检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
修改追踪器 功能介绍 云审计服务支持修改已创建追踪器的配置项，包括OBS桶转储、关键事件通知、事件转储加密、通过LTS对管理类事件进行检索、事件文件完整性校验以及追踪器启停状态等相关参数，修改追踪器对已有的操作记录没有影响。修改追踪器完成后，系统立即以新的规则开始记录操作。 调用方法
修改追踪器 功能介绍 云审计服务支持修改已创建追踪器的配置项，包括OBS桶转储、关键事件通知、事件转储加密、通过LTS对管理类事件进行检索、事件文件完整性校验以及追踪器启停状态等相关参数，修改追踪器对已有的操作记录没有影响。修改追踪器完成后，系统立即以新的规则开始记录操作。 URI
是 String 标识云服务类型。必须为已对接CTS的云服务的英文缩写，且服务类型一般为大写字母。 已对接的云服务列表参见《云审计服务用户指南》“支持审计的服务及详细操作列表”章节，单击对应云服务的文档链接，可以查看到该云服务的英文缩写。 resource_type 是 String
认证证书 合规证书 华为云服务及平台通过了多项国内外权威机构（ISO/SOC/PCI等）的安全合规认证，用户可自行申请下载合规资质证书。 图1 合规证书下载 资源中心 华为云还提供以下资源来帮助用户满足合规性要求，具体请查看资源中心。 图2 资源中心 销售许可证&软件著作权证书
不同类型、不同级别的合规认证标准对审计日志的保存时间有不同的要求，当您配置管理类事件追踪器时，保存周期默认“沿用OBS配置”，不支持修改。 沿用OBS配置 事件文件名前缀 事件文件名前缀用于标识被转储的事件文件，该字段支持用户自定义，会自动添加在转储事件文件的文件名前端，方便用户快速进行筛选。事件文件名前缀只能由
踪器配置的转储事件文件将永久保存，数据类追踪器配置的转储事件按照转储的时间保存。 事件文件加密存储：在开通事件转储的基础上，需要使用数据加密服务（DEW）对存储在OBS桶中的事件文件进行加密。 日志转储：CTS提供将审计日志转储至LTS的功能，但依赖云日志服务（LTS）的日志存储功能收费。
可以接收重复的事件吗？ 云审计服务支持向客户的OBS存储桶交付至少一次订阅事件。在某些情况下，云审计服务可能会多次发送同一事件。因此，客户可能会看到重复的事件。
CTS如何长期保存事件文件——转储至OBS桶 云审计服务仅保存近7天的事件，可以对追踪器增加OBS转储的相关配置，将事件同步、长期保存至OBS桶。具体操作请参考配置追踪器。
单击左侧导航树的“追踪器”，进入追踪器信息页面。 在数据类追踪器信息右侧，单击操作下的“配置”。 图1 追踪器配置 配置数据类追踪器时，数据事件来源的“OBS桶名称”默认为当前OBS桶名称，不可以修改。在配置转储页面可以修改该追踪器的转储信息。用户通过云审计控制台只能查询最近7天的操作记
件列表最多显示近7天的事件，默认情况下显示最近1小时的事件，并且不会记录查询操作的相关信息。 管理类事件指云账户中对云服务资源新建、修改、删除等操作的详细信息。 数据类事件指针对OBS桶中的数据的操作日志，例如上传、下载等。 事件文件 事件文件是系统自动生成的事件集，云审计服务将
当“选择OBS”选择“选择已有OBS桶”时，可以选择已存在的OBS桶。 保存周期 管理类事件追踪器的保存周期默认沿用在OBS的配置，不支持修改。 事件文件名前缀 用于标识被转储的事件文件，该字段支持用户自定义，会自动添加在转储事件文件的文件名前端，方便用户快速进行筛选。事件文件名前缀只能由英文字母、数
当“选择OBS”选择“选择已有OBS桶”时，可以选择已存在的OBS桶。 保存周期 转储至OBS桶中日志的保存周期。该配置会修改被选择桶的桶策略，影响范围为桶内的所有文件。不同类型、不同级别的合规认证标准对审计日志的保存时间有不同的要求，建议设置保存周期不低于180天。 数据类事
当“选择OBS”选择“选择已有OBS桶”时，可以选择已存在的OBS桶。 保存周期 管理类事件追踪器的保存周期默认沿用在OBS的配置，不支持修改。 事件文件名前缀 用于标识被转储的事件文件，该字段支持用户自定义，会自动添加在转储事件文件的文件名前端，方便用户快速进行筛选。事件文件名前缀只能由英文字母、数
约束与限制 云审计服务中的追踪器数量和关键操作通知有限定的配额，均不支持修改，云审计服务的具体限制如下。 表1 CTS约束与限制 限制项 使用限制 一个华为云账号允许创建的追踪器数目 管理追踪器：1个 数据追踪器：100个 一个华为云账号允许配置的关键操作通知数目 100个 一个追踪器允许配置的OBS桶数目
如何通过云审计服务确认ECS的创建用户 问题描述 如果您需要确定一台ECS的创建用户，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务 已开启获取创建的ECS主机的资源ID 操作方法 登录云审计控制台。 单击左侧导航树的“事件列表”，进入事件列表界面。 时间范围选择
使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。 用户通过云审计控制台只能查询最近7天的操作记录。如果需要查询超过7天的操作记录，您必
开通云审计日志后，系统会自动创建一个名为system的管理事件追踪器，并将当前租户的所有操作记录在该追踪器中。在追踪器中配置CTS转储到LTS，配置完成后会在LTS自动创建日志组日志流，日志流默认存储时间为30天，可以在LTS修改日志流存储时间为180天，即可实现CTS审计日志存储180天。
云审计服务是否支持事件文件的完整性校验？ 支持。原则上进行完整性校验时必须包含以下字段：time、service_type、resource_type、trace_name、trace_rating、trace_type，其他字段由各服务自己定义。
户添加操作权限的准备工作。 配置事件转储至LTS 在管理类事件追踪器配置页面，开启“转储到LTS”功能后，您就能将审计日志周期性的转储至云日志服务下的LTS日志流。 在LTS日志流中查看历史事件记录 在云日志服务的LTS日志流中，您可以查看已保存至LTS日志流中的历史操作记录。 使用限制
用户可以对事件文件执行以下两种操作： 事件文件的创建和保存： 当用户在弹性云服务器、云硬盘服务、镜像服务等其它与云审计服务完成对接的服务中，进行了增加、删除、修改类型的操作时，被操作的服务会自动记录操作动作及操作结果，并按照指定的格式发送事件到云审计服务完成事件归档。 云审计服务管理控制台会保存最近7天的操作记录，
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
