检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
在LTS日志流中查看历史事件记录 您已经配置了system追踪器将事件转储至LTS日志流，系统立即以新的规则开始记录操作，您现在可以在LTS日志流中查看历史事件文件。 在您没有配置转储前，云审计控制台对用户的操作事件日志保留7天，过期自动删除，在配置转储后也无法查看。 在追踪器页面
不开启开关 在OBS桶中查看历史事件记录 您已经配置了system追踪器将事件转储至OBS桶，系统立即以新的规则开始记录操作，您现在可以在OBS桶中下载并查看历史事件文件。 在您没有配置转储前，云审计控制台对用户的操作事件日志保留7天，过期自动删除，在配置转储后也无法查看。 在追踪器页面
本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录： 在新版事件列表查看审计事件 在旧版事件列表查看审计事件 使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置的CTS/system日志流下面去查看。
为什么查看事件窗口中的有些事件的字段为空？ 可以为空的字段有source_ip、code、request、response和message，这些字段并非云审计服务规定的必备字段： source_ip：当trace type为SystemAction时，表示本次操作由服务内部触发，此时缺失IP字段为正常情况。
如果您需要确定一台ECS的创建用户，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务 已开启获取创建的ECS主机的资源ID 操作方法 登录云审计控制台。 单击左侧导航树的“事件列表”，进入事件列表界面。 时间范围选择某日上午6点到中午12点，然后在搜索框中依次查询： “云服务：ECS” > “事件名称：createServer”
本节介绍如何在云审计服务管理控制台查看或导出最近7天的操作记录： 在新版事件列表查看审计事件 在旧版事件列表查看审计事件 操作视频 使用限制 单账号跟踪的事件可以通过云审计控制台查询。多账号的事件只能在账号自己的事件列表页面去查看，或者到组织追踪器配置的OBS桶中查看，也可以到组织追踪器配置
参见事件结构和事件样例。 图2 查看事件文件内容 文件下载到本地后，通过解压可以得到与压缩包同名的json文件，下载解压后的json文件如图3所示，通过记事本等txt文档编辑软件即可查看到保存的追踪日志信息。 图3 下载解压后的json文件 查询LTS中转储事件 配置追踪器时，若
本节介绍如何在OBS中通过下载事件文件查看已保存至OBS桶的历史操作记录，以及如何在LTS日志流中查看事件记录。 前提条件 已在云审计服务中成功配置追踪器，且打开OBS转储开关或LTS转储开关。配置方法请参见配置追踪器。 查询OBS中转储事件 配置追踪器时，若打开“转储到OBS”开关，操作事件将以事件文件的形式按周期保存至OBS桶。
如何查询IAM用户登录的IP地址 问题描述 如果您想查询IAM用户的登录IP地址和登录时间，以确认当前账号是否存在安全风险，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务。 操作方法 进入云审计服务控制台。 选择时间范围，然后在搜索框中依次查询： “云服务：IAM”
查询追踪器 功能介绍 开通云审计服务成功后，您可以在追踪器信息页面查看系统自动创建的追踪器的详细信息。详细信息主要包括追踪器名称，用于存储操作事件的OBS桶名称和OBS桶中的事件文件前缀。 URI GET /v1.0/{project_id}/tracker 表1 路径参数 参数
查询追踪器 功能介绍 开通云审计服务成功后，您可以在追踪器信息页面查看追踪器的详细信息。详细信息主要包括追踪器名称，用于存储操作事件的OBS桶名称和OBS桶中的事件文件前缀。 调用方法 请参见如何调用API。 URI GET /v3/{project_id}/trackers 表1
程提供更好的保护。 最新版本SDK在各语言对应界面下载，请参见CTS SDK。 您可以在SDK列表中查看CTS支持的SDK，在GitHub仓库查看SDK更新历史、获取安装包以及查看指导文档。 父主题： CTS安全最佳实践
分布式数据库中间件 DDM 分布式数据库中间件支持审计的操作列表 云数据库 RDS 云数据库RDS for MySQL支持审计的操作列表 RDS 云数据库RDS for PostgreSQL支持审计的操作列表 RDS 云数据库RDS for SQL Server支持审计的操作列表 数据复制服务
查询不到事件怎么办？ 问题描述 在CTS控制台查询不到事件。 操作方法 查看是否已选择正确的时间范围。 查看筛选条件是否选择正确。您可以在筛选器组合一个或多个筛选条件： 事件名称：输入事件的名称。 事件ID：输入事件ID。 资源名称：输入资源的名称，当该事件所涉及的云资源无资源名
踪器停用成功后，系统将不再记录新的操作，但是您依旧可以查看已有的操作记录。 本节介绍如何停用/启用追踪器。 使用限制 停用追踪器后，操作事件仍可以正常上报到云审计服务。您可以在事件列表查看已有的7天内的操作记录，但是您无法查看新的操作记录、转储事件至OBS/LTS和接收关键事件通知。
代码功能，降低您使用SDK的难度，推荐使用。 SDK列表 表1提供了CTS服务支持的SDK列表，您可以在GitHub仓库查看SDK更新历史、获取安装包以及查看指导文档。 表1 SDK列表 编程语言 Github地址 参考文档 Java huaweicloud-sdk-java-v3
查询关键操作通知 功能介绍 查询创建的关键操作通知规则。 调用方法 请参见如何调用API。 URI GET /v3/{project_id}/notifications/{notification_type} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是
查询云审计事件 查询云审计事件 查询云审计服务转储事件
单击日志流名称 图4 system-trace日志流页面 单击右上角的“15分钟(相对)”，设置查询的时间范围。 在搜索框中输入trace_name : createServer，单击查询，查询创建云服务器的事件详情。 图5 搜索createServer事件
入门实践 当您完成了查看审计事件、配置追踪器等基本操作后，可以根据自身的业务需求使用云审计服务提供的一系列常用实践。 表1 常用最佳实践 实践 描述 结合函数工作流对登录/登出进行审计分析 该实践介绍如何通过CTS云审计服务，完成对公有云账户的各个云服务资源操作和结果的实时记录。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
