检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
为防止资源滥用，平台限定了各服务资源的配额，对用户的资源数量和容量做了限制。如您最多可以创建多少关键操作通知。 如果当前资源配额限制无法满足使用需要，您可以申请扩大配额。 怎样查看我的配额？ 登录管理控制台。 单击管理控制台左上角的，选择区域和项目。 在页面右上角，选择“资源 > 我的配额”。
CTS如何长期保存事件文件——转储至OBS桶 云审计服务仅保存近7天的事件，可以对追踪器增加OBS转储的相关配置，将事件同步、长期保存至OBS桶。具体操作请参考配置追踪器。
在搜索框中依次查询： “云服务：ECS” > “资源类型：ecs” > “资源ID：{问题虚拟机ID}”，或直接搜索{问题虚拟机ID}，查看过滤结果。 默认查询过去1小时以内的操作记录。通过设置时间范围，最多可以查看最近7天的操作记录。 若要获取最近7天以前的操作记录，则需要到OBS桶或LTS
服务相关的操作事件。 在配置转储页面，打开“转储到LTS”开关，系统会自动在LTS创建日志组：CTS，日志流：system-trace，操作事件将转储到日志流中。 图2 开启转储到LTS功能 单击“下一步 > 配置”，完成配置system追踪器。追踪器配置成功后，您可以在追踪器信息页面查看配置的追踪器的详细信息。
事件操作类型 选择需要记录事件的数据操作。 目前支持“读操作”和“写操作”，且至少选择其中一种操作。 配置转储。填写相关参数，单击“下一步”。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或配置转储到云日志服务
已注册华为账号并开通华为云，并且通过了实名认证。 配置事件转储功能，需要开通对象存储服务(OBS)和云日志服务(LTS)。 启用关键操作通知功能，需要开通消息通知服务(SMN)。 关联服务 对象存储服务（Object Storage Service，简称OBS）：存储事件文件。 由于云审计服务需要高频次的访问转储
云审计功能申请打开之后是否可以自助关闭？ 云审计服务本身免费，包括开通追踪器、事件跟踪以及7天内事件的存储和检索，只有配置转储等增值服务才会收费，本身没有必要关闭。 如果用户检查需要关闭云审计功能，有以下两种方法： 可以在追踪器中将已有追踪器删除或停用，删除或停用后，事件仍可以正常上报。
None 操作视频 云审计服务 CTS 如何查看操作事件 02:30 查看操作事件 云审计服务 CTS 如何创建追踪器 03:01 创建追踪器 云审计服务 CTS 如何创建关键操作通知 04:27 创建关键操作通知
租户A通过DEW密钥授权机制，通过用户ID方式将DEW密钥共享给另外一个租户的子用户B。用户B创建了使用租户A DEW密钥加密的OBS桶，用户B在配置CTS系统追踪器时，选择转储到该加密OBS桶后，会配置失败。 操作步骤 登录用户B的管理控制台。 单击左上角服务列表，选择“管理与监管 > 统一身份认证服务 IAM”。
CTS约束与限制 限制项 使用限制 一个华为云账号允许创建的追踪器数目 管理追踪器：1个 数据追踪器：100个 一个华为云账号允许配置的关键操作通知数目 100个 一个追踪器允许配置的OBS桶数目 1个 用户操作后多久才能通过控制台查询数据 管理类事件：1分钟 数据类事件：5分钟
ource_id、resource_name 6个参数进行配置，最多可同时对6个参数配置6个筛选条件。当配置多个条件时可以选择多条件的关系，是“当所有条件满足时生效（AND）”还是“有一个条件满足时生效（OR）”。 配置用户。 当指定的用户发起关键操作时，可以通过SMN通知相关的订阅者。
String 标识需要存储于OBS的日志文件前缀，0-9，a-z，A-Z，'-'，'.'，'_'长度为0～64字符。 is_obs_created Boolean 标识配置桶是否由追踪器自动创建。 is_authorized_bucket Boolean 标识配置桶是否已经授权给CTS服务账号。
Explorer的代码示例页签，可生成自动对应的SDK代码示例。 状态码 状态码 描述 200 请求正常。 400 服务器未能处理请求。 401 请求鉴权校验失败，访问被拒绝。 403 请求权限校验失败，访问被禁止。 404 服务器无法找到被请求的资源。 500 服务内部异常，请求未完成。 503 被请求的服务无
关键操作通知需要使用消息通知服务向相关的订阅者发送通知，因此需要提前了解消息通知服务的创建主题、添加订阅等操作。 操作视频 操作场景 关键操作通知主要应用于以下场景： 高危操作（重启虚拟机、变更安全配置等）、成本敏感操作（创建、删除高价资源等）、业务敏感操作（网络配置变更等）的实时感知和确认。
入门实践 当您完成了查看审计事件、配置追踪器等基本操作后，可以根据自身的业务需求使用云审计服务提供的一系列常用实践。 表1 常用最佳实践 实践 描述 结合函数工作流对登录/登出进行审计分析 该实践介绍如何通过CTS云审计服务，完成对公有云账户的各个云服务资源操作和结果的实时记录。
该追踪器中。数据追踪器会记录租户对OBS桶中的数据操作的详细信息。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)，才可在OBS桶里面查看历史文件。否则，您将无法追溯7天以前的操作记录。 前提条件 已注册华为账号并开通华为云，并且通过了实名认证。
tracker_name=system 响应示例 无 状态码 状态码 描述 204 删除成功。 400 服务器未能处理请求。 401 请求鉴权校验失败，访问被拒绝。 403 请求权限校验失败，访问被禁止。 404 服务器无法找到被请求的资源或部分追踪器删除失败。 500 服务内部异常，请求未完成；或部分追踪器删除失败。
添加事件源 选择准备中开通的CTS云审计服务，创建CTS触发器，CTS触发器配置如图1所示。 具体操作请参见使用CTS触发器。 图1 创建CTS触发器 CTS云审计服务监听IAM服务中user资源类型，监听login、logout操作。 父主题： 结合函数工作流对登录/登出进行审计分析
"request"：记录了创建ECS服务器的请求，可以抽取该ECS服务器的简单信息，如name为ecs-test-bandwidth，资源id（vpcid字段）为250ad46d-9c89-44ec-a97d-293da771b06b。 "response"：记录了创建ECS服务的返回结果，可
账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system-trace日志流下面去查看。 组织追踪器功能依赖组织服务某些接口，涉及企业项目权限管理的用户如需升级此能力，需要单独配置IAM权限，否则原有仅对CTS:*授权的用户将无法使用组织服务的多账号关系管理能力。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
