云审计服务 CTS-华为云

云审计服务 CTS-配置云审计事件转储至OBS并查看:准备工作

准备工作注册华为云并实名认证。如果您已有一个华为账户，请跳到下一个任务。如果您还没有华为账户，请参考以下步骤创建。打开华为云官网，单击“注册”。根据提示信息完成注册，详细操作请参见如何注册华为云管理控制台的用户？。注册成功后，系统会自动跳转至您的个人信息界面。参考实名认证完成个人或企业账号实名认证。为账户充值。使用事件转储至OBS功能会产生额外费用，您需要确保账户有足够金额。关于OBS服务的价格，请参见对象存储服务价格详情。关于充值，请参见如何给华为账户充值。为用户添加操作权限。如果您是以主账号登录华为云，请跳到下一个任务。如果您是以 IAM 用户登录华为云，需要联系 CTS 管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限。授权方法请参见给IAM用户授权。

云审计服务 CTS

云审计服务 CTS-配置云审计事件转储至LTS并查看:在LTS日志流中查看历史事件记录

在LTS日志流中查看历史事件记录您已经配置了system追踪器将事件转储至LTS日志流，系统立即以新的规则开始记录操作，您现在可以在LTS日志流中查看历史事件文件。在追踪器页面，system追踪器的“存储服务”一栏，会显示您在配置转储时设置的LTS日志流“CTS/system-trace”，单击日志流名称，页面跳转到云日志服务控制台上“CTS/system-trace”日志流界面。图4 单击日志流名称在“CTS/system-trace”日志流界面，您可以查看历史操作事件日志信息。关于云审计服务事件结构的关键字段详解，请参见事件结构和事件样例。图5 system-trace日志流页面单击按钮，您可以下载日志文件到本地。 LTS单次下载支持最大5,000条日志。若所选日志超过5000条，不可使用LTS本地下载功能，请选择OBS转储下载。

云审计服务 CTS

云审计服务 CTS-在CTS事件列表查看云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

云审计服务 CTS

云审计服务 CTS-约束与限制

约束与限制云审计服务中的追踪器数量和关键操作通知有限定的配额，均不支持修改，云审计服务的具体限制如下。表1 CTS约束与限制限制项使用限制一个华为云账号允许创建的追踪器数目管理追踪器：1个数据追踪器：100个一个华为云账号允许配置的关键操作通知数目 100个一个追踪器允许配置的OBS桶数目 1个用户操作后多久才能通过控制台查询数据管理类事件：1分钟数据类事件：5分钟组织成员退出组织或被移除组织后，组织追踪器的收回时间 5分钟用户通过控制台能查询多久的操作事件说明：云审计默认为每个华为云账号记录最近7天的操作事件，如果不配置转储，您将无法追溯7天以前的操作事件。 7天组织追踪器 CTS支持组织追踪器能力，依赖组织服务某些接口，涉及企业项目权限管理的用户如需升级此能力，需要单独配置IAM权限，否则原有仅对CTS:*授权的用户将无法使用组织服务的多账号关系管理能力。全局级服务需要在中心region（北京四）的云审计控制台配置追踪器和关键操作通知，才能使用审计事件上报至CTS功能、审计事件转储至OBS/LTS功能、关键操作消息通知功能。全局级服务在其他region的云审计控制台配置时，上述功能不会生效。目前全局级服务包括：IAM、TMS、CDN、DNS、EPS、 SMS 、SES、SC、cloudsite、CBC、CC、AAD、APIExplorer、DevStarServer、PCA、PSDM、IoTDP、APIErrorCenterService、BSG、ROMAIOC、 RMS 、IEC、Compass、ExpertCMSService、 CS R、ARS、BSS、ExpertCMS、Domains、OSC、Trademark、UCS、IES、CMDB、OSM、SupportPlan、CNAD、GA、TestMind、 RAM 、Organizations、HMSA、PrivateNumber、VoiceCall、RPM、ICA、EC、OA、marketplacebtm、FunctionFlow、HChatEngineService、HSearchEngineService、 APM 、MgC、CMN、IdentityCenter、Marketplace、ESM、edgesec、pEDACloud、koopage、OLCS、COST、BILLING、ENTERPRISE、VIAS、CORS、ModernBI、ORGID-MGR、Config、COC、GlobalSIMLink、APIhub、KooPhone、VSS、ACCOUNT、CodeArtsLink、AppStage、H CSS 。

云审计服务 CTS

云审计服务 CTS-工作原理

工作原理云审计服务直接对接华为云平台上的其他服务，记录用户的云服务资源的操作信息，实现用户操作云服务资源动作和结果的实时记录功能。使用云审计服务创建追踪器可以跟踪记录事件文件。如已配置事件转储至OBS服务和LTS服务，事件文件将保存在OBS桶和LTS日志组中。用户可以对事件文件执行以下两种操作：事件文件的创建和保存：当用户在弹性云服务器、云硬盘服务、镜像服务等其它与云审计服务完成对接的服务中，进行了增加、删除、修改类型的操作时，被操作的服务会自动记录操作动作及操作结果，并按照指定的格式发送事件到云审计服务完成事件归档。云审计服务管理控制台会保存最近7天的操作记录，如已配置OBS服务或LTS服务，云审计服务会定期将操作记录同步保存到用户定义的OBS桶或LTS日志组中进行长期保存。事件文件查询：在“事件列表”页面，用户可以按照通过系统自带的条件和时间过滤功能，查询最近7天的操作记录。若要查询7天前的操作记录且已配置OBS服务或LTS服务，可以在对应的OBS桶中下载事件文件进行查看，或在对应的LTS日志组中查看日志。在云审计服务页面的追踪器界面，用户可以对追踪器进行启用、停用、删除、配置等操作。以用户创建镜像为例，在用户使用镜像服务执行创建镜像的操作过程中，镜像服务会将用户操作事件上报至云审计服务，如已配置OBS服务，云审计服务将事件转存至OBS桶中。用户也可以通过云审计服务的事件列表查看事件文件。云审计服务工作原理示意如图1所示。图1 云审计服务工作原理示意图

云审计服务 CTS

云审计服务 CTS-查询云审计事件:使用限制

使用限制单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或云日志服务(LTS)，才可在OBS桶或LTS日志组里面查看历史事件信息。否则，您将无法追溯7天以前的操作记录。云上操作后，1分钟内可以通过云审计控制台查询管理类事件操作记录，5分钟后才可通过云审计控制台查询数据类事件操作记录。

云审计服务 CTS 查询云审计事件

云审计服务 CTS-创建关键操作通知:使用说明

使用说明全局级服务需要在中心region（北京四）的云审计控制台配置关键操作通知，才能使用关键操作消息通知功能。全局级服务在其他region的云审计控制台配置时，上述功能不会生效。您可以在约束与限制中，查阅目前华为云的全局级服务信息。由于云审计服务的关键操作通知需要使用消息通知服务向相关的订阅者发送通知，因此需要提前了解消息通知服务的创建主题、添加订阅等操作。云审计服务支持创建100个关键操作通知：自定义类型的关键操作通知支持单独设置触发操作范围、指定操作用户和通知主题。完整类型的关键操作通知，支持通知主题。如果云审计服务和云监控服务使用同一消息主题，则接受终端一样，但是发送的内容不同。单个关键操作通知支持最多对10个用户组的50个用户发起的操作进行通知配置。单个关键操作通知不支持一次选择多个用户组，但是可以分次添加不同用户组中的用户在同一个关键操作通知。

云审计服务 CTS

云审计服务 CTS-配置追踪器:操作场景

操作场景云审计服务管理控制台支持对已创建的管理类追踪器增加OBS转储、LTS转储等相关配置。用户可以选择是否将已记录的事件发送到OBS桶永久保存。如果用户想要对管理类事件进行统一管理，还可以设置将多个账号记录的事件统一转储到一个OBS桶。 OBS桶有标准存储、低频访问存储和归档存储三种类型。由于云审计服务需要高频次的访问转储的OBS桶，因此必须使用标准存储类型的OBS桶。配置追踪器完成后，系统立即以新的规则开始记录操作。本节介绍如何配置管理类事件追踪器。

云审计服务 CTS 管理类事件追踪器

云审计服务 CTS-支持审计的服务及操作列表

支持审计的服务及操作列表表1 支持审计的服务及操作列表分类云服务审计操作参考文档计算弹性云服务器弹性云服务器支持审计的操作列表镜像服务镜像服务支持审计的操作列表裸金属服务器裸金属服务器支持审计的操作列表弹性伸缩弹性伸缩支持审计的操作列表函数工作流函数工作流支持审计的操作列表云手机云手机支持审计的操作列表存储云服务器备份云服务器备份支持审计的操作列表对象存储服务对象存储服务支持审计的操作列表云硬盘云硬盘支持审计的操作列表云硬盘备份云硬盘备份支持审计的操作列表内容分发网络内容分发网络支持审计的操作列表弹性文件服务弹性文件服务支持审计的操作列表云备份云备份支持审计的操作列表云存储网关云存储网关支持审计的操作列表网络虚拟私有云虚拟私有云支持审计的操作列表云专线云专线支持审计的操作列表弹性负载均衡弹性负载均衡支持审计的操作列表 NAT网关 NAT网关支持审计的操作列表虚拟专用网络虚拟专用网络支持审计的操作列表 VPC终端节点 VPC终端节点支持审计的操作列表全球加速全球加速支持审计的操作列表云连接云连接支持审计的操作列表企业路由器企业路由器支持审计的操作列表容器云容器引擎云容器引擎支持审计的操作列表云容器实例云容器实例支持审计的操作列表容器镜像服务容器镜像服务支持审计的操作列表云原生服务中心云原生服务中心支持审计的操作列表迁移对象存储迁移服务对象存储迁移服务支持审计的操作列表主机迁移服务主机迁移服务支持审计的操作列表云数据迁移云数据迁移支持审计的操作列表管理与监管云监控服务云监控服务支持审计的操作列表云审计服务云审计服务支持审计的操作列表统一身份认证统一身份认证支持审计的操作列表标签管理服务标签管理服务支持审计的操作列表资源访问管理资源访问管理支持审计的操作列表云日志服务云日志服务支持审计的操作列表配置审计（Config）配置审计服务支持审计的操作列表应用运维管理应用运维管理（1.0）支持审计的操作列表应用性能管理应用性能管理（1.0）支持审计的操作列表消息通知服务消息通知服务支持审计的操作列表应用身份管理服务应用身份管理服务支持审计的操作列表 IAM身份中心 IAM身份中心支持审计的操作列表资源编排服务资源编排服务支持审计的操作列表应用中间件微服务引擎微服务引擎支持审计的操作列表分布式消息服务Kafka版分布式消息服务Kafka支持审计的操作列表分布式消息服务RabbitMQ版分布式消息服务RabbitMQ支持审计的操作列表分布式消息服务RocketMQ版分布式消息服务RocketMQ版支持审计的操作列表分布式缓存服务分布式缓存服务支持审计的操作列表多活高可用服务多活高可用服务支持审计的操作列表事件网格事件网格支持审计的操作列表 API网关 API网关支持审计的操作列表数据库分布式数据库中间件分布式数据库中间件支持审计的操作列表云数据库云数据库RDS for MySQL支持审计的操作列表云数据库RDS for PostgreSQL支持审计的操作列表云数据库RDS for SQL Server支持审计的操作列表数据复制服务数据复制服务支持审计的操作列表文档数据库服务文档数据库服务支持审计的操作列表云数据库 GaussDB 云数据库GaussDB支持审计的操作列表云数据库 GeminiDB GeminiDB Redis支持审计的操作列表 GeminiDB Influx支持审计的操作列表 GeminiDB Cassandra支持审计的操作列表 GeminiDB Mongo支持审计的操作列表云数据库 GaussDB(for MySQL) 云数据库GaussDB(for MySQL)支持审计的操作列表数据管理服务数据管理服务支持审计的操作列表数据库和应用迁移数据库和应用迁移支持审计的操作列表开发与运维流水线流水线支持审计的操作列表编译构建编译构建支持审计的操作列表性能测试服务性能测试服务支持审计的操作列表应用管理与运维平台应用管理与运维平台支持审计的操作列表开源治理服务开源治理服务支持审计的操作列表需求管理需求管理支持审计的操作列表 IoT物联网设备接入设备接入支持审计的操作列表路网数字化服务路网数字化服务支持审计的操作列表 IoT边缘 IoT边缘支持审计的操作列表全球SIM联接全球SIM联接支持审计的操作列表 IoT数据分析 IoT数据分析支持审计的操作列表安全与合规数据加密服务数据加密服务支持审计的操作列表云防火墙云防火墙支持审计的操作列表 DDoS防护 DDoS防护支持审计的操作列表 Web应用防火墙 Web应用防火墙支持审计的操作列表漏洞管理服务漏洞管理服务支持审计的操作列表数据库安全服务数据库安全服务支持审计的操作列表主机安全服务主机安全服务支持审计的操作列表数据安全中心数据安全中心支持审计的操作列表云堡垒机云堡垒机支持审计的操作列表云证书管理服务云证书管理服务支持审计的操作列表安全云脑安全云脑支持审计的操作列表企业应用应用与数据集成平台应用与数据集成平台支持审计的操作列表域名注册服务域名注册服务支持审计的操作列表隐私保护通话隐私保护通话支持审计的操作列表云解析服务云解析服务支持审计的操作列表语音通话语音通话支持审计的操作列表区块链区块链服务区块链服务支持审计的操作列表人工智能人脸识别服务人脸识别服务支持审计的操作列表 AI开发平台 AI开发平台支持审计的操作列表知识图谱知识图谱支持审计的操作列表文字识别文字识别支持审计的操作列表大数据 MapReduce服务 MapReduce服务支持审计的操作列表数据湖探索数据湖探索支持审计的操作列表数据仓库服务GaussDB 数据仓库服务GaussDB支持审计的操作列表云搜索服务云搜索服务支持审计的操作列表数据湖治理中心数据湖治理中心支持审计的操作列表表格存储服务表格存储服务支持审计的操作列表智能数据洞察服务智能数据洞察服务支持审计的操作列表 CDN与智能边缘内容分发网络内容分发网络支持审计的操作列表智能边缘平台智能边缘平台支持审计的操作列表智能边缘云智能边缘云支持审计的操作列表智能边缘小站智能边缘小站支持审计的操作列表用户服务工单管理工单管理支持审计的操作列表企业项目管理企业项目管理支持审计的操作列表成本中心成本中心支持审计的操作列表工业软件工业数字模型驱动引擎工业数字模型驱动引擎支持审计的操作列表硬件开发工具链平台云服务硬件开发工具链平台云服务支持审计的操作列表视频视频直播视频直播支持审计的操作列表媒体处理媒体处理支持审计的操作列表开天aPaaS 云地图服务云地图服务支持审计的操作列表集成工作台集成工作台支持审计的操作列表云盘服务云盘服务支持审计的操作列表应用平台应用平台支持审计的操作列表

云审计服务 CTS

云审计服务 CTS-配置追踪器:操作场景

操作场景云审计服务管理控制台支持配置已开启的追踪器的OBS桶、LTS转储和配置已创建的追踪器关键事件操作通知。用户可选择已存在的OBS桶。云审计服务会自动为该OBS桶挂载转储所需的桶策略。当配置云审计服务的追踪器中的“事件文件前缀”时，不影响对应OBS桶的策略。如果用户想要对数据类事件进行统一管理，可以设置将多个追踪对象的事件转储到同一个OBS桶。 OBS桶有标准存储、低频访问存储和归档存储三种类型。由于云审计服务需要高频次的访问转储的OBS桶，因此必须使用标准存储类型的OBS桶。配置追踪器完成后，系统立即以新的规则开始记录操作。本节介绍如何配置数据类事件追踪器。

云审计服务 CTS 数据类事件追踪器

云审计服务 CTS-使用云审计服务监控“创建IAM用户”操作:准备工作

准备工作为用户添加操作权限。如果您是以主账号登录华为云，请跳到下一个任务。如果您是以IAM用户登录华为云，需要联系CTS管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限。授权方法请参见给IAM用户授权。开通消息通知服务( SMN )，并创建主题（本实践要求主题的名称为“cts-test”），添加订阅（本实践要求订阅的协议选择“邮件”），才能在CTS控制台使用关键操作消息通知功能。具体操作，请参见创建主题和添加订阅。使用消息通知服务（SMN）创建主题、添加邮件订阅，这会产生额外费用，SMN的计费详情请参考产品价格详情。

云审计服务 CTS

云审计服务 CTS-使用云审计服务监控“创建IAM用户”操作:步骤二：创建关键操作通知

步骤二：创建关键操作通知在云审计控制台，单击左侧导航树的“关键操作通知”。在关键操作通知界面，单击“创建关键操作通知”。参照下表中的本实践要求参数，设置关键操作通知的参数信息，单击“确定”。图2 创建关键操作通知表1 设置参数信息参数参数说明本实践要求通知名称填写通知的名称，用于标识和区分关键操作通知。对创建IAM用户操作告警操作类型根据具体使用场景，选择“完整”和“自定义操作”触发场景。自定义操作列表当操作类型选择“自定义”时，可以自定义选择触发通知的操作范围。服务类型选择：IAM 资源类型选择：user 操作名称选择：createUser 高级筛选可以通过配置筛选条件设置触发通知的操作范围。不设置指定用户当指定的用户发起关键操作时，可以通过SMN通知相关的订阅者。不指定发送通知当选择“发送”通知时，需要设置创建云服务委托和SMN主题。当选择“不发送”通知时，则无需配置。发送创建云服务委托勾选创建云服务委托后，用户在创建关键操作通知时，云审计服务将会自动创建一个云服务委托，委托授权您使用消息通知服务（SMN）。勾选 SMN主题需要选择已创建的SMN主题或者单击链接跳转到消息通知服务页面创建新的主题。 cts-test

云审计服务 CTS

云审计服务 CTS-通过云日志服务LTS存储和查询审计事件:在云日志服务LTS查询审计事件

在云日志服务LTS 查询审计事件在追踪器页面，单击system追踪器右侧的LTS日志流名称，进入到system-trace日志流详情页面。图3 单击日志流名称图4 system-trace日志流页面单击右上角的“15分钟(相对)”，设置查询的时间范围。在搜索框中输入trace_name : createServer，单击查询，查询创建云服务器的事件详情。图5 搜索createServer事件

云审计服务 CTS

云审计服务 CTS-CTS最佳实践汇总

CTS最佳实践汇总本文汇总了基于云审计服务（CTS，Cloud Trace Service）常见应用场景的操作实践，为每个实践提供详细的方案描述和操作指导，帮助用户轻松构建基于CTS的审计事件业务。表1 CTS最佳实践一览表最佳实践说明结合函数工作流对登录/登出进行审计分析本章节介绍如何通过CTS云审计服务，完成对公有云账户的各个云服务资源操作和结果的实时记录。通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。再由SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理。 CTS安全最佳实践本章节提供了CTS使用过程中的安全最佳实践，旨在为提高整体安全能力提供可操作的规范性指导。通过云日志服务LTS存储和查询审计事件本章节以“创建云服务器”（操作名称：createServer）为例，为您介绍如何通过云日志服务（LTS）存储和查询审计事件。使用云审计服务监控“创建IAM用户”操作本章节为您介绍如何通过云审计服务的操作审计和关键操作通知功能，对“创建IAM用户”操作进行监控，并通过邮件通知方式进行告警。

云审计服务 CTS

云审计服务 CTS-使用场景

使用场景云审计服务能够为您提供云服务资源的操作记录，记录的信息包括发起操作的用户身份、IP地址、具体的操作内容的信息，以及操作返回的响应信息。根据这些操作记录，可以很方便地实现审计类功能，以帮助用户更好地规划和利用已有资源、甄别违规或高危操作。云审计服务主要有以下应用场景：合规审计云审计服务能够助力客户的业务系统通过PCI DSS、ISO 27001等常见行业硬性规范中关于审计部分的认证。云审计服务所提供的操作日志记录、查询等功能及安全控制能力，是企事业单位特别是金融、支付类企业满足认证要求的必备条件。对业务上云的客户而言，关于审计方面的合规认证内容通常分为两部分：云服务商所负责的客户业务系统平台与资源的合规以及客户负责的自身业务系统的合规。一方面，云审计服务是合规性的组成部分之一，其几乎覆盖所有服务、所有资源的操作记录能力，以及审计日志在传输、存储、加密、容灾、防篡改等方面的安全能力，是认证中针对业务系统平台与资源合规的核心保障。另一方面，针对客户自身的业务系统的合规认证，云审计服务将在认证过程中积极响应，协助完成待满足项的解决方案设计和实现，支撑客户通过认证。关键操作通知云审计服务与函数工作流服务（FunctionGraph）共同提供关键操作通知功能，通知对象包括自然人及业务接口。实际应用场景举例如下：客户可配置面向己方独立审计系统的http/https通知，将CTS收到的审计日志即时同步到客户自有的审计系统，独立审计。客户可在FunctionGraph中，选择某类型的审计日志作为触发器（如文件上传），触发预设的工作流（如转换文件格式），从而简化业务开展、运维或规避问题和风险。数据价值挖掘云审计服务支持对审计日志中的数据进行挖掘，为业务健康度分析、风险分析、资源跟踪、成本分析等提供支撑，并支持开放审计数据给客户，供客户自行挖掘数据价值。审计日志中包含时间、操作人、操作设备ip、被操作资源、操作详情等各类信息，具有挖掘价值。客户可通过配置http/https通知的模式，将审计日志即时同步到自有系统进行分析。CTS也正在对接云监控、云日志，提供高危操作展示、越权操作分析、资源使用分布等功能，并为业务健康度分析、成本分析提供数据支撑。问题定位分析云审计服务可通过配置查询条件，精确查找问题发生时的操作及其详情，降低问题发现、定位和解决的时间、人力成本。当现网某个特定资源或动作出现问题，可根据云审计服务收集的日志记录，通过查询对应时间、对应资源的操作记录，查看当时的请求动作和响应，支撑问题定位分析。云审计服务提供的检索维度包括事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等，且在审计日志中，包含本次操作的请求和响应的详情信息，是定位云上问题最快捷、最有效的定位手段之一。当客户遇到云上问题时，可设置条件检索问题发生时间段内的可疑操作，将审计日志同步给处理问题的运维、客服人员。

云审计服务 CTS

云服务器内容精选

云审计服务 CTS

7*24

备案

专业服务

退订

建议反馈

售前咨询热线