检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
查询不到事件怎么办？ 问题描述 在CTS控制台查询不到事件。 操作方法 查看是否已选择正确的时间范围。 查看筛选条件是否选择正确。您可以在筛选器组合一个或多个筛选条件： 事件名称：输入事件的名称。 事件ID：输入事件ID。 资源名称：输入资源的名称，当该事件所涉及的云资源无资源名
使用IAM用户无法开通CTS怎么办？ 问题描述 使用IAM用户开通CTS失败。 操作步骤 查看IAM用户是否有权限。 是：继续执行2。 否：联系CTS管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限，授权方法请参见给IAM用户授权。 IA
跨租户密钥授权OBS桶转储失败怎么办？ 问题描述 租户A通过DEW密钥授权机制，通过用户ID方式将DEW密钥共享给另外一个租户的子用户B。用户B创建了使用租户A DEW密钥加密的OBS桶，用户B在配置CTS系统追踪器时，选择转储到该加密OBS桶后，会配置失败。 操作步骤 登录用户B的管理控制台。
cts_admin_trust委托被误删除怎么办？ 问题描述 在IAM控制台误删除名称为“cts_admin_trust”的委托，可能会影响审计数据转储至对象存储服务(OBS)。 解决办法 进入CTS控制台重新创建委托，转储至对象存储服务(OBS)功能将会在24小时内恢复。操作方法如下：
在LTS日志流中查看历史事件记录 您已经配置了system追踪器将事件转储至LTS日志流，系统立即以新的规则开始记录操作，您现在可以在LTS日志流中查看历史事件文件。 在您没有配置转储前，云审计控制台对用户的操作事件日志保留7天，过期自动删除，在配置转储后也无法查看。 在追踪器页面
不开启开关 在OBS桶中查看历史事件记录 您已经配置了system追踪器将事件转储至OBS桶，系统立即以新的规则开始记录操作，您现在可以在OBS桶中下载并查看历史事件文件。 在您没有配置转储前，云审计控制台对用户的操作事件日志保留7天，过期自动删除，在配置转储后也无法查看。 在追踪器页面
本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录： 在新版事件列表查看审计事件 在旧版事件列表查看审计事件 使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。
为什么查看事件窗口中的有些事件的字段为空？ 可以为空的字段有source_ip、code、request、response和message，这些字段并非云审计服务规定的必备字段： source_ip：当trace type为SystemAction时，表示本次操作由服务内部触发，此时缺失IP字段为正常情况。
v3.0/OS-USER/users”。 query-string：查询参数，是可选部分，并不是每个API都有查询参数。查询参数前面需要带一个“？”，形式为“参数名=参数取值”，例如“limit=10”，表示查询不超过10条数据。 例如您需要获取IAM在“华北-北京四”区域的To
本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录： 在新版事件列表查看审计事件 在旧版事件列表查看审计事件 操作视频 使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置
参见事件结构和事件样例。 图2 查看事件文件内容 文件下载到本地后，通过解压可以得到与压缩包同名的json文件，下载解压后的json文件如图3所示，通过记事本等txt文档编辑软件即可查看到保存的追踪日志信息。 图3 下载解压后的json文件 查询LTS中转储事件 配置追踪器时，若
示例3：查询管理类事件 场景描述 本章以查询租户最近一小时内所有管理类事件为例。 涉及其它云服务接口 无。 查询管理类事件列表 接口相关信息 URI格式：GET /v3/{project_id}/traces 请求示例 GET https://{cts_endpoint}/v3/{project_id}
本节介绍如何在OBS中通过下载事件文件查看已保存至OBS桶的历史操作记录，以及如何在LTS日志流中查看事件记录。 前提条件 已在云审计服务中成功配置追踪器，且打开OBS转储开关或LTS转储开关。配置方法请参见配置追踪器。 查询OBS中转储事件 配置追踪器时，若打开“转储到OBS”开关，操作事件将以事件文件的形式按周期保存至OBS桶。
如何查询IAM用户登录的IP地址 问题描述 如果您想查询IAM用户的登录IP地址和登录时间，以确认当前账号是否存在安全风险，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务。 操作方法 进入云审计服务控制台。 选择时间范围，然后在搜索框中依次查询： “云服务：IAM”
标识特定用户名称，用以查询该用户下的所有事件。 from 否 Long 标识查询事件列表的起始时间戳（timestamp，为标准UTC时间，毫秒级，13位数字，不包括传入时间）默认为上一小时的时间戳。查询条件from与to配套使用。 limit 否 Integer 标示查询事件列表中限定
标识特定用户名称，用以查询该用户下的所有事件。 from 否 Long 标识查询事件列表的起始时间戳（timestamp，为标准UTC时间，毫秒级，13位数字，不包括传入时间）默认为上一小时的时间戳。查询条件from与to配套使用。 limit 否 Integer 标示查询事件列表中限定
查询追踪器 功能介绍 开通云审计服务成功后，您可以在追踪器信息页面查看系统自动创建的追踪器的详细信息。详细信息主要包括追踪器名称，用于存储操作事件的OBS桶名称和OBS桶中的事件文件前缀。 URI GET /v1.0/{project_id}/tracker 表1 路径参数 参数
查询追踪器 功能介绍 开通云审计服务成功后，您可以在追踪器信息页面查看追踪器的详细信息。详细信息主要包括追踪器名称，用于存储操作事件的OBS桶名称和OBS桶中的事件文件前缀。 调用方法 请参见如何调用API。 URI GET /v3/{project_id}/trackers 表1
记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪、问题回溯和问题定位等常见应用场景。 图1 云审计服务介绍 云审计服务的功能主要包括： 记录审计日志：支持记录用户通过管理控制台或API接口发起的操作，以及各服务内部自触发的操作。 审计日志查询：支持在管理控制台对
程提供更好的保护。 最新版本SDK在各语言对应界面下载，请参见CTS SDK。 您可以在SDK列表中查看CTS支持的SDK，在GitHub仓库查看SDK更新历史、获取安装包以及查看指导文档。 父主题： CTS安全最佳实践
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
