Consulta rápida de eventos - ActionTrail - Centro de documentación de Alibaba Cloud

ActionTrail le permite supervisar y registrar la actividad de su cuenta de Alibaba Cloud. Puede usar ActionTrail para auditar las operaciones ejecutadas en su cuenta durante los últimos 90 días. Así puede comprobar que el uso de los servicios en la nube cumple con sus requisitos de cumplimiento normativo y sus estándares de seguridad. Por ejemplo, puede usar ActionTrail para identificar qué usuario de RAM ejecutó cada operación y cuándo. Este tema usa un NAT gateway como ejemplo para mostrar cómo consultar los detalles de eventos en ActionTrail.

Contexto

Un administrador de equipo usa una cuenta de Alibaba Cloud para crear varios usuarios de RAM para los miembros del equipo y les otorga permisos de administrador.

Suponga lo siguiente: al intentar asociar una dirección EIP a un NAT gateway, descubre que ya hay otra dirección EIP asociada. Dado que todos los miembros del equipo tienen permisos de administrador, cualquiera de ellos podría haber ejecutado esta operación. Use ActionTrail para consultar los eventos del NAT gateway e identificar al operador.

Procedimiento

Inicie sesión en la consola de ActionTrail.
En el panel de navegación izquierdo, elija Events > Event Query.
Seleccione la región de destino en la barra de navegación superior.
Desde la lista desplegable, seleccione Resource Name.

Nota
También puede filtrar eventos por otros criterios, como Read/Write Type, Operator, Service Name, Event Name, Resource Type, AccessKey ID, Sensitive Operation o Event ID.
Introduzca el ID de instancia de la dirección IP elástica y, a continuación, haga clic en el icono de búsqueda .
En la columna Actions del evento de destino, haga clic en View Event Details para consultar los detalles del evento y el código del registro.

Nota
El panel de detalles del evento muestra que un usuario de RAM asoció una dirección IP elástica al NAT gateway a las 13:42:03 del 20 de diciembre de 2023. Esto confirma qué usuario de RAM ejecutó la operación.

Nota

La consola de ActionTrail no admite filtrar eventos por dirección IP de origen en la página Event Query. Event Source IP es solo una columna de resultados y no se puede usar como criterio de filtro. La información sobre herramientas del encabezado de la columna indica "the source IP address from which the event was initiated".

Para recuperar registros de operaciones por dirección IP de origen, configure la entrega de eventos. Cree un trail que entregue eventos de administración a Simple Log Service (SLS). Después, consulte el campo event.sourceIpAddress mediante una sentencia SQL. Por ejemplo:

* AND "event.eventCategory": Management AND "event.sourceIpAddress": "192.0.2.1" | select from_unixtime(__time__) as eventTime, "event.eventName" as eventName, "event.serviceName" as serviceName, "event.sourceIpAddress" as sourceIpAddress, "event.userIdentity.userName" as userName

Consulte How do I query ActionTrail events in SLS using SQL? para obtener más ejemplos de sentencias de consulta.

Temas relacionados

Para obtener más información sobre los campos de un registro de evento de administración, consulte Management event structure.