# 查询OBS审计事件 本节介绍如何在云审计服务控制台查看或导出最近7天的操作事件记录，以及查看转储至OBS桶或LTS中的操作事件记录。 #### 云审计事件示例 以下以创建桶（管理类事件）、上传对象（数据类事件）操作为例，介绍分别在CTS、OBS、LTS存储的审计事件文件内容。更多云审计事件样例，请参见[事件样例](https://support.huaweicloud.com/usermanual-cts/cts_03_0011.html)。 - [存储在CTS的云审计事件] 云审计事件列表仅支持查看OBS管理类事件（如：创建桶），OBS数据类事件（如：上传对象）需要创建数据追踪器并配置转储至OBS或LTS，然后在OBS或LTS中查看。以下为在云审计事件列表查看的OBS创建桶事件： - 创建桶 ``` { "code": "200", "domain_id": "aaaaaaaaaaaaaaaaaa", "event_type": "system", "project_id": "bbbbbbbbbbbbbbbbbb", "read_only": false, "resource_name": "test003zcy", "resource_type": "bucket", "service_type": "OBS", "source_ip": "x.x.x.x", "trace_id": "cccccccccccccccccccc", "trace_name": "createBucket", "trace_rating": "normal", "trace_type": "Others", "tracker_name": "system", "user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36", "user": { "access_key_id": "dddddddddddd", "account_id": "eeeeeeeeeeeeeeeeee", "domain": { "id": "ffffffffffffffffff", "name": "Test_name" }, "invoked_by": [ "service.console" ], "name": "ggggggggggggggggggg/testname", "principal_id": "ggggggggggggggggggg:testname", "principal_urn": "sts::ggggggggggggggggggg:external-user:ggggggggggggggggggg/testname", "session_context": { "attributes": { "creationDate": "1779956903340", "mfa_authenticated": "false" }, "federation_data": { "group_Ids": [ "hhhhhhhhhhhhhhhhhhh", "iiiiiiiiiiiiiiiiiiii" ], "identity_provider": "ggggggggggggggggggg", "protocol": "saml" } }, "type": "ExternalUser", "id": "ggggggggggggggggggg" }, "time": 1779956940605, "record_time": 1779956940605 } ``` - [存储在OBS的云审计事件] 配置了事件转储至OBS，支持在OBS桶中查看云审计事件。 ![](https://support.huaweicloud.com/usermanual-obs/public_sys-resources/caution_3.0-zh-cn.png) 云审计事件转储至OBS时，"user"字段会序列化为字符串格式，使用时需反序列化解析。 - 创建桶 ``` [{"code":200,"domain_id":"aaaaaaaaaaaaaaaaaa","event_type":"system","project_id":"bbbbbbbbbbbbbbbbbb","read_only":false,"record_time":1779961459823,"resource_name":"test003zcy","resource_type":"bucket","service_type":"OBS","source_ip":"x.x.x.x","time":1779961459823,"trace_id":"cccccccccccccccccccc","trace_name":"createBucket","trace_rating":"normal","trace_type":"Others","tracker_name":"system","user":"{\"access_key_id\":\"dddddddddddd\",\"account_id\":\"eeeeeeeeeeeeeeeeee\",\"domain\":{\"id\":\"ffffffffffffffffff\",\"name\":\"Test_name\"},\"invoked_by\":[\"service.console\"],\"name\":\"ggggggggggggggggggg/testname\",\"principal_id\":\"ggggggggggggggggggg:testname\",\"principal_urn\":\"sts::ggggggggggggggggggg:external-user:ggggggggggggggggggg/testname\",\"session_context\":{\"attributes\":{\"creationDate\":\"1779961225561\",\"mfa_authenticated\":\"false\"},\"federation_data\":{\"group_Ids\":[\"hhhhhhhhhhhhhhhhhhh\",\"iiiiiiiiiiiiiiiiiiii\"],\"identity_provider\":\"ggggggggggggggggggg\",\"protocol\":\"saml\"}},\"type\":\"ExternalUser\",\"id\":\"ggggggggggggggggggg\"}","user_agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/140.0.0.0 Safari/537.36"}] ``` - 上传对象 ``` [{"code":200,"content_length":3,"event_type":"data","project_id":"bbbbbbbbbbbbbbbbbb","read_only":false,"record_time":1779961398474,"request_id":"kkkkkkkkkkkkkkkkkk","resource_name":"test003zcy:test.txt","resource_type":"OBJECT","service_type":"OBS","source_ip":"x.x.x.x","time":1779961398474,"total_time":43,"trace_id":"cccccccccccccccccccc","trace_name":"PUT.OBJECT","trace_rating":"normal","trace_type":"Others","user":"{\"domain\":{\"id\":\"ffffffffffffffffff\",\"name\":\"Test_name\"},\"id\":\"ggggggggggggggggggg\",\"name\":\"testname\"}"}] ``` - [存储在LTS中的云审计事件] 配置了事件转储至LTS，支持在LTS日志流中查看云审计事件。 ![](https://support.huaweicloud.com/usermanual-obs/public_sys-resources/note_3.0-zh-cn.png) LTS中展示的OBS云审计事件与CTS及转储至OBS中的事件格式不一样，以下以截图展示。 - 创建桶 ![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002666168371.png "点击放大") - 上传对象 ![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002666048291.png "点击放大") #### 云审计事件内容字段解释 关于云审计事件结构的关键字段详解，请参见[事件结构](https://support.huaweicloud.com/usermanual-cts/cts_03_0010.html)。 #### 约束与限制 关于云审计服务的相关约束限制，请参见[CTS约束与限制](https://support.huaweicloud.com/productdesc-cts/cts_01_0007.html)。 #### 前提条件 1. **注册华为云并实名认证** **。** 如果您已有一个华为账户，请跳到下一个任务。如果您还没有华为账户，请参考以下步骤创建。 1. 打开[华为云官网](https://www.huaweicloud.com/)，单击"注册"。 2. 根据提示信息完成注册，详细操作请参见[注册账号](https://support.huaweicloud.com/usermanual-account/account_id_001.html)。 注册成功后，系统会自动跳转至您的个人信息界面。 3. 参考[实名认证](https://support.huaweicloud.com/usermanual-account/zh-cn_topic_0071343161.html)完成个人或企业账号实名认证。 2. **为用户添加操作权限** 。 如果您是以主账号登录华为云，请跳到下一个任务。 如果您是以IAM用户登录华为云，需要联系CTS管理员（主账号或admin用户组中的用户）对IAM用户授予CTS FullAccess权限。授权方法请参见[给IAM用户授权](https://support.huaweicloud.com/usermanual-iam/iam_01_0652.html)。 #### 查询云审计事件 #### 步骤一：（可选）创建数据类事件追踪器 **在开通云审计服务时，系统已为您自动创建了一个管理类事件追踪器，用来追踪管理类事件，管理类事件追踪器只能有一个；如果您还需要追踪数据类事件，请您自行创建数据类事件追踪器，单账号可创建的数据类追踪器个数请参见[CTS约束与限制](https://support.huaweicloud.com/productdesc-cts/cts_01_0007.html)。** 最多为同一个桶创建两个数据类追踪器，且追踪器追踪的操作类型不重叠。例如：先创建了一个数据类追踪器，事件操作类型选择"读操作"和"写操作"，则无法再为该桶创建第二追踪器，因为第一个追踪器已包含该桶的所有操作类型，再创建第二个追踪器时，其操作类型会与第一个追踪器的操作类型重叠。 创建数据类事件追踪器，详情请参见[创建数据类追踪器](https://support.huaweicloud.com/usermanual-cts/cts_03_0001.html)。 #### 步骤二：查看历史云审计事件 #### 在CTS事件列表查看7天内的云审计事件 在管理类事件追踪器配置页面，未配置事件转储时，您可以在CTS事件列表查看7天内的云审计事件。 1. 进入[CTS事件列表页面](https://console.huaweicloud.com/cts/manager/eventList) 2. 在列表上方，可以通过筛选时间范围，查询最近1小时、最近1天、最近1周的操作事件，也可以自定义最近7天内任意时间段的操作事件。 图1在CTS事件列表查看OBS事件 ![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002635889176.png "点击放大") 3. 事件列表支持通过高级搜索来查询对应的操作事件，在右边搜索框中单击，您可以在筛选器组合一个或多个筛选条件进行事件筛选。 4. （可选）导出操作记录文件、刷新列表、设置列表展示信息等。 - 单击"导出"按钮，云审计服务会将查询结果以.xlsx格式的表格文件导出，该.xlsx文件包含了本次查询结果的所有事件，且最多导出5000条信息。 - 单击![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002666168375.png)按钮，可以获取到事件操作记录的最新信息。 - 单击![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002666048295.png)按钮，可以自定义事件列表的展示信息。启用表格内容折行开关![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002635889180.png "点击放大")，可让表格内容自动折行，禁用此功能将会截断文本，默认停用此开关。 #### 在OBS桶中查看历史云审计事件 在管理类事件追踪器或数据类事件追踪器配置页面，开启并配置"转储到OBS"功能后，就能将审计日志周期性地转储至对象存储服务下的OBS桶。相关配置详情请参见[配置云审计事件转储至OBS并查看](https://support.huaweicloud.com/qs-cts/cts_02_0004.html)。 图2在OBS桶中查看历史云审计事件 ![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002635729282.png "点击放大") #### 在LTS日志流中查看历史云审计事件 在管理类事件追踪器或数据类事件追踪器配置页面，开启并配置"转储到LTS"功能后，就能将审计日志周期性地转储至云日志服务下的LTS日志流。相关配置详情请参见[配置云审计事件转储至LTS并查看](https://support.huaweicloud.com/qs-cts/cts_02_0005.html)。 图3在LTS日志流中查看历史云审计事件 ![](https://support.huaweicloud.com/usermanual-obs/figure/zh-cn_image_0000002666048297.png "点击放大") #### 相关文档 #### 停用、删除追踪器 - 在追踪器信息右侧，单击操作下的"停用"可以停用追踪器。追踪器停用成功后，系统将不再记录新的操作，但是您依旧可以查看已有的操作记录。 - 在追踪器信息右侧，单击操作下的"删除"可以删除追踪器。删除追踪器对已有的操作记录没有影响，当您重新开通云审计服务后，依旧可以查看已有的操作记录。 #### 通过CTS接口查询OBS审计事件 CTS支持追踪OBS管理事件和数据事件，用户可通过CTS的**查询事件列表** 接口查看相关操作记录，该接口详细信息请参见[查询事件列表接口说明](https://support.huaweicloud.com/api-cts/cts_api_0311.html)。 #### 云审计服务应用示例 您可以通过以下示例，来学习如何查询具体的事件： - 使用云审计服务，审计最近两周内OBS桶策略的创建和删除操作。具体操作，请参见[安全审计](https://support.huaweicloud.com/usermanual-cts/cts_03_0006.html)。 - 使用云审计服务，定位现网某次上传对象失败的问题。具体操作，请参见[问题定位](https://support.huaweicloud.com/usermanual-cts/cts_03_0007.html)。 - 使用云审计服务，查看某个OBS桶的所有的操作记录。具体操作，请参见[资源跟踪](https://support.huaweicloud.com/usermanual-cts/cts_03_0008.html)。 #### 为什么在CTS的事件列表中找不到事件？ 默认情况下，CTS仅通过系统自动创建的名为System的管理追踪器来记录管理类事件，而不会记录数据类事件。如果您需要CTS记录数据类事件，则需要您自行创建数据类追踪器。关于管理类事件和数据类事件，详情请参见[云审计支持的OBS操作事件](https://support.huaweicloud.com/usermanual-obs/obs_03_120201.html#ZH-CN_TOPIC_0000002666272563__zh-cn_topic_0000002666168365_section175045441363)。 对于OBS，对桶的操作记录属于管理类事件，对桶中对象的操作属于数据类事件。如果您没有自行创建数据类追踪器，则对桶中对象的操作将不会在CTS的事件列表中记录。关于创建数据类追踪器，请参见[步骤一：（可选）创建数据类事件追踪器]。