检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
事件级别中的三个字段分别代表什么? 云审计服务根据操作记录中的trace_rating来定义事件级别,不同的字段代表的意义如下: normal:代表本次操作成功 warning:代表本次操作失败 incident:代表本次操作引起了比失败更严重的后果,比如会造成节点故障或用户业务故障等情况。
常用操作与系统权限的关系 操作 CTS FullAccess CTS ReadOnlyAccess CTS Administrator 查询事件列表 √ √ √ 查询配额 √ √ √ 创建追踪器 √ × √ 修改追踪器 √ × √ 停用追踪器 √ × √ 启用追踪器 √ × √ 查询追踪器
通过云日志服务LTS存储和查询审计事件 云审计服务(CTS)直接对接华为云上的其他服务,实时记录用户对云服务资源的操作动作和结果,还支持将记录内容以事件文件形式保存至OBS桶或LTS日志流中。本文以“创建云服务器”(操作名称:createServer)为例,为您介绍如何通过云日志服务(LTS)存储和查询审计事件。
示例3:查询管理类事件 场景描述 本章以查询租户最近一小时内所有管理类事件为例。 涉及其它云服务接口 无。 查询管理类事件列表 接口相关信息 URI格式:GET /v3/{project_id}/traces 请求示例 GET https://{cts_endpoint}/v3/{project_id}
填写通知的名称,用于标识和区分关键操作通知。 对创建IAM用户操作告警 操作类型 根据具体使用场景,选择“完整”和“自定义操作”触发场景。 自定义 操作列表 当操作类型选择“自定义”时,可以自定义选择触发通知的操作范围。 服务类型选择:IAM 资源类型选择:user 操作名称选择:createUser
事件样例 以下提供云审计服务所收集事件的两个页面样例,并对其中常用的观察点进行了描述,以方便用户更直观的理解事件信息。其他服务所产生的事件可参照以下样例理解。 详细的字段解释可参考事件结构章节。 创建云服务器实例 云硬盘实例 创建云服务器实例 { "trace_id":
添加事件源 选择准备中开通的CTS云审计服务,创建CTS触发器,CTS触发器配置如图1所示。 具体操作请参见使用CTS触发器。 图1 创建CTS触发器 CTS云审计服务监听IAM服务中user资源类型,监听login、logout操作。 父主题: 结合函数工作流对登录/登出进行审计分析
准备 开通CTS云审计服务 在云审计服务中开通配置追踪器,配置追踪器完成后,系统立即以新的规则开始记录操作。 登录管理控制台。 在管理控制台左上角单击图标,选择区域和项目。 单击左上角,选择“管理与监管 > 云审计服务 CTS”,进入云审计服务详情页面。 单击左侧导航树的“追踪器”,进入追踪器信息页面。
云审计功能申请打开之后是否可以自助关闭? 云审计服务本身免费,包括开通追踪器、事件跟踪以及7天内事件的存储和检索,只有配置转储等增值服务才会收费,本身没有必要关闭。 如果用户检查需要关闭云审计功能,有以下两种方法: 可以在追踪器中将已有追踪器删除或停用,删除或停用后,事件仍可以正常上报。
CTS如何长期保存事件文件——转储至OBS桶 云审计服务仅保存近7天的事件,可以对追踪器增加OBS转储的相关配置,将事件同步、长期保存至OBS桶。具体操作请参考配置追踪器。
AM用户授予CTS FullAccess权限。授权方法请参见给IAM用户授权。 配置事件转储至OBS 进入云审计服务页面。 在“区域”下拉列表中,选择靠近您应用程序的区域,可降低网络延时、提高访问速度。 在本案例中,选择“华北-北京四”区域。 在左侧导航栏,单击“追踪器”,进入追踪器页面。
约束与限制 云审计服务中的追踪器数量和关键操作通知有限定的配额,均不支持修改,云审计服务的具体限制如下。 表1 CTS约束与限制 限制项 使用限制 一个华为云账号允许创建的追踪器数目 管理追踪器:1个 数据追踪器:100个 一个华为云账号允许配置的关键操作通知数目 100个 一个追踪器允许配置的OBS桶数目
资源ID。 请求参数 表2 请求Body参数 参数 是否必选 参数类型 描述 tags 否 Array of Tags objects 标签列表。 表3 Tags 参数 是否必选 参数类型 描述 key 否 String 键。最大长度128个unicode字符。标签的键可以包含任意语种字母、数字、空格和_
资源ID。 请求参数 表2 请求Body参数 参数 是否必选 参数类型 描述 tags 否 Array of Tags objects 标签列表。 表3 Tags 参数 是否必选 参数类型 描述 key 否 String 键。最大长度128个unicode字符。标签的键可以包含任意语种字母、数字、空格和_
<idp_id>:<user-session-name> 在云审计事件列表的“操作用户”一栏,可以查看对应事件的操作用户(user.name)信息。 本章节将介绍说明不同的操作用户身份在操作资源时,对应的事件列表中“操作用户”信息的示例,以方便用户更直观的理解操作用户信息。 IAM用户身份
开启云审计服务配置OBS桶,将审计事件归档OBS永久存储 由于CTS只支持查询7天的审计事件,为了您事后审计、查询、分析等要求,启用CTS追踪器请配置OBS服务桶(建议您配置独立OBS桶并配置KMS加密存储专门用于归档审计事件)。当云上资源发生变化时,CTS服务将审计事件归档至O
功能总览 功能总览 全部 云审计服务 追踪器 事件 事件文件 事件文件完整性校验 云审计服务 云审计服务(Cloud Trace Service,简称CTS),是华为云安全解决方案中专业的日志审计服务,提供对各种云资源操作记录的收集、存储和查询功能,可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。
构造请求 本节介绍REST API请求的组成,并以调用IAM服务的管理员创建IAM用户接口说明如何调用API。 您还可以通过这个视频教程了解如何构造请求调用API:https://bbs.huaweicloud.com/videos/102987。 请求URI 请求URI由如下部分组成。
参数 是否必选 参数类型 描述 buckets 否 Array of CheckBucketRequest objects 请求检查的OBS桶列表。 表3 CheckBucketRequest 参数 是否必选 参数类型 描述 bucket_name 是 String 标识OBS桶名称
快速入门 本节通过调用CTS创建追踪器接口来创建一个追踪器。 通过IAM服务获取到的Token有效期为24小时,需要使用同一个Token鉴权时,可以先将Token缓存,避免频繁调用。 涉及API 当您使用Token认证方式完成认证鉴权时,需要获取用户Token并在调用接口时增加“