文档首页/ 对象存储服务 OBS/ 用户指南/ 监控与日志/ 使用CTS审计OBS操作事件/ 查询OBS审计事件
更新时间：2026-07-10 GMT+08:00
查看PDF
分享

查询OBS审计事件

本节介绍如何在云审计服务控制台查看或导出最近7天的操作事件记录，以及查看转储至OBS桶或LTS中的操作事件记录。

云审计事件示例

以下以创建桶（管理类事件）、上传对象（数据类事件）操作为例，介绍分别在CTS、OBS、LTS存储的审计事件文件内容。更多云审计事件样例，请参见事件样例。

云审计事件列表仅支持查看OBS管理类事件（如：创建桶），OBS数据类事件（如：上传对象）需要创建数据追踪器并配置转储至OBS或LTS，然后在OBS或LTS中查看。以下为在云审计事件列表查看的OBS创建桶事件：

  • 创建桶 
    {
  "code": "200",
  "domain_id": "aaaaaaaaaaaaaaaaaa",
  "event_type": "system",
  "project_id": "bbbbbbbbbbbbbbbbbb",
  "read_only": false,
  "resource_name": "test003zcy",
  "resource_type": "bucket",
  "service_type": "OBS",
  "source_ip": "x.x.x.x",
  "trace_id": "cccccccccccccccccccc",
  "trace_name": "createBucket",
  "trace_rating": "normal",
  "trace_type": "Others",
  "tracker_name": "system",
  "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36",
  "user": {
    "access_key_id": "dddddddddddd",
    "account_id": "eeeeeeeeeeeeeeeeee",
    "domain": {
      "id": "ffffffffffffffffff",
      "name": "Test_name"
    },
    "invoked_by": [
      "service.console"
    ],
    "name": "ggggggggggggggggggg/testname",
    "principal_id": "ggggggggggggggggggg:testname",
    "principal_urn": "sts::ggggggggggggggggggg:external-user:ggggggggggggggggggg/testname",
    "session_context": {
      "attributes": {
        "creationDate": "1779956903340",
        "mfa_authenticated": "false"
      },
      "federation_data": {
        "group_Ids": [
          "hhhhhhhhhhhhhhhhhhh",
          "iiiiiiiiiiiiiiiiiiii"
        ],
        "identity_provider": "ggggggggggggggggggg",
        "protocol": "saml"
      }
    },
    "type": "ExternalUser",
    "id": "ggggggggggggggggggg"
  },
  "time": 1779956940605,
  "record_time": 1779956940605
}

配置了事件转储至OBS，支持在OBS桶中查看云审计事件。

云审计事件转储至OBS时，“user”字段会序列化为字符串格式，使用时需反序列化解析。

  • 创建桶 
    [{"code":200,"domain_id":"aaaaaaaaaaaaaaaaaa","event_type":"system","project_id":"bbbbbbbbbbbbbbbbbb","read_only":false,"record_time":1779961459823,"resource_name":"test003zcy","resource_type":"bucket","service_type":"OBS","source_ip":"x.x.x.x","time":1779961459823,"trace_id":"cccccccccccccccccccc","trace_name":"createBucket","trace_rating":"normal","trace_type":"Others","tracker_name":"system","user":"{\"access_key_id\":\"dddddddddddd\",\"account_id\":\"eeeeeeeeeeeeeeeeee\",\"domain\":{\"id\":\"ffffffffffffffffff\",\"name\":\"Test_name\"},\"invoked_by\":[\"service.console\"],\"name\":\"ggggggggggggggggggg/testname\",\"principal_id\":\"ggggggggggggggggggg:testname\",\"principal_urn\":\"sts::ggggggggggggggggggg:external-user:ggggggggggggggggggg/testname\",\"session_context\":{\"attributes\":{\"creationDate\":\"1779961225561\",\"mfa_authenticated\":\"false\"},\"federation_data\":{\"group_Ids\":[\"hhhhhhhhhhhhhhhhhhh\",\"iiiiiiiiiiiiiiiiiiii\"],\"identity_provider\":\"ggggggggggggggggggg\",\"protocol\":\"saml\"}},\"type\":\"ExternalUser\",\"id\":\"ggggggggggggggggggg\"}","user_agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36"}]
  • 上传对象 
    [{"code":200,"content_length":3,"event_type":"data","project_id":"bbbbbbbbbbbbbbbbbb","read_only":false,"record_time":1779961398474,"request_id":"kkkkkkkkkkkkkkkkkk","resource_name":"test003zcy:test.txt","resource_type":"OBJECT","service_type":"OBS","source_ip":"x.x.x.x","time":1779961398474,"total_time":43,"trace_id":"cccccccccccccccccccc","trace_name":"PUT.OBJECT","trace_rating":"normal","trace_type":"Others","user":"{\"domain\":{\"id\":\"ffffffffffffffffff\",\"name\":\"Test_name\"},\"id\":\"ggggggggggggggggggg\",\"name\":\"testname\"}"}]

配置了事件转储至LTS，支持在LTS日志流中查看云审计事件。

LTS中展示的OBS云审计事件与CTS及转储至OBS中的事件格式不一样，以下以截图展示。

  • 创建桶

  • 上传对象

云审计事件内容字段解释

关于云审计事件结构的关键字段详解，请参见事件结构。

约束与限制

关于云审计服务的相关约束限制，请参见CTS约束与限制。

前提条件

  1. 注册华为云并实名认证。

    如果您已有一个华为账户，请跳到下一个任务。如果您还没有华为账户，请参考以下步骤创建。

    1. 打开华为云官网，单击“注册”。
    2. 根据提示信息完成注册，详细操作请参见注册华为账号并开通华为云。

      注册成功后，系统会自动跳转至您的个人信息界面。

    3. 参考实名认证完成个人或企业账号实名认证。
  2. 为用户添加操作权限。

    如果您是以主账号登录华为云，请跳到下一个任务。

    如果您是以IAM用户登录华为云，需要联系CTS管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限。授权方法请参见给IAM用户授权。

查询云审计事件

步骤一：（可选）创建数据类事件追踪器

在开通云审计服务时，系统已为您自动创建了一个管理类事件追踪器，用来追踪管理类事件，管理类事件追踪器只能有一个；如果您还需要追踪数据类事件，请您自行创建数据类事件追踪器，单账号可创建的数据类追踪器个数请参见CTS约束与限制。

最多为同一个桶创建两个数据类追踪器，且追踪器追踪的操作类型不重叠。例如：先创建了一个数据类追踪器，事件操作类型选择“读操作”和“写操作”，则无法再为该桶创建第二追踪器，因为第一个追踪器已包含该桶的所有操作类型，再创建第二个追踪器时，其操作类型会与第一个追踪器的操作类型重叠。

创建数据类事件追踪器，详情请参见创建数据类追踪器。

步骤二：查看历史云审计事件

在CTS事件列表查看7天内的云审计事件

在管理类事件追踪器配置页面，未配置事件转储时，您可以在CTS事件列表查看7天内的云审计事件。

  1. 进入CTS事件列表页面
  2. 在列表上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。

    图1 在CTS事件列表查看OBS事件

  3. 事件列表支持通过高级搜索来查询对应的操作事件，在右边搜索框中单击，您可以在筛选器组合一个或多个筛选条件进行事件筛选。
  4. （可选）导出操作记录文件、刷新列表、设置列表展示信息等。

    • 单击“导出”按钮，云审计服务会将查询结果以.xlsx格式的表格文件导出，该.xlsx文件包含了本次查询结果的所有事件，且最多导出5000条信息。
    • 单击按钮，可以获取到事件操作记录的最新信息。
    • 单击按钮，可以自定义事件列表的展示信息。启用表格内容折行开关，可让表格内容自动折行，禁用此功能将会截断文本，默认停用此开关。

在OBS桶中查看历史云审计事件

在管理类事件追踪器或数据类事件追踪器配置页面，开启并配置“转储到OBS”功能后，就能将审计日志周期性地转储至对象存储服务下的OBS桶。相关配置详情请参见配置云审计事件转储至OBS并查看。

图2 在OBS桶中查看历史云审计事件

在LTS日志流中查看历史云审计事件

在管理类事件追踪器或数据类事件追踪器配置页面，开启并配置“转储到LTS”功能后，就能将审计日志周期性地转储至云日志服务下的LTS日志流。相关配置详情请参见配置云审计事件转储至LTS并查看。

图3 在LTS日志流中查看历史云审计事件

相关文档

停用、删除追踪器

  • 在追踪器信息右侧，单击操作下的“停用”可以停用追踪器。追踪器停用成功后，系统将不再记录新的操作，但是您依旧可以查看已有的操作记录。
  • 在追踪器信息右侧，单击操作下的“删除”可以删除追踪器。删除追踪器对已有的操作记录没有影响，当您重新开通云审计服务后，依旧可以查看已有的操作记录。

通过CTS接口查询OBS审计事件

CTS支持追踪OBS管理事件和数据事件，用户可通过CTS的查询事件列表接口查看相关操作记录，该接口详细信息请参见查询事件列表接口说明。

云审计服务应用示例

您可以通过以下示例，来学习如何查询具体的事件：
  • 使用云审计服务，审计最近两周内OBS桶策略的创建和删除操作。具体操作，请参见安全审计。
  • 使用云审计服务，定位现网某次上传对象失败的问题。具体操作，请参见问题定位。
  • 使用云审计服务，查看某个OBS桶的所有的操作记录。具体操作，请参见资源跟踪。

为什么在CTS的事件列表中找不到事件？

默认情况下，CTS仅通过系统自动创建的名为System的管理追踪器来记录管理类事件，而不会记录数据类事件。如果您需要CTS记录数据类事件，则需要您自行创建数据类追踪器。关于管理类事件和数据类事件，详情请参见云审计支持的OBS操作事件。

对于OBS，对桶的操作记录属于管理类事件，对桶中对象的操作属于数据类事件。如果您没有自行创建数据类追踪器，则对桶中对象的操作将不会在CTS的事件列表中记录。关于创建数据类追踪器，请参见步骤一：（可选）创建数据类事件追踪器。

父主题： 使用CTS审计OBS操作事件

相关文档