检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CTS最佳实践汇总 本文汇总了基于云审计服务（CTS，Cloud Trace Service）常见应用场景的操作实践，为每个实践提供详细的方案描述和操作指导，帮助用户轻松构建基于CTS的审计事件业务。 表1 CTS最佳实践一览表 最佳实践 说明 结合函数工作流对登录/登出进行审计分析
创建追踪器 功能介绍 云审计服务开通后系统会自动创建一个追踪器，用来关联系统记录的所有操作。目前，一个云账户在一个Region下仅支持创建一个管理类追踪器。 云审计服务支持在管理控制台查询近7天内的操作记录。如需保存更长时间的操作记录，您可以在创建追踪器之后通过对象存储服务（Object
配置云审计事件转储至LTS并查看 云审计服务记录了租户对云服务资源新建、修改、删除等操作的详细信息，控制台事件列表中会保存最近7天的操作记录。如果需要将操作记录保存7天以上，则需要配置事件转储至LTS功能，云审计服务会定期将操作记录同步保存到用户定义的LTS日志流中进行长期保存。
删除追踪器 操作场景 云审计服务管理控制台支持删除管理类事件追踪器，删除管理类事件追踪器对已有的操作记录没有影响。本章节介绍如何在管理控制台删除管理类事件追踪器。 前提条件 已开通云审计服务。 删除管理类事件追踪器 登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 单击左上角，选择“管理与监管
录没有影响，当您重新开通云审计服务后，依旧可以查看已有的操作记录。 URI DELETE /v1.0/{project_id}/tracker 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，获取方法请参见获取项目ID。 表2 Query参数
组件，是企事业单位信息系统安全风险管控的重要组成部分。 云审计服务（Cloud Trace Service，以下简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪、问题回溯和问题定位等常见应用场景。
Administrator。 表2列出了CTS常用操作与系统权限的授权关系，您可以参照该表选择合适的系统权限。 表2 常用操作与系统权限的关系 操作 CTS FullAccess CTS ReadOnlyAccess CTS Administrator 查询事件列表 √ √ √ 查询配额 √ √ √
开启云审计服务配置OBS桶，将审计事件归档OBS永久存储 由于CTS只支持查询7天的审计事件，为了您事后审计、查询、分析等要求，启用CTS追踪器请配置OBS服务桶（建议您配置独立OBS桶并配置KMS加密存储专门用于归档审计事件）。当云上资源发生变化时，CTS服务将审计事件归档至O
单击“查询”按钮执行搜索，默认查询过去1小时以内所有创建或删除EVS的操作。通过设置时间范围，最多可以查询7天以内所有创建或删除EVS的操作。 若要获取最近7天以前的操作记录，则需要到OBS桶或LTS日志组中查询。查询历史事件的详细操作请参照查询云审计服务转储事件。 查询超过7天
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
修改水智能体审计操作列表。 修改弹性云服务器审计操作列表。 修改DDoS高防服务审计操作列表。 修改弹性负载均衡审计操作列表。 2019-04-08 第三十八次正式发布。 新增流水线审计操作列表。 新增云备份服务审计操作列表。 新增水智能体审计操作列表。 修改代码托管审计操作列表。 修改云监控审计操作列表。
单击左侧导航树的“事件列表”，进入事件列表界面。 在搜索框中依次查询： “云服务：ECS” > “资源类型：ecs” > “资源ID：{问题虚拟机ID}”，或直接搜索{问题虚拟机ID}，查看过滤结果。 默认查询过去1小时以内的操作记录。通过设置时间范围，最多可以查看最近7天的操作记录。
单击左侧导航树的“事件列表”，进入事件列表界面。 在搜索框中依次查询： “云服务：ECS” > “资源类型：ecs” > “事件级别：warning”，根据创建虚拟机弹性云服务器失败的操作，在结果中查看事件名称为“createServer”操作记录事件。 查看操作记录，重点关注响应
指云服务上报的事件。 数据事件 指OBS服务上报的读写操作事件。 事件列表 事件列表记录了租户对云服务资源新建、修改、删除等操作的详细信息，包括管理类事件和数据类事件。事件列表最多显示近7天的事件，默认情况下显示最近1小时的事件，并且不会记录查询操作的相关信息。 管理类事件指云账户中对云服务资源新建、修改、删除等操作的详细信息。
配置转储。填写相关参数，单击“下一步”。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或配置转储到云日志服务(LTS)。具体参数说明参见表2和表3。 表2 配置转储到OBS参数列表 参数名称 参数说明 转储到OBS 当“转储到
在“事件列表”页面，用户可以按照通过系统自带的条件和时间过滤功能，查询最近7天的操作记录。 若要查询7天前的操作记录且已配置OBS服务或LTS服务，可以在对应的OBS桶中下载事件文件进行查看，或在对应的LTS日志组中查看日志。 在云审计服务页面的追踪器界面，用户可以对追踪器进行启用、停用、删除、配置等操作。
新增以下接口（V3）： 查询事件列表 创建追踪器 修改追踪器 查询追踪器 删除追踪器 查询租户追踪器配额信息 新增以下应用示例： 创建管理类追踪器 示例2：查询追踪器列表 示例3：查询管理类事件 2019-09-03 第十七次正式发布。 本次变更说明如下： 新增 查询事件列表(v2.0) 章节。
其它接口 查询租户追踪器配额信息 查询云服务的全量操作列表 查询审计日志的操作用户列表 检查已经配置OBS桶是否可以成功转储 查询事件的资源类型列表 父主题： API V3（推荐使用）
接选择秘钥。 不开启开关 在OBS桶中查看历史事件记录 您已经配置了system追踪器将事件转储至OBS桶，系统立即以新的规则开始记录操作，您现在可以在OBS桶中下载并查看历史事件文件。 在追踪器页面，system追踪器的“存储服务”一栏，会显示您在配置转储时设置的OBS桶“sy
应用示例 示例1：创建管理类追踪器 示例2：查询追踪器列表 示例3：查询管理类事件
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
