デフォルトでは、ActionTrail は各 Alibaba Cloud アカウントの過去 90 日間の管理イベントのみを記録します。このトピックでは、ActionTrail コンソールで管理イベントをクエリする方法について説明します。
制限事項
ActionTrail コンソールでは、単一アカウントの証跡によって配信される管理イベントのみをクエリできます。クエリは 1 秒あたり最大 2 回実行できます。マルチアカウントの証跡によって配信された管理イベントは、ActionTrail コンソールでクエリすることはできません。このようなイベントをクエリするには、目的の Object Storage Service (OSS) バケットまたは Simple Log Service Logstore に移動してください。詳細については、「マルチアカウントの証跡によって配信されたイベントのクエリ」をご参照ください。
イベントクエリ機能では、現在のリージョンで過去 90 日間に生成された管理イベントのみをクエリできます。
現在のリージョンで 90 日以上前に生成された管理イベントをクエリするには、単一アカウントの証跡を作成して管理イベントを OSS または Simple Log Service に配信する必要があります。そうしない場合、90 日以上前に生成された管理イベントはクエリできません。詳細については、「単一アカウントの証跡の作成」をご参照ください。
90 日以上前に複数のリージョンで生成された管理イベントをクエリする場合、または複数の検索条件で管理イベントをフィルタリングする場合は、高度なイベントクエリ機能を使用できます。詳細については、「カスタムイベントクエリ」をご参照ください。
Alibaba Cloud アカウント内で管理イベントが生成された後、ActionTrail コンソールでイベントがクエリ可能になるまで 10 分間待つ必要があります。
手順
ActionTrail コンソールにログインします。
左側のナビゲーションペインで、 をクリックします。
上部メニューで、ドロップダウンリストからクエリするイベントのリージョンを選択します。
イベント詳細のクエリ ページで、クエリ条件を入力し、期間を指定してから、
アイコンをクリックします。説明ご案内：
イベントのクエリでは、次のクエリ条件を設定できます：サービス名、イベント名、操作ユーザー、読み取り/書き込みタイプ、イベントタイプ、リソースタイプ、リソース名、AccessKey ID、送信元 IP アドレス、機密操作、イベントID。
グローバルイベントは [シンガポール] リージョンでのみクエリできます。
たとえば、特定の Resource Access Management (RAM) ユーザーを作成したユーザーを調べるには、[イベント名] フィルターで
CreateUserを選択して、すべての RAM ユーザー作成イベントをクエリします。CreateUserはグローバルイベントであるため、 シンガポール リージョンでクエリする必要があります。クリックしてイベント詳細を表示し、イベントレコードのuserIdentity.userNameフィールドを確認して作成者を特定します。たとえば、Virtual Private Cloud (VPC) を作成したアカウントを調べるには、次の手順を実行します：
イベントクエリページで、[サービス名] を Virtual Private Cloud (VPC) に設定し、[読み取り/書き込みタイプ] を書き込みに設定します。
イベントリストで
CreateVpcイベントを見つけ、クリックしてイベント詳細を表示します。イベント詳細で、
userIdentityフィールドを確認してリソースを作成したアカウントを特定します：accountId：操作ユーザーの Alibaba Cloud アカウントのID。type：アイデンティティタイプ。たとえば、値がroot-accountの場合は Alibaba Cloud アカウントが操作を実行したことを示し、値がram-userの場合は RAM ユーザーが操作を実行したことを示します。その他の値には、assumed-role、system、cloud-ssouser、alibaba-cloud-account、apsara-cloud-accountがあります。userName：操作ユーザーのユーザー名。principalId：操作ユーザーの一意のID。
説明CreateVpcはリージョン固有のイベントです。イベントは、VPC が作成されたリージョンでのみクエリできます。グローバルイベントのように特定のリージョンに切り替える必要はありません。目的のイベントを見つけ、イベントの詳細表示 列の [イベント詳細の表示] をクリックして、イベント詳細とイベントレコード (イベントの未加工のJSON) を表示します。
説明イベントフィールドの詳細については、「管理イベントの構造」をご参照ください。
userIdentity.type、userIdentity.userName、userIdentity.accountId、userIdentity.principalIdなど、操作ユーザーの特定に使用するuserIdentityフィールドの説明については、前述のCreateVpcの例にあるuserIdentityフィールドリストをご参照ください。
ActionTrail イベントをクエリするには、AliyunActionTrailFullAccess 権限が必要です。この権限がない場合は、Alibaba Cloud アカウントの管理者に連絡して承認を依頼してください。
次のステップ
ActionTrail コンソールでは、現在のページに表示されている管理イベントをダウンロードできます。管理イベントを一括でエクスポートするには、イベントを Simple Log Service に配信する証跡を作成し、Simple Log Service コンソールからダウンロードします。詳細については、「ActionTrailイベントのダウンロード」をご参照ください。