Créer un journal multi-comptes pour acheminer les événements des membres - ActionTrail

Prérequis

L'annuaire de ressources est activé. Activer un annuaire de ressources.

Contexte

Procédure

Connectez-vous à la console ActionTrail avec un compte administrateur délégué ou le compte de gestion.

Pour configurer un compte administrateur délégué : Gérer un compte administrateur délégué.
Dans le volet de navigation de gauche, cliquez sur Trail.
Dans la barre de navigation supérieure, sélectionnez la région où vous souhaitez créer le journal multi-comptes.

Remarque
Cette région devient la région principale du journal multi-comptes.
Sur la page Trails, cliquez sur Create Trail. La page Quick Create Trail s'affiche par défaut. Pour accéder aux paramètres avancés, cliquez sur Create Trail en haut de la page.

Sur la page Quick Create Trail ou Create Trail, configurez les paramètres du journal.

Basic Information

Paramètre	Description
Trail Name	Le nom du journal. Il sert également de nom au Logstore SLS. Remarque Le nom du journal doit être unique.
Trail Event Type	Les événements que le journal achemine. Valeurs possibles : Management Event : Sélectionné par défaut. Choisissez un type d'événement : All Events : Tous les événements de lecture et d'écriture. Pour un audit complet, sélectionnez All Events. Write event : Événements qui créent, suppriment ou modifient des ressources cloud, tels que `CreateInstance`. Sélectionnez Write event pour vous concentrer sur les événements modifiant les ressources lors d'une analyse personnalisée. Read : Événements qui lisent les informations sur les ressources sans modifier les configurations, tels que `DescribeInstances`. Les événements de lecture génèrent un volume de données élevé. Pour un audit complet, acheminez les événements de lecture afin de tracer l'utilisation des AccessKey et l'accès aux ressources. Insights events : Lorsque cette option est sélectionnée, le type d'événement de gestion est défini sur All. ActionTrail analyse les événements de gestion pour identifier les appels API risqués, les erreurs API, les requêtes IP anormales, l'utilisation des AccessKey, les modifications des autorisations, les changements de mot de passe et les actions d'évasion. Présentation des Insights events. Data events : Les événements de lecture et d'écriture pour les données dans les produits cloud. Vous pouvez sélectionner l'une des options suivantes : Disable data events : Les événements de données ne sont pas enregistrés. All resources : Tous les événements de données sont enregistrés. Specified resources : Seuls les événements de données pour les ressources spécifiées sont enregistrés. Remarque Les journaux créés dans la console acheminent les événements de toutes les régions par défaut. Pour limiter l'acheminement à des régions spécifiques, appelez l'opération API CreateTrail et définissez le paramètre TrailRegion.
Apply Trail to All Members	La portée du journal. Valeurs possibles : Yes : Collecte les événements du compte de gestion et de tous les membres, et les achemine vers une destination unifiée. Recommandé pour une couverture complète des événements. No : Crée un journal mono-compte qui n'achemine que les événements du compte actuel. Remarque Cette option est irréversible. Pour modifier le paramètre Apply Trail to All Members, supprimez le journal et créez-en un nouveau. Après la création, Multi-account Trail apparaît dans la colonne Trail Type sur la page Trails.

Event delivery

Acheminez les événements vers SLS, OSS, MaxCompute ou les trois services. Pour comparer les options de stockage : Acheminer les événements vers des services Alibaba Cloud spécifiés.

Remarque

Un journal multi-comptes n'achemine que les nouveaux événements générés après sa création. Pour acheminer les événements historiques des 90 derniers jours, créez une tâche de remplissage des données. Créer une tâche de remplissage des données.

Sélectionnez Delivery to Log Service

Sélectionnez Delivery to Current Account et configurez les paramètres suivants.

Paramètre	Description
Project	Sélectionnez un projet SLS de destination. New Log Service Project Existing Log Service Project
Logstore Region	La région où se trouve le projet.
Project Name	Le nom du projet dans SLS. Remarque Les noms de projet doivent être globalement uniques sur tous les comptes Alibaba Cloud. Si vous sélectionnez New Log Service Project, saisissez un nom pour le nouveau projet. Si vous sélectionnez Existing Log Service Project, choisissez un projet existant dans la liste déroulante. Pour créer un projet dans SLS : Collecter et analyser les journaux texte ECS à l'aide de LoongCollector. Remarque Après un acheminement réussi, ActionTrail crée automatiquement un Logstore nommé `actiontrail_{trail_name}`. Ce Logstore inclut des paramètres optimisés pour l'audit, tels que des index et des tableaux de bord pour les requêtes. ActionTrail désactive les autorisations d'écriture pour les utilisateurs afin de garantir l'exactitude des données. Vous n'avez pas besoin de créer le Logstore au préalable.

Sélectionnez Delivery to Another Account, et configurez les paramètres Log Service Project ARN et RAM Role ARN of Destination Account.

Pour acheminer les événements vers un autre compte, créez un rôle RAM dans le compte de destination, accordez à ActionTrail les autorisations requises et créez un projet au préalable. Acheminer les événements de plusieurs membres d'un annuaire de ressources vers un seul compte.

Sélectionnez Delivery to OSS

Sélectionnez Delivery to Current Account et configurez les paramètres suivants.

Paramètre	Description
OSS bucket	Sélectionnez un compartiment OSS de destination. Create a new bucket Select an existing bucket
Bucket name	Le nom du compartiment OSS. Il doit être unique au sein du compte. Lorsque vous sélectionnez Create a new bucket, saisissez un nom de compartiment. Lorsque vous sélectionnez Select an existing bucket, choisissez un compartiment depuis OSS. Pour créer un compartiment dans OSS : Créer des compartiments. Important Si vous créez un compartiment dans une région de Chine continentale, vous devez soumettre vos informations sur la page Real-name Registration.
Log File Prefix	Le préfixe des fichiers journaux d'événements. Aide à organiser et localiser les événements.
Server Encryption	Indique s'il faut chiffrer les fichiers journaux dans le compartiment. Requis lorsque vous sélectionnez Create New Bucket. Valeurs possibles : Fully Managed by OSS : Chiffre les données avec des clés gérées par OSS. Chaque objet reçoit une clé unique, protégée par une clé maître régulièrement renouvelée. KMS : Chiffre les données avec Key Management Service (KMS). Vous devez d'abord activer KMS. Acheter et activer une instance KMS. Disable : Le chiffrement côté serveur n'est pas activé. Détails sur le chiffrement côté serveur OSS : Chiffrement côté serveur.
Enable Retention Policy	Une politique de rétention stocke les données dans un format non effaçable et infalsifiable pendant une période spécifiée. Valeurs possibles : Disable (Par défaut) Enable

Sélectionnez Delivery to Another Account, et définissez les paramètres RAM Role ARN of OSS Bucket, Bucket Name et Bucket Name.

Pour acheminer les événements vers un autre compte, créez un rôle RAM dans le compte de destination, accordez à ActionTrail les autorisations requises et créez un compartiment OSS au préalable. Acheminer les événements de plusieurs membres d'un annuaire de ressources vers un seul compte.

Sélectionnez Deliver Events to MaxCompute

Sélectionnez Log File Prefix et configurez les paramètres suivants.

Paramètre	Description
Delivery to Current Account	La région où se trouve le projet MaxCompute de destination. Remarque ActionTrail achemine les journaux d'audit vers un projet nommé `actiontrail_<Alibaba_Cloud_Account_ID>` dans la région MaxCompute spécifiée. Si un projet portant ce nom existe déjà sous votre compte, ActionTrail achemine les journaux vers le projet existant.
MaxCompute Region	Le quota pour MaxCompute. Remarque Lorsque vous créez un journal pour acheminer les événements vers MaxCompute pour la première fois, vous devez sélectionner un quota. Si aucun quota n'est disponible dans la région actuelle, sélectionnez une autre région MaxCompute.

Sélectionnez Project Quota, et configurez les paramètres Delivery to Another Account et Project ARN.

Pour acheminer les événements vers un autre compte, créez un rôle RAM dans le compte de destination, accordez à ActionTrail les autorisations requises et créez un projet RAM Role ARN of MaxCompute au préalable. Acheminer les événements de plusieurs comptes Alibaba Cloud vers un seul compte.

Cliquez sur Confirm.

Résultats

Une fois le journal créé, les événements sont enregistrés au format JSON dans le Logstore SLS, le compartiment OSS ou la table MaxCompute spécifié. Consultez les événements dans chaque service :

Remarque

Le compte de gestion peut afficher les événements des membres uniquement dans OSS, SLS ou MaxCompute. Il ne peut pas interroger les événements des membres sur la page MaxCompute ni en appelant l'opération API LookupEvents.

Simple Log Service (SLS) : ActionTrail crée automatiquement un Logstore nommé actiontrail_{trail_name}. Sur la page Event Detail Query , survolez le journal dans la colonne Trails et cliquez sur le nom du Logstore SLS.
OSS : Les événements globaux sont acheminés avec les événements de la région principale. Les événements non globaux sont stockés dans des répertoires spécifiques à la région. Utilisez EMR ou un service d'analyse de journaux tiers pour analyser les événements.

Vous pouvez également, sur la page Storage Service , survoler le journal dans la colonne Trails , cliquer sur le nom du compartiment OSS, puis choisir Storage Service > Object Management. Pour plus d'informations sur les chemins de stockage OSS, consultez Quel est le chemin de stockage d'un événement acheminé vers un compartiment OSS ?.
MaxCompute : ActionTrail crée une table nommée actiontrail_<trail_name>. Sur la page Trails, survolez l'entrée de la colonne Storage Service et cliquez sur le nom du projet MaxCompute. Interrogez les données dans la table actiontrail_<trail_name> en vous connectant avec DataWorks.

Rubriques connexes

Interrogez les événements des membres dans SLS ou OSS après avoir créé un journal. Interroger les événements dans la console SLS ou OSS.
Pour les journaux qui acheminent les événements vers SLS, utilisez la fonctionnalité de requête avancée. Effectuer des requêtes d'événements personnalisées.