高防防护日志:操作须知

操作须知 DDoS高防不支持下载防护日志数据。在“概览”页面，您可以查看以下时间段的防护日志数据： DDoS攻击防护可以查看指定高防实例和线路“24小时”、“近3天”、“近7天”、“近30天”和“自定义”的DDoS攻击防护数据，其中，“自定义”可以配置查看近90天的DDoS攻击防护数据。 CC攻击防护可以查看防护域名“昨天”、“今天”、“近3天”、“近7天”和“近30天”的CC攻击防护数据。

DDOS防护 AAD 防护日志管理

云日志服务 LTS-管理日志流:修改日志流

修改日志流日志流默认的存储时间和日志组保持一致。在日志流列表中，单击待修改日志流操作列的“修改”。在弹出框中，支持修改日志流名称、日志存储时间、标签等信息。关闭开关：日志流会使用日志组配置的日志存储时间。打开开关：使用日志流配置的日志存储时间。超出存储时间的日志将会被自动删除，您可以按需将日志数据转储至OBS桶中进行长期存储。目前白名单用户的日志存储时间支持1095天，如有需要，请提交工单申请。单击“确定”。修改完成后，鼠标悬浮在日志流名称上，显示修改后日志流名称和日志流原始名称。

云日志服务 LTS 日志管理

云日志服务 LTS-管理日志流:删除日志流

删除日志流如果日志流不再需要使用，可以删除日志流，日志流删除后，日志流中的日志数据将被同时删除。日志流删除后无法恢复，请谨慎操作。删除日志流前请确认该日志流下没有配置日志采集任务，否则删除后可能影响正常的日志上报。如果日志流绑定了日志转储任务，删除日志流之前，需要先删除该日志流关联的日志转储任务。在日志流列表中，单击待删除日志流操作列的“删除”。在弹出框中输入“DELETE”后，单击“确定”，完成日志流删除。图1 删除日志流

云日志服务 LTS 日志管理

云日志服务 LTS-管理日志流:智能冷存储

智能冷存储目前此功能仅在华北-北京四、华南-广州、华东-上海一局点支持白名单用户提交工单申请使用，其他局点暂不支持该功能。云日志服务LTS提供冷存储和标准存储功能。冷存储费用低，响应速度慢，对长期存储的数据进行冷存储。在日志流创建或修改页面，开启智能冷存储功能，将标准存储层数据转为冷存储。在开启智能冷存储功能后，如果标准存储时间增大，冷存储数据的存储时间仅对最新数据生效，冷存储数据不会重新转为标准存储。在开启智能冷存储功能后，在可视化日志、仪表盘、定时SQL的查询时间范围查询日志时，不支持查询涉及冷存储的时间段，需将查询时间设置为标准存储的时间范围。表2 冷存储和标准存储区别对比项标准存储冷存储适用场景数据高频查询场景数据低频查询场景查询与分析性能高，秒级返回较低，存在8S延迟可视化、仪表盘等高，秒级返回不支持此功能存储价格 0.000479元/GB/小时 0.000208元/GB/小时

云日志服务 LTS 日志管理

云日志服务 LTS-管理日志流:创建日志流

创建日志流登录云日志服务控制台。单击日志组名称对应的。单击“创建日志流”，在创建日志流页面，参考表1填写日志流相关信息。若您的组织已经设定云日志服务的相关标签策略，则需按照标签策略规则为日志组、日志流、日志接入、主机组添加标签。标签如果不符合标签策略的规则，则可能会导致日志组、日志流、日志接入、主机组创建失败，请联系组织管理员了解标签策略详情。标签策略详细介绍请参考标签策略概述，标签管理详细介绍请参考标签管理。表1 日志流参数说明参数说明日志组名称默认显示目标日志组名称。日志流名称日志流名称只支持输入英文、数字、中文、中划线、下划线及小数点，且不能以小数点、下划线开头或以小数点结尾。长度为1-64个字符。企业项目选择业务需要的企业项目，默认为default。也可单击“查看企业项目”，在企业项目管理页面查看全部企业项目。日志存储若关闭日志存储，则无法开启日志存储时间。开启“日志存储”：日志将会被存入搜索引擎，能使用日志全量功能。关闭“日志存储”：日志不会存储到LTS，可节约索引流量和存储费用，只能使用日志生成指标、转储功能，不能使用日志搜索分析、告警、消费加工等其他功能。日志存储时间(天) 日志流的存储时间，即日志上报到LTS后日志存储的时间。日志数据默认存储30天，可以在1~365天之间设置。打开日志流的“日志存储时间”：日志的存储时间使用日志流设置的日志存储时间。关闭日志流的“日志存储时间”：日志的存储时间使用日志组设置的日志存储时间。智能冷存储开启日志存储时间后，根据业务需要设置智能冷存储功能。详细请参考智能冷存储。说明：开启智能冷存储需要日志存储时间大于7天。标准存储层数据保存时间开启智能冷存储后，需要设置标准存储层数据的保存时间。标准存储数据至少需保存7天才能转换为智能冷存储层数据。当日志保存时间大于标准存储层数据保存时间，且小于日志存储时间时，日志数据将自动转换为智能冷存储层数据存储。标签按照业务需求对不同的日志流添加对应的标签，单击“添加标签”，分别填写标签键key和标签值value。说明：如需添加多个标签可重复该步骤，最多支持添加20个标签。如需删除标签可单击标签操作列的“删除”。标签键长度不能超过128个字符；标签值长度不能超过255个字符。标签键名称不可重复。如果配置转储时使用了该标签，删除标签后，请同步修改转储配置信息。匿名写入匿名写入默认关闭，适用于安卓/IOS/小程序/浏览器端上报日志，打开匿名写入则表示该日志流打开匿名写入权限，不会经过有效鉴权，可能产生脏数据。关于SDK使用请参考SDK接入。备注自定义填写备注信息，字符长度0-1024个字符。单击“确定”，完成日志流的创建。在日志流列表中，可以查看日志流名称、操作等信息。支持查看日志流计费状态，日志计费请参考价格计算器。按日志流维度上报话单功能目前在友好用户内测中，您可以提交工单申请开通。

云日志服务 LTS 日志管理

内容分发网络 CDN-实时日志:实时日志字段

实时日志字段表2 实时日志字段说明字段字段含义是否一定有值缺省值 request_time 请求时间戳，单位：毫秒是无 domain 请求的域名是无 method 请求方法是无 scheme 请求协议是无 uri 请求资源是无 uri_param 请求参数否 "-" client_ip 用户真实IP 是无 client_port 和CDN节点建连客户端端口是无 refer_protocol HTTP refer中的协议否 "-" refer_domain HTTP refer中domain信息否 "-" refer_uri HTTP refer中uri信息否 "-" refer_param HTTP refer中的参数信息否 "-" request_size 请求大小是无 response_time 请求响应时长，单位：毫秒是无 response_size 请求返回大小，单位：字节是无 http_code 请求响应码是无 response_range 应答头里表示的range信息（由源站创建），如bytes：0~99/200 是无 request_range 用户请求中Header头中range字段取值，如bytes：0~100 是无 request_body_bytes 实际发送body大小，单位：字节是无 content_type 请求的资源类型是无 hit_info 命中信息，取值为HIT（命中）、MISS（未命中）是无 user_agent UA 否 "-" uuid 请求唯一标识（全网唯一请求ID，即traceid）是无 via_info via头信息否 "-" X-Forwarded-For 请求头中X-Forwarded-For字段否 "-" server_ip 服务端IP：CDN服务端响应IP 是无

内容分发网络 CDN 日志管理

内容分发网络 CDN-实时日志:为什么要看实时日志

为什么要看实时日志实时日志可以帮助您分析加速域名遇到的异常问题，也可以帮助您了解用户的访问情况。实时日志的优势如下：当前CDN控制台可为用户展示的离线日志是延时了6个小时的日志，而实时日志延时较小，可以帮助您更快速对终端用户访问日志进行分析。传统离线日志需要您先将离线日志包下载、解压再对日志进行分析处理，过程比较繁琐。华为云已打通与云日志服务间的通信链路，采用流式传输，免去了传统日志繁琐的下载分析流程。云日志服务已部署CDN专属的可视化仪表盘，您可以一键开启，将CDN原始日志可视化呈现。离线日志目前默认提供访问时间、状态码等14个字段，实时日志默认提供日志分析常用的25个字段，详见实时日志字段。

内容分发网络 CDN 日志管理

内容分发网络 CDN-实时日志:注意事项

注意事项 CDN目前仅支持推送中国大陆节点（域名服务范围为中国大陆或全球）的日志到云日志服务的华北-北京四region。CDN其余地区节点的日志推送功能正在规划，请关注产品动态。 CDN节点实时日志推送暂不收费（后续是否会收费请关注产品动态），基础存储与分析相关费用由云日志服务（LTS）收取。受网络、节点物理硬件等的影响，引起的部分日志有延迟属于正常波动，实时日志也会存在小概率的延迟。实时日志不可用于计费、对账等场景。对接LTS后，如果您的域名上量超过20%，请提前5天提交工单请运维人员介入，以免影响正常使用。如果您将某域名迁移到了当前子账号没有查询权限的企业项目中，在该子账号下修改日志推送规则时将会下发失败。示例：子账号A拥有企业项目test的查询权限，域名example.com的企业项目归属也是test。子账号A创建了一条域名example.com的日志推送，后续因业务需要将域名example.com迁移到了企业项目test1中，此时用户登录账号A修改域名example.com的日志推送时将报错无权限。解决方案：登录主域名或者其他有企业项目test1查询权限的子账号修改。

内容分发网络 CDN 日志管理

云防火墙 CFW-查询访问控制日志:响应参数

响应参数状态码： 200 表4 响应Body参数参数参数类型描述 data data object 查询访问控制日志返回数据表5 data 参数参数类型描述 total Integer 查询访问控制日志记录总数 limit Integer 每页显示个数，范围为1-1024 records Array of records objects 查询访问控制日志记录表6 records 参数参数类型描述 action String 动作0：permit，1：deny rule_name String 规则名称 rule_id String 规则id hit_time Long 命中时间，以毫秒为单位的时间戳，如1718936272648 src_region_id String 源区域id src_region_name String 源区域name dst_region_id String 目的区域id dst_region_name String 目的区域name log_id String 文档ID src_ip String 源IP src_port Integer 源端口 dst_ip String 目的IP dst_port Integer 目的端口 protocol String 协议类型:TCP为6,UDP为17,ICMP为1,ICMPV6为58,ANY为-1,手动类型不为空，自动类型为空 app String 规则应用类型包括：“HTTP”，"HTTPS"，"TLS1"，“DNS”，“SSH”，“MYSQL”，“SMTP”，“RDP”，“RDPS”，“VNC”，“POP3”，“IMAP4”，“SMTPS”，“POP3S”，“FTPS”，“ANY”，“BGP”等。 dst_host String 目标主机 src_province_id String 源省份id src_province_name String 源省份名称 src_city_id String 源城市id src_city_name String 源城市名称 dst_province_id String 目的省份id dst_province_name String 目的省份名称 dst_city_id String 目的城市id dst_city_name String 目的城市名称状态码： 400 表7 响应Body参数参数参数类型描述 error_code String 错误码 error_msg String 错误描述

云防火墙 CFW 日志管理

云防火墙 CFW-查询访问控制日志:响应示例

响应示例状态码： 200 查询访问控制日志返回值 { "data" : { "limit" : 10, "records" : [ { "action" : "deny", "app" : "PING", "dst_ip" : "100.85.216.211", "dst_port" : 59, "hit_time" : 1664164255000, "log_id" : "46032", "protocol" : "ICMP: ECHO_REQUEST", "rule_id" : "c755be1c-4b92-4ae7-a15e-c2d02b152538", "rule_name" : "eip_ipv4_w_n_default_deny", "src_ip" : "100.95.148.49", "src_port" : 24954, "src_province_id" : "source province id", "src_province_name" : "source province name", "src_city_id" : "source city id", "src_city_name" : "source city name", "dst_province_id" : "dst province id", "dst_province_name" : "dst province name", "dst_city_id" : "dst city id", "dst_city_name" : "dst city name" } ], "total" : 1 } } 状态码： 400 Bad Request { "error_code" : "CFW.00500002", "error_msg" : "时间间距错误" }

云防火墙 CFW 日志管理

云服务器内容精选

日志管理

7*24

备案

专业服务

退订

建议反馈

售前咨询热线