检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
请确保已开通云审计服务。具体操作，请参见开通云审计服务。 配置LTS转储 登录云审计控制台。 单击左侧导航栏的“追踪器”，进入追踪器信息页面。 在管理类追踪器(system)的右侧，单击操作下的“配置”。 图1 追踪器配置 设置追踪器的基本信息，单击“下一步”。 参数名称 说明 本实践要求
如何给云硬盘添加告警通知？ 问题描述 如何给云硬盘的操作添加告警通知。 操作步骤 登录云审计控制台。 左侧导航栏选择“关键操作通知”，单击“创建关键操作通知”。 在“配置操作”模块选择“自定义操作”，依次勾选“EVS > evs”的四个关键操作名称，即可对云硬盘的操作添加告警通知。
当现网某个特定资源或动作出现问题，可根据云审计服务收集的日志记录，通过查询对应时间、对应资源的操作记录，查看当时的请求动作和响应，支撑问题定位分析。 本章节介绍，通过云审计服务如何定位现网某个弹性云服务器在某日上午发生的故障，以及如何定位现网创建弹性云服务器操作失败的问题。 前提条件 已开通云审计服务
在CTS控制台查询不到事件。 操作方法 查看是否已选择正确的时间范围。 查看筛选条件是否选择正确。您可以在筛选器组合一个或多个筛选条件： 事件名称：输入事件的名称。 事件ID：输入事件ID。 资源名称：输入资源的名称，当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。
AK/SK签名认证方式仅支持消息体大小12MB以内，12MB以上的请求请使用Token认证。 AK/SK既可以使用永久访问密钥中的AK/SK，也可以使用临时访问密钥中的AK/SK，但使用临时访问密钥的AK/SK时需要额外携带“X-Security-Token”字段，字段值为临时访问密钥的security_token。
is_organization_tracker 否 Boolean 是否应用到我的组织。 只针对管理类追踪器。设置为true时，ORG组织下所有成员当前区域的审计日志会转储到该追踪器配置的OBS桶或者LTS日志流，但是事件列表界面不支持查看其它组织成员的审计日志。 management_event_selector
通知用户列表，目前最多支持对10个用户组和50个用户发起的操作进行配置。 topic_id 否 String 消息通知服务的topic_urn或者函数工作流的func_urn。- 消息通知服务的topic_urn可以通过消息通知服务的查询主题列表API获取，示例：urn:smn:reg
是 String 标识云服务类型。必须为已对接CTS的云服务的英文缩写，且服务类型一般为大写字母。 已对接的云服务列表参见《云审计服务用户指南》“支持审计的服务及详细操作列表”章节，单击对应云服务的文档链接，可以查看到该云服务的英文缩写。 resource_type 是 String
允许删除CTS的权限策略，控制他们对CTS资源的使用范围。 如果华为云账号已经能满足您的要求，不需要创建独立的IAM用户进行权限管理，您可以跳过本章节，不影响您使用CTS服务的其它功能。 IAM是华为云提供权限管理的基础服务，无需付费即可使用，您只需要为您账号中的资源进行付费。请参见IAM产品介绍。
在IAM控制台误删除名称为“cts_admin_trust”的委托，可能会影响审计数据转储至对象存储服务(OBS)。 解决办法 进入CTS控制台重新创建委托，转储至对象存储服务(OBS)功能将会在24小时内恢复。操作方法如下： 登录管理控制台。 单击左上角，选择“管理与监管 > 云审计服务 CTS”，进入云审计服务授权页面。
云审计服务事件参考 事件结构 事件样例 IAM身份与操作用户对应关系
云审计功能申请打开之后是否可以自助关闭？ 云审计服务本身免费，包括开通追踪器、事件跟踪以及7天内事件的存储和检索，只有配置转储等增值服务才会收费，本身没有必要关闭。 如果用户检查需要关闭云审计功能，有以下两种方法： 可以在追踪器中将已有追踪器删除或停用，删除或停用后，事件仍可以正常上报。
LTS服务日志组的ID。 stream_id String LTS服务日志流的ID。 is_organization_tracker Boolean 是否应用到我的组织。 只针对管理类追踪器。设置为true时，ORG组织下所有成员当前区域的审计日志会转储到该追踪器配置的OBS桶或者L
云审计服务管理控制台支持删除已创建的数据类事件追踪器，删除数据类事件追踪器对已有的操作记录没有影响。本章节介绍如何在管理控制台删除数据事件追踪器。 使用限制 删除追踪器后，操作事件仍可以正常上报到云审计服务。您可以在事件列表查看已有的7天内的操作记录，但是您无法查看新的操作记录、转储事件至OBS/LTS和接收关键操作通知。
单击左上角，选择“管理与监管 > 云审计服务 CTS”，进入云审计服务详情页面。 单击左侧导航树的“追踪器”，进入追踪器信息页面。 在管理类追踪器信息右侧，单击操作下的“停用”。 图1 停用追踪器 单击“确定”，停用追踪器。追踪器停用成功后，操作下的“停用”切换为“启用。 如
云审计服务管理控制台支持停用/启用已创建的追踪器。追踪器停用成功后，系统将不再记录新的操作，但是您依旧可以查看已有的操作记录。 本节介绍如何停用/启用追踪器。 使用限制 停用追踪器后，操作事件仍可以正常上报到云审计服务。您可以在事件列表查看已有的7天内的操作记录，但是您无法查看新的操作记录、转储事件至OBS/LTS和接收关键事件通知。
登录管理控制台。 在管理控制台左上角单击图标，选择区域和项目。 单击左上角，选择“管理与监管 > 云审计服务 CTS”，进入云审计服务详情页面。 单击左侧导航树的“追踪器”，进入追踪器信息页面。 单击管理类追踪器对应操作列的“删除”。 图1 删除追踪器 在弹框中单击“确定”，完成删除管理类追踪器。
is_organization_tracker 否 Boolean 是否应用到我的组织。 只针对管理类追踪器。设置为true时，ORG组织下所有成员当前区域的审计日志会转储到该追踪器配置的OBS桶或者LTS日志流，但是事件列表界面不支持查看其它组织成员的审计日志。 management_event_selector
bucket used for trace transfer cannot be a tracked OBS bucket. 被追踪的桶与转储的桶相同 请更换转储的桶 400 CTS.0215 The OBS bucket already exists. 桶已经存在 请修改bucket_name
新增以下接口（V3）： 查询云服务的全量操作列表 查询审计日志的操作用户列表 检查已经配置OBS桶是否可以成功转储 查询事件的资源类型列表 批量添加CTS资源标签 批量删除CTS资源标签 2023-04-20 第二十一次正式发布。 本次变更说明如下： 优化API V3“创建追踪器”的响应示例。 2021-10-15
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
