检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
旨在为提高整体安全能力提供可操作的规范性指导。 通过云日志服务LTS存储和查询审计事件 本章节以“创建云服务器”（操作名称：createServer）为例，为您介绍如何通过云日志服务（LTS）存储和查询审计事件。 使用云审计服务监控“创建IAM用户”操作 本章节为您介绍如何通过
开启云审计服务配置OBS桶，将审计事件归档OBS永久存储 由于CTS只支持查询7天的审计事件，为了您事后审计、查询、分析等要求，启用CTS追踪器请配置OBS服务桶（建议您配置独立OBS桶并配置KMS加密存储专门用于归档审计事件）。当云上资源发生变化时，CTS服务将审计事件归档至O
云审计服务（CloudTrace Service，以下简称CTS）为您提供云服务资源的操作记录，供您查询、审计和回溯使用。 通过云审计服务，您可以记录云审计自身服务相关的操作事件，便于日后的查询、审计和回溯。 表1 云审计服务支持的自身服务操作列表 操作名称 资源类型 事件名称 创建追踪器
提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 您开通云审计服务并创建和配置追踪器后，CTS可记录CTS的管理事件审计。详情请参考开通云审计。 云审计服务支持多维度资源查询，便于云上用户事后精准审查定位。 图1 事件列表
名单内，可收到SMN发送的通知消息邮件，如图1所示。 图1 告警消息邮件通知 邮件信息中包含非法请求ip地址和用户执行的动作（login/logout）。 可以通过函数指标查看函数的调用情况，如图2所示。 图2 函数指标 父主题： 结合函数工作流对登录/登出进行审计分析
支撑。 问题定位分析 云审计服务可通过配置查询条件，精确查找问题发生时的操作及其详情，降低问题发现、定位和解决的时间、人力成本。 当现网某个特定资源或动作出现问题，可根据云审计服务收集的日志记录，通过查询对应时间、对应资源的操作记录，查看当时的请求动作和响应，支撑问题定位分析。
审计操作参考文档 计算 弹性云服务器 弹性云服务器支持审计的操作列表 镜像服务 镜像服务支持审计的操作列表 裸金属服务器 裸金属服务器支持审计的操作列表 弹性伸缩 弹性伸缩支持审计的操作列表 函数工作流 函数工作流支持审计的操作列表 云手机 云手机支持审计的操作列表 存储 云服务器备份 云服务器备份支持审计的操作列表
示例1：创建管理类追踪器 场景描述 本章以创建一个配置OBS转储桶的管理类追踪器为例。 涉及其它云服务接口 创建管理类追踪器时，需要查询用户的桶列表： 获取桶列表：确定将要配置转储的桶名称。 创建管理类追踪器 接口相关信息 URI格式：POST /v3/{project_id}/tracker
组织”开关，单击“下一步”。 图2 应用到我的组织 在配置转储页面，打开转储到OBS和LTS开关。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或配置转储到云日志服务(LTS)。具体参数说明参见表1和表2。其
时间范围选择某日上午6点到中午12点，然后在搜索框中依次查询： “云服务：ECS” > “事件名称：createServer” > “资源ID：{ECS主机的资源ID}”。 在过滤结果中，单击事件名称，查看事件详细信息。 user列表示创建该台ECS的用户详情，{"name":"账号名","id":"用户的账号ID"
目前支持“读操作”和“写操作”，且至少选择其中一种操作。 配置转储。填写相关参数，单击“下一步”。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或配置转储到云日志服务(LTS)。具体参数说明参见表2和表3。 表2
能。例如查询API版本号、事件列表、创建追踪器等。 云审计服务提供的具体API如表1所示。 表1 接口说明 子类型 说明 API版本号 CTS API的版本查询接口，支持查询所有API或者指定API的版本号。 追踪器 CTS API的追踪器管理接口，用来创建、修改、查询以及删除追踪器。
追踪器管理 创建追踪器 查询追踪器 删除追踪器 修改追踪器 父主题： 历史API
界面取消委托管理员。 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system-trace日志流下面去查看。 组织追踪器功能依赖组织服务某些接口，涉及企业项目权限管
事件列表记录了租户对云服务资源新建、修改、删除等操作的详细信息，包括管理类事件和数据类事件。事件列表最多显示近7天的事件，默认情况下显示最近1小时的事件，并且不会记录查询操作的相关信息。 管理类事件指云账户中对云服务资源新建、修改、删除等操作的详细信息。 数据类事件指针对OBS桶中的数据的操作日志，例如上传、下载等。
配置数据类追踪器时，数据事件来源的“OBS桶名称”默认为当前OBS桶名称，不可以修改。在配置转储页面可以修改该追踪器的转储信息。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或配置转储到云日志服务(LTS)。具体参数说明参见表1和表2。 表1
Explorer的代码示例页签，可生成自动对应的SDK代码示例。 状态码 状态码 描述 200 请求正常。 400 服务器未能处理请求。 401 请求鉴权校验失败，访问被拒绝。 403 请求权限校验失败，访问被禁止。 404 服务器无法找到被请求的资源。 500 服务内部异常，请求未完成。 503 被请求的服务无
ReadOnlyAccess CTS Administrator 查询事件列表 √ √ √ 查询配额 √ √ √ 创建追踪器 √ × √ 修改追踪器 √ × √ 停用追踪器 √ × √ 启用追踪器 √ × √ 查询追踪器 √ √ √ 删除追踪器 √ × √ 创建关键操作通知 √ ×
追踪器管理 创建追踪器 修改追踪器 查询追踪器 删除追踪器 父主题： API V3（推荐使用）
数据加密服务（DEW）的相关审计操作请参考数据加密服务相关的操作事件。 在配置转储页面，您可以设置追踪器的转储信息。用户通过云审计控制台只能查询最近7天的操作记录，如果需要查询超过7天的操作记录，您必须配置转储到对象存储服务(OBS)或配置转储到云日志服务(LTS)。具体参数说明参见表1和表2。 表1
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
