すべてのプロダクト
Search

このプロダクト

    ActionTrail:イベントのカスタムクエリ

    ドキュメントセンター

    ActionTrail:イベントのカスタムクエリ

    最終更新日:Jun 05, 2026

    90 日以上前のイベントを複数のリージョンにわたってクエリするには、ActionTrail コンソールのカスタムクエリ機能で、フィルター条件または SQL ステートメントを指定します。

    前提条件

    トレイルが作成され、イベントが Simple Log Service (SLS) に配信されている必要があります。詳細については、「シングルアカウントトレイルの作成」または「マルチアカウントトレイルの作成」をご参照ください。

    ユースケース

    カスタムクエリは、ビジュアル検索用のシンプルクエリと、構造化問い合わせ言語 (SQL) を使用した柔軟な検索用の SQL クエリの 2 つのモードをサポートしています。

    モード

    クエリ方法

    説明

    例

    シンプルクエリ

    単一条件のクエリ

    フィルター条件 (サービス名、リージョン、イベント名、アカウントタイプ、読み取り/書き込みタイプ、リソース名、リソースタイプ、またはオペレーター) でイベントをクエリします。

    指定した時間範囲内の Key Management Service (KMS) のすべてのイベントをクエリするには、サービス名 を Key Management Service (Kms) に設定します。

    複数条件のクエリ

    複数のサービスまたはリージョンにまたがってイベントをクエリします。

    中国 (杭州) および中国 (上海) リージョンでの KMS イベントをクエリするには、サービス名 を Key Management Service (Kms) に、Alibaba Cloud Region を [中国 (杭州)] と 中国 (上海) に設定します。

    SQL クエリ

    キーワードクエリ

    検索語を入力して、一致するイベントを検索します。

    すべての書き込みイベントをクエリするには、検索ボックスに * AND event.eventRW: Write と入力します。

    条件ベースのクエリ

    オペレーター (誰が)、操作 (何を)、リソース (どれを)、場所 (どこで)、またはその他の属性でフィルターします。

    指定した時間範囲内の KMS のすべてのイベントをクエリするには、検索ボックスに * AND event.serviceName: KMS と入力します。

    複数条件のクエリ

    オペレーター (誰が)、操作 (何を)、リソース (どれを)、場所 (どこで)、およびその他の属性にまたがる複数の条件を組み合わせます。

    ActionTrail でユーザー田中一郎によって生成されたイベントをクエリするには、検索ボックスに * AND event.serviceName: ActionTrail AND event.userIdentity.userName: 田中一郎 と入力します。

    除外クエリ

    NOT 演算子を使用して、クエリから特定の条件を除外します。

    ActionTrail でユーザー田中一郎以外によって生成されたイベントをクエリするには、検索ボックスに * AND event.serviceName: ActionTrail NOT event.userIdentity.userName: 田中一郎 と入力します。

    操作手順

    1. ActionTrail コンソールにログインします。

    2. ナビゲーションペインで、イベント > [高度なイベントクエリ] を選択します。

    3. クエリ範囲 セクションで、[トレイル] ドロップダウンリストからトレイルを選択します。

    4. カスタムテンプレート ページの [デフォルト] タブで、クエリ条件を設定します。

      • シンプルクエリ

        シンプルなクエリ で、プロンプトに従ってクエリ条件を設定します。

      • SQL クエリ

        シンプルなクエリ スイッチをオフにして、SQL クエリを入力します。

        説明

        • SQL 構文とクエリ例については、「高度なイベントクエリの SQL 構文」をご参照ください。

        • シンプルクエリから開始するには、シンプルなクエリ で条件を設定し、シンプルなクエリ スイッチをオフにします。シンプルなクエリ で設定した条件は、カスタマイズ可能な SQL ステートメントに自動的に変換されます。

    5. 時間範囲を指定し、実行 をクリックします。

      説明

      • デフォルトでは、ActionTrail は過去 7 日間のイベントを照会します。

      • 右側のイベントアラートをクリックして、現在の照会に対してアラートを設定できます。詳細については、「カスタムアラートルールの作成」をご参照ください。

      • システムテンプレート内のデフォルトの SQL ステートメントを変更し、保存をクリックしてカスタムテンプレートとして保存できます。

    6. 照会結果を確認します。

      • 生ログ

        未加工のログタブで、確認したいイベントを見つけ、操作列の詳細を表示をクリックすると、基本情報と JSON 形式の詳細を確認できます。

      • ヒストグラム

        クエリヒストグラムタブには、イベントのヒストグラムが表示されます。

    関連トピック