检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
计中保存7天。在您没有配置转储前，云审计控制台对用户的操作事件日志保留7天，过期自动删除，在配置转储后也无法查看。 如果您因为审计要求需要获取7天以上的操作事件，则需要在云审计控制台配置事件转储至OBS或LTS，云审计服务会定期将操作记录同步保存到OBS桶或LTS日志流中进行长期保存。
案例概述 场景介绍 通过CTS云审计服务，完成对公有云账户对各个云服务资源操作动作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。 SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理。处理流程如图1所示。
CTS最佳实践汇总 本文汇总了基于云审计服务（CTS，Cloud Trace Service）常见应用场景的操作实践，为每个实践提供详细的方案描述和操作指导，帮助用户轻松构建基于CTS的审计事件业务。 表1 CTS最佳实践一览表 最佳实践 说明 结合函数工作流对登录/登出进行审计分析
成长地图 | 华为云 云审计服务 云审计服务（Cloud Trace Service），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 产品介绍 云图说 立即使用 成长地图
功能总览 功能总览 全部 云审计服务 追踪器 事件 事件文件 事件文件完整性校验 云审计服务 云审计服务（Cloud Trace Service，简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。
其引用的事件文件。 获取摘要文件。 从OBS桶中获取需要验证的时间范围的最新摘要文件。 检查该摘要文件在OBS桶中的存储位置是否与摘要文件中记录的OBS桶存储位置匹配。 从摘要文件对象的 meta-signature元数据属性中获取摘要文件的数字签名。 获取用于校验数字签名的RSA公钥。
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
0/{project_id}/tracker 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，获取方法请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 tracker_name 是 String 标示追踪器名称。 在不
0/{project_id}/tracker 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，获取方法请参见获取项目ID。 请求参数 表2 请求Body参数 参数 是否必选 参数类型 描述 bucket_name 是 String 标识OBS桶
附录 错误码 获取账号ID和项目ID
cts_admin_trust”，获取到委托ID。 登录租户A的管理控制台。 单击左上角服务列表，选择“安全与合规 > 数据加密服务 DEW”。 在密钥管理页面，单击要授权的密钥名称。 在授权页签单击“创建授权”，在用户ID框内填写步骤3中获取到的cts_admin_trust委托ID。
0/{project_id}/tracker 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，获取方法请参见获取项目ID。 表2 Query参数 参数 是否必选 参数类型 描述 tracker_name 是 String 标识追踪器名称。 在不
String 账号ID，获取方式请参见获取账号ID。 name String 账号名称。 domain BaseUser object 标识触发事件的用户domain信息。 表6 BaseUser 参数 参数类型 描述 id String 账号ID，获取方式请参见获取账号ID。 name
String 账号ID，获取方式请参见获取账号ID。 name String 账号名称。 domain BaseUser object 标识触发事件的用户domain信息。 表6 BaseUser 参数 参数类型 描述 id String 账号ID，获取方式请参见获取账号ID。 name
/{tracker_name} 表1 路径参数 参数 是否必选 参数类型 描述 project_id 是 String 项目ID，获取方法请参见获取项目ID。 tracker_name 是 String 标识追踪器名称，当前版本单租户仅支持一个追踪器，名称默认为“system”。
environment variables CLOUD_SDK_AK and CLOUD_SDK_SK in the local environment ak = os.environ["CLOUD_SDK_AK"] sk = os.environ["CLOUD_SDK_SK"]
结合函数工作流对登录/登出进行审计分析 该实践介绍如何通过CTS云审计服务，完成对公有云账户的各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息，经由自定义函数对资源操作的信息进行分析和处理，产生告警日志。再由SMN消息通知服务通过短信和邮件推送告警信息，通知业务人员进行处理。
“资源ID：{虚拟机ID}”，或直接搜索{虚拟机ID}，查看过滤结果。 默认查询过去1小时以内的操作记录。通过设置时间范围，最多可以查看最近7天的操作记录。 若要获取最近7天以前的操作记录，则需要到OBS桶或LTS日志组中查询。查询历史事件的详细操作请参照查询云审计服务转储事件。 从第5步和第6步的结果
在搜索框中查询创建云服务器操作：“云服务：ECS” > “资源类型：ecs” > “事件名称：createServer”，查看过滤结果。 若要获取最近7天以前的操作记录，则需要到OBS桶中查询转储的事件，在操作记录中，以“createServer”作为关键字检索，找到对应记录。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
