检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
追踪器管理 创建追踪器 修改追踪器 查询追踪器 删除追踪器 父主题： API V3（推荐使用）
标签管理 批量添加CTS资源标签 批量删除CTS资源标签 父主题： API V3（推荐使用）
云审计服务事件参考 事件结构 事件样例 IAM身份与操作用户对应关系
组织追踪器 概述 启用云审计可信服务 配置组织追踪器
支持审计的服务及操作列表 表1 支持审计的服务及操作列表 分类 云服务 审计操作参考文档 计算 弹性云服务器 弹性云服务器支持审计的操作列表 镜像服务 镜像服务支持审计的操作列表 裸金属服务器 裸金属服务器支持审计的操作列表 弹性伸缩 弹性伸缩支持审计的操作列表 函数工作流 函数工作流支持审计的操作列表
如何查询IAM用户登录的IP地址 问题描述 如果您想查询IAM用户的登录IP地址和登录时间，以确认当前账号是否存在安全风险，可以通过CTS记录的事件进行查看。 前提条件 已开启云审计服务。 操作方法 进入云审计服务控制台。 选择时间范围，然后在搜索框中依次查询： “云服务：IAM”
区域（Region） 从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。
权限管理 如果您需要对华为云上购买的CTS资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（Identity and Access Management，简称IAM）进行精细的权限管理。
为什么有些trace_type为systemAction的事件，存在user和source_ip为空的情况？ trace_type字段的业务意义为标示请求来源，该字段可以是控制台（ConsoleAction）、API网关（ApiCall）及系统内调用（SystemAction）。
为什么查看事件窗口中的有些事件的字段为空？ 可以为空的字段有source_ip、code、request、response和message，这些字段并非云审计服务规定的必备字段： source_ip：当trace type为SystemAction时，表示本次操作由服务内部触发，此时缺失
处理结果 若用户触发账号的登录/登出操作，订阅服务类型日志被触发，日志会直接调用用户函数，通过函数代码对当前登录/出的账号进行IP过滤，若不在白名单内，可收到SMN发送的通知消息邮件，如图1所示。 图1 告警消息邮件通知 邮件信息中包含非法请求ip地址和用户执行的动作（login/
构建程序 本案例提供了实现告警日志功能的程序包，用户可以下载（index.zip）、学习使用。 创建功能函数 创建实现日志提取功能的函数，将示例代码包上传，如图1所示。创建过程请参考创建函数。 图1 创建函数 函数实现的功能是：将收到的日志事件数据进行分析，过滤白名单功能，对非法IP
使用场景 云审计服务能够为您提供云服务资源的操作记录，记录的信息包括发起操作的用户身份、IP地址、具体的操作内容的信息，以及操作返回的响应信息。根据这些操作记录，可以很方便地实现审计类功能，以帮助用户更好地规划和利用已有资源、甄别违规或高危操作。 云审计服务主要有以下应用场景： 合规审计
案例概述 场景介绍 通过CTS云审计服务，完成对公有云账户对各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。 SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理
IAM身份与操作用户对应关系 华为云统一身份认证服务（Identity and Access Management，简称IAM）提供不同类型的身份，IAM提供的身份包括：IAM用户、IAM委托、云服务委托、IAM身份中心、联邦用户。 不同的操作用户身份在进行操作时，上报到CTS审计日志中的
事件样例 以下提供云审计服务所收集事件的两个页面样例，并对其中常用的观察点进行了描述，以方便用户更直观的理解事件信息。其他服务所产生的事件可参照以下样例理解。 详细的字段解释可参考事件结构章节。 创建云服务器实例 云硬盘实例 创建云服务器实例 { "trace_id": "
跨租户转储授权 操作场景 如果用户想要对管理类事件进行统一管理，可以设置管理类追踪器将多个账号记录的事件统一转储到一个OBS桶。本节介绍如何配置跨租户转储。 授权跨租户转储 租户B登录管理控制台。 租户A为需要配置跨租户转储的账号，租户B为OBS桶所在的账号。 OBS不支持跨region
示例3：查询管理类事件 场景描述 本章以查询租户最近一小时内所有管理类事件为例。 涉及其它云服务接口 无。 查询管理类事件列表 接口相关信息 URI格式：GET /v3/{project_id}/traces 请求示例 GET https://{cts_endpoint}/v3/{
事件结构 云审计服务用于标示每个操作事件关键字段的详细信息，具体如表1所示。 为方便用户，部分字段在管理控制台呈现时进行了格式优化。 本章节将基于CTS管理控制台进行介绍和描述。 表1 事件的关键字段 字段名称 是否必选 类型 描述 time 是 Long 标识事件产生的时间戳。以当地标准时间进行展示
查询事件列表 功能介绍 通过事件列表查询接口，可以查出系统记录的7天内资源操作记录。 调用方法 请参见如何调用API。 URI GET /v3/{project_id}/traces 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
