检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
添加事件源 选择准备中开通的CTS云审计服务,创建CTS触发器,CTS触发器配置如图1所示。 图1 创建CTS触发器 CTS云审计服务监听IAM服务中user资源类型,监听login、logout操作。 父主题: 结合函数工作流对登录/登出进行审计分析
详细介绍 关键操作通知 云审计服务在记录某些特定关键操作时,支持对这些关键操作通过消息通知服务实时向相关订阅者发送通知,该功能由云审计服务触发,消息通知服务(SMN)完成通知发送。 关键操作通知 父主题: 安全
objects 通知用户列表,目前最多支持对10个用户组和50个用户发起的操作进行配置。 topic_id 否 String 消息通知服务的topic_urn或者函数工作流的func_urn。- 消息通知服务的topic_urn可以通过消息通知服务的查询主题列表API获取,示例:ur
事件对应的的资源名称。 配置用户。 当指定的用户发起关键操作时,可以通过SMN通知相关的订阅者。 当选择“不指定”用户时,所有用户发起的关键操作,将通过SMN通知相关的订阅者。 当选择“指定”用户时,需要手动指定用户,当这些用户发起关键操作时,将通过SMN通知相关的订阅者。目前支持对10个用户组的50
步骤三:执行“创建IAM用户”操作后,验证触发告警 登录IAM控制台,创建一个IAM用户。具体操作,请参见创建IAM用户。 等待邮件终端接收“对创建IAM用户操作告警”邮件通知。 成功接受到“对创建IAM用户操作告警”邮件,实现通过云审计服务监控“创建IAM用户”操作。 常见问题相关链接
配置用户。 当指定的用户发起关键操作时,可以通过SMN通知相关的订阅者。 当选择“不指定”用户时,所有用户发起的关键操作,将通过SMN通知相关的订阅者。 当选择“指定”用户时,需要手动指定用户,当这些用户发起关键操作时,将通过SMN通知相关的订阅者。目前支持对10个用户组的50
user和source_ip为空的情况? trace_type字段的业务意义为标示请求来源,该字段可以是控制台(ConsoleAction)、API网关(ApiCall)及系统内调用(SystemAction)。 系统内调用为非用户触发的操作,例如自动触发的告警、弹性伸缩、定时备
是 String 用户名称。用户名称是指:在控制台右上角用户名的下拉选项中,选择“我的凭证”,在我的凭证页面中获取“IAM用户名”。 domain 是 BaseUser object 标识触发事件的用户domain信息。 user_name 否 String 用户名称。 说明:us
可以为空的字段有source_ip、code、request、response和message,这些字段并非云审计服务规定的必备字段: source_ip:当trace type为SystemAction时,表示本次操作由服务内部触发,此时缺失IP字段为正常情况。 request
leteMetadata事件? 由于系统在创建虚拟机的时候需要使用metadata存储临时信息,在创建虚拟机完成后会自动删除该信息,因此会触发两个deleteMetadata信息。
析、合规审计、资源跟踪和问题定位等常见应用场景。 记录审计日志:支持记录用户通过管理控制台或API接口发起的操作,以及各服务内部自触发的操作。 审计日志查询:支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。 审
务类型一般为大写字母。已对接的云服务列表参见《云审计服务用户指南》“支持审计的服务及详细操作列表”章节,单击对应云服务的文档链接,可以查看到该云服务的英文缩写。 user 否 String 标识特定用户名称,用以查询该用户下的所有事件。 from 否 Long 标识查询事件列表的
类型一般为大写字母。 已对接的云服务列表参见《云审计服务用户指南》“支持审计的服务及详细操作列表”章节,单击对应云服务的文档链接,可以查看到该云服务的英文缩写。 user 否 String 标识特定用户名称,用以查询该用户下的所有事件。 from 否 Long 标识查询事件列表的
一系列常用实践。 表1 常用最佳实践 实践 描述 结合函数工作流对登录/登出进行审计分析 该实践介绍如何通过CTS云审计服务,完成对公有云账户的各个云服务资源操作和结果的实时记录。 通过在函数工作流服务中创建CTS触发器获取订阅的资源操作信息,经由自定义函数对资源操作的信息进行分
处理结果 若用户触发账号的登录/登出操作,订阅服务类型日志被触发,日志会直接调用用户函数,通过函数代码对当前登录/出的账号进行IP过滤,若不在白名单内,可收到SMN发送的通知消息邮件,如图1所示。 图1 告警消息邮件通知 邮件信息中包含非法请求ip地址和用户执行的动作(login/logout)。
题定位等常见应用场景。 图1 云审计服务介绍 云审计服务的功能主要包括: 记录审计日志:支持记录用户通过管理控制台或API接口发起的操作,以及各服务内部自触发的操作。 审计日志查询:支持在管理控制台对7天内操作记录按照事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等多个维度进行组合查询。
日志转储:CTS提供将审计日志转储至LTS的功能,但依赖云日志服务(LTS)的日志存储功能收费。 关键操作通知:CTS提供关键操作通知功能,可在发生特定操作时向用户手机、邮箱发送消息,但发送消息需要使用消息通知服务(SMN)订阅主题。 其他服务的计费,详情请参见:产品价格详情。
云审计服务能够为您提供云服务资源的操作记录,记录的信息包括发起操作的用户身份、IP地址、具体的操作内容的信息,以及操作返回的响应信息。根据这些操作记录,可以很方便地实现审计类功能,以帮助用户更好地规划和利用已有资源、甄别违规或高危操作。 云审计服务主要有以下应用场景: 合规审计 云审计服务能够助力客户的业务系统通过PCI
通过CTS云审计服务,快速完成日志分析,对指定IP进行过滤。 基于serverless无服务架构的函数计算提供数据加工、分析,事件触发,弹性伸缩,无需运维,按需付费。 结合SMN消息通知服务提供日志、告警功能。 父主题: 结合函数工作流对登录/登出进行审计分析
登录管理控制台。 如果您是以主账号登录华为云,请直接进行3;如果您是以IAM用户登录华为云,需要联系CTS管理员(主账号或admin用户组中的用户)对IAM用户授予CTS FullAccess权限。 授权方法请参见给IAM用户授权。 单击左上角,选择“管理与监管 > 云审计服务 CTS”,进入云审计服务。