检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
查询不到事件怎么办？ 问题描述 在CTS控制台查询不到事件。 操作方法 查看是否已选择正确的时间范围。 查看筛选条件是否选择正确。您可以在筛选器组合一个或多个筛选条件： 事件名称：输入事件的名称。 事件ID：输入事件ID。 资源名称：输入资源的名称，当该事件所涉及的云资源无资源名
使用IAM用户无法开通CTS怎么办？ 问题描述 使用IAM用户开通CTS失败。 操作步骤 查看IAM用户是否有权限。 是：继续执行2。 否：联系CTS管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限，授权方法请参见给IAM用户授权。 IA
CTS会记录云服务器创建失败的事件吗？ CTS会记录云服务器创建失败的事件。用户进行创建云服务器操作时，这个操作动作和操作结果会上报到CTS中。 工作原理 云审计服务支持审计ECS服务，记录云服务器相关的操作事件，便于日后的查询、审计和回溯。 CTS支持审计的ECS关键操作请参考
新增以下接口（V3）： 查询云服务的全量操作列表 查询审计日志的操作用户列表 检查已经配置OBS桶是否可以成功转储 查询事件的资源类型列表 批量添加CTS资源标签 批量删除CTS资源标签 2023-04-20 第二十一次正式发布。 本次变更说明如下： 优化API V3“创建追踪器”的响应示例。
cts_admin_trust委托被误删除怎么办？ 问题描述 在IAM控制台误删除名称为“cts_admin_trust”的委托，可能会影响审计数据转储至对象存储服务(OBS)。 解决办法 进入CTS控制台重新创建委托，转储至对象存储服务(OBS)功能将会在24小时内恢复。操作方法如下：
跨租户密钥授权OBS桶转储失败怎么办？ 问题描述 租户A通过DEW密钥授权机制，通过用户ID方式将DEW密钥共享给另外一个租户的子用户B。用户B创建了使用租户A DEW密钥加密的OBS桶，用户B在配置CTS系统追踪器时，选择转储到该加密OBS桶后，会配置失败。 操作步骤 登录用户B的管理控制台。 单击左上角服务列表，选择“管理与监管
本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录： 在新版事件列表查看审计事件 在旧版事件列表查看审计事件 操作视频 使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。
OBS”功能后，您就能将审计日志周期性的转储至对象存储服务下的OBS桶。 在OBS桶中查看历史事件记录 在对象存储服务的OBS桶中，您可以下载事件文件查看已保存至OBS桶的历史操作记录。 使用限制 全局级服务需要在中心region（北京四）的云审计控制台配置追踪器，才能使用审计事
Service，简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 记录审计日志：支持记录用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对7
TS”功能后，您就能将审计日志周期性的转储至云日志服务下的LTS日志流。 在LTS日志流中查看历史事件记录 在云日志服务的LTS日志流中，您可以查看已保存至LTS日志流中的历史操作记录。 使用限制 全局级服务需要在中心region（北京四）的云审计控制台配置追踪器，才能使用审计事
关于云审计服务事件结构的关键字段详解，请参见事件结构和事件样例。 图2 查看事件文件内容 文件下载到本地后，通过解压可以得到与压缩包同名的json文件，下载解压后的json文件如图3所示，通过记事本等txt文档编辑软件即可查看到保存的追踪日志信息。 图3 下载解压后的json文件 查询LTS中转储事件
场景事件如下： 第一条事件：记录用户发起的请求； 第二条事件：记录用户请求的操作结果，通常与第一条时间记录有数分钟的延迟，记录用户请求的实际响应结果。 两条事件需要结合在一起，才能反映用户本次操作的真实结果。
单击“导出”按钮，云审计服务会将查询结果以CSV格式的表格文件导出，该CSV文件包含了本次查询结果的所有事件，且最多导出5000条信息。 单击按钮，可以获取到事件操作记录的最新信息。 在需要查看的事件左侧，单击展开该记录的详细信息。 在需要查看的记录右侧，单击“查看事件”，会弹出一个窗口显示该操作事件结构的详细信息。
本节介绍如何在OBS中通过下载事件文件查看已保存至OBS桶的历史操作记录，以及如何在LTS日志流中查看事件记录。 前提条件 已在云审计服务中成功配置追踪器，且打开OBS转储开关或LTS转储开关。配置方法请参见配置追踪器。 查询OBS中转储事件 配置追踪器时，若打开“转储到OBS”开关，操作事件将以事件文件的形式按周期保存至OBS桶。
根据云审计服务所记录的操作记录，可以查看任意云服务资源在其整个生命周期内的操作记录，并检视具体操作的细节。 本章节介绍，通过云审计服务如何查看某个弹性云服务器的所有的操作记录。 前提条件 已开通云审计服务且追踪器状态正常。开通云审计服务请参考章节入门指引。 在新版事件列表查看审计事件 以CTS管理员权限登录管理控制台。
为什么查看事件窗口中的有些事件的字段为空？ 可以为空的字段有source_ip、code、request、response和message，这些字段并非云审计服务规定的必备字段： source_ip：当trace type为SystemAction时，表示本次操作由服务内部触发，此时缺失IP字段为正常情况。
如何查询IAM用户登录的IP地址 问题描述 如果您想查询IAM用户的登录IP地址和登录时间，以确认当前账号是否存在安全风险，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务。 操作方法 进入云审计服务控制台。 选择时间范围，然后在搜索框中依次查询： “云服务：IAM”
标示查询事件列表中限定返回的事件条数。不传时默认10条，最大值200条。 next 否 String 取值为响应中中marker的值，用于标识查询事件的起始时间（自此条事件的记录时间起，向更早时间查询）。 可以与“from”、“to”结合使用。 最终的查询条件取两组时间条件的交集。 resource_id
标示查询事件列表中限定返回的事件条数。不传时默认10条，最大值200条。 next 否 String 取值为响应中中marker的值，用于标识查询事件的起始时间（自此条事件的记录时间起，向更早时间查询）。 可以与“from”、“to”结合使用。 最终的查询条件取两组时间条件的交集。 resource_id
删除追踪器 功能介绍 云审计服务支持删除已创建的追踪器。删除追踪器对已有的操作记录没有影响，当您重新开通云审计服务后，依旧可以查看已有的操作记录。 URI DELETE /v1.0/{project_id}/tracker 表1 路径参数 参数 是否必选 参数类型 描述 project_id
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
