# 工作原理
云审计服务直接对接华为云平台上的其他服务，记录用户的云服务资源的操作信息，实现用户操作云服务资源动作和结果的实时记录功能。
使用云审计服务创建追踪器可以跟踪记录事件文件。如果已配置事件转储至OBS服务和LTS服务，事件文件将保存在OBS桶和LTS日志流中。
用户可以对事件文件执行以下两种操作：
- 事件文件的创建和保存：
  - 当用户在弹性云服务器、云硬盘服务、镜像服务等其它与云审计服务完成对接的服务中，进行了增加、删除、修改类型的操作时，被操作的服务会自动记录操作动作及操作结果，并按照指定的格式发送事件到云审计服务完成事件归档。
  
  - 云审计服务管理控制台会保存最近7天的操作记录，如果已配置OBS服务或LTS服务，云审计服务会定期将操作记录同步保存到用户定义的OBS桶或LTS日志流中进行长期保存。
  
  - 云审计控制台对用户的操作事件日志保留7天，过期自动删除，不支持人工删除。
   

- 事件文件查询：
  - 在"事件列表"页面，用户可以通过系统自带的条件和时间过滤功能，查询最近7天的操作记录。
  
  - 若要查询7天前的操作记录且已配置OBS服务或LTS服务，可以在对应的OBS桶中下载事件文件进行查看，或在对应的LTS日志流中查看日志。
  
  - 在云审计服务页面的追踪器界面，用户可以对追踪器进行启用、停用、删除、配置等操作。
   
以用户创建镜像为例，在用户使用镜像服务执行创建镜像的操作过程中，镜像服务会将用户操作事件上报至云审计服务，如果已配置OBS服务，云审计服务将事件转存至OBS桶中。用户也可以通过云审计服务的事件列表查看事件文件。云审计服务工作原理示意如[图1]所示。
图1云审计服务工作原理示意图   
![](https://support.huaweicloud.com/productdesc-cts/zh-cn_image_0000002509469649.png "点击放大")