CreateTrail - ActionTrail: Central de Documentação do Alibaba Cloud

Cria uma trilha para entregar eventos a um destino para armazenamento e análise de longo prazo, como um bucket do Object Storage Service (OSS), um Logstore do Simple Log Service (SLS) ou um projeto do MaxCompute.

Descrição da operação

Nota

Por padrão, uma trilha criada por meio desta API está no estado desativado. Você deve chamar a operação StartLogging para ativar a trilha. Após a ativação da trilha, o ActionTrail começa a entregar eventos ao destino especificado.

Pré-requisitos

Antes de criar uma trilha, você deve ter pelo menos um dos seguintes recursos configurados como destino:

OSS

Você deve ativar o OSS e criar um bucket.
SLS

Você deve ativar o SLS e criar um Logstore.

Nota
Ao criar uma trilha com destino SLS, o ActionTrail cria automaticamente um Logstore chamado actiontrail_<trail_name> no projeto especificado. Para garantir a integridade dos seus dados de auditoria, este Logstore aceita apenas eventos entregues pelo ActionTrail.
MaxCompute

Você deve ativar o MaxCompute.

Nota
Ao criar uma trilha com destino MaxCompute, o ActionTrail cria automaticamente um projeto chamado actiontrail_<account_ID>. Para garantir a integridade dos seus dados de auditoria, este projeto aceita apenas eventos entregues pelo ActionTrail.

Notas de uso

Este exemplo mostra como criar uma trilha de conta única chamada trail-test que entrega eventos a um bucket OSS chamado audit-log.

Experimente agora

Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

Testar

Autorização RAM

A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.
API: A API que você pode chamar para executar a ação.
Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.
Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.
- Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.
- Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.
Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.
Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

Ação

Nível de acesso

Tipo de recurso

Chave de condição

Ação dependente

actiontrail:CreateTrail

create

*Trail

acs:actiontrail:{#regionId}:{#accountId}:trail/*

Nenhuma

Parâmetros da solicitação

Parâmetro	Tipo	Obrigatório	Descrição	Exemplo
Name	string	Sim	O nome da trilha. Nota Comprimento: 6 a 36 caracteres. Caracteres: Letras minúsculas, dígitos, hifens (-) e underscores (_). Deve começar com uma letra minúscula. Deve ser único dentro de uma conta Alibaba Cloud.	trail-test
OssBucketName	string	Não	O nome do bucket OSS para o qual o ActionTrail entrega eventos. Comprimento: 3 a 63 caracteres. Caracteres: Letras minúsculas, dígitos e hifens (-). Deve começar com uma letra minúscula ou um dígito. Nota Você deve especificar um destino para a trilha fornecendo pelo menos um dos seguintes parâmetros: `OssBucketName`, `SlsProjectArn` ou `MaxComputeProjectArn`.	audit-log
OssKeyPrefix	string	Não	O prefixo para os nomes dos arquivos de log que o ActionTrail entrega ao bucket OSS. Comprimento: 6 a 32 caracteres. Caracteres: Letras, dígitos, hifens (-), barras (/) e underscores (_). Deve começar com uma letra.	at-product-account-audit-B
OssWriteRoleArn	string	Não	O Alibaba Cloud Resource Name (ARN) da role do RAM que o ActionTrail assume para entregar eventos ao bucket OSS. Se você não especificar este parâmetro, o ActionTrail cria uma role vinculada ao serviço para entregar eventos. Para mais informações, consulte Role vinculada ao serviço do ActionTrail. Se você especificar uma role, ela deve ser uma role do RAM criada por você. Esta role deve ter uma política de confiança que permita ao serviço ActionTrail (actiontrail.aliyuncs.com) assumi-la. A política do RAM da role deve conceder permissões para gravar no bucket OSS especificado. Para mais informações sobre entrega entre contas, consulte Entregar eventos de várias contas Alibaba Cloud para a mesma conta.	acs:ram::15127787691****:role/aliyunserviceroleforactiontrail
SlsProjectArn	string	Não	O ARN do projeto SLS para o qual o ActionTrail entrega eventos. Nota Você deve especificar um destino para a trilha fornecendo pelo menos um dos seguintes parâmetros: `OssBucketName`, `SlsProjectArn` ou `MaxComputeProjectArn`.	acs:log:cn-shanghai:151266687691****:project/test-project
SlsWriteRoleArn	string	Não	O ARN da role do RAM que o ActionTrail assume para entregar eventos ao projeto SLS. Se este parâmetro não for especificado, o ActionTrail cria uma role vinculada ao serviço para entregar eventos. Para mais informações, consulte Role vinculada ao serviço do ActionTrail. Se você especificar uma role, ela deve ser uma role do RAM criada por você. Esta role deve ter uma política de confiança que permita ao serviço ActionTrail (actiontrail.aliyuncs.com) assumi-la. A política de permissão da role deve conceder permissões para gravar no projeto SLS especificado. Para mais informações sobre entrega entre contas, consulte Entregar eventos de várias contas Alibaba Cloud para a mesma conta.	acs:ram::151266687691****:role/aliyunserviceroleforactiontrail
EventRW	string	Não	Especifica o tipo de leitura/gravação dos eventos que a trilha entrega. Valores válidos: Write: Eventos de gravação. Read: Eventos de leitura. All (padrão): Todos os eventos de leitura e gravação.	Write
TrailRegion	string	Não	A região na qual a trilha é criada. Por padrão, uma trilha é criada em todas as regiões e este parâmetro é definido como `All`. Para criar uma trilha em uma região específica, forneça o ID da região. Para mais informações sobre regiões, chame a operação DescribeRegions.	All
IsOrganizationTrail	boolean	Não	Especifica se a trilha é uma trilha de várias contas. Valores válidos: true false (padrão) Para criar uma trilha para uma organização, defina este parâmetro como `true`. A trilha coletará eventos de todas as contas membro da organização.	false
MaxComputeProjectArn	string	Não	O ARN do projeto MaxCompute para o qual o ActionTrail entrega eventos. Nota Você deve especificar um destino para a trilha fornecendo pelo menos um dos seguintes parâmetros: `OssBucketName`, `SlsProjectArn` ou `MaxComputeProjectArn`. Nota O nome do projeto no ARN deve começar com `actiontrail_`.	acs:odps:cn-hangzhou:15127787691**:project/actiontrail_**
MaxComputeWriteRoleArn	string	Não	O ARN da role do RAM que o ActionTrail assume para entregar eventos ao projeto MaxCompute. Se este parâmetro não for especificado, o ActionTrail cria uma role vinculada ao serviço para entregar eventos. Para mais informações, consulte Role vinculada ao serviço do ActionTrail. Se você especificar uma role, ela deve ser uma role do RAM criada por você. Esta role deve ter uma política de confiança que permita ao serviço ActionTrail (`actiontrail.aliyuncs.com`) assumi-la. A política de permissão da role deve conceder permissões para gravar no projeto MaxCompute especificado. Para mais informações sobre entrega entre contas, consulte Entregar eventos de várias contas Alibaba Cloud para a mesma conta.	acs:ram::15127787691****:role/aliyunserviceroleforactiontrail

Para mais informações, consulte Parâmetros comuns.

Elementos de resposta

Elemento	Tipo	Descrição	Exemplo
	object
EventRW	string	O tipo de leitura/gravação dos eventos que a trilha entrega.	Write
HomeRegion	string	A região de origem da trilha.	cn-hangzhou
MaxComputeProjectArn	string	O ARN do projeto MaxCompute para o qual a trilha entrega eventos.	acs:odps:cn-hangzhou:151266687691**:project/actiontrail_**
MaxComputeWriteRoleArn	string	O ARN da role do RAM que o ActionTrail assume para entregar eventos ao projeto MaxCompute.	acs:ram::151266687691****:role/aliyunserviceroleforactiontrail
Name	string	O nome da trilha.	trail-test
OssBucketName	string	O nome do bucket OSS de destino.	audit-log
OssKeyPrefix	string	O prefixo para os nomes dos arquivos de log no bucket OSS.	at-product-account-audit-B
OssWriteRoleArn	string	O ARN da role do RAM que o ActionTrail assume para entregar eventos ao bucket OSS.	acs:ram::151266687691****:role/aliyunserviceroleforactiontrail
RequestId	string	O ID da solicitação.	442DDADF-DA58-4029-8E8B-82C73E9A7A70
SlsProjectArn	string	O ARN do projeto SLS para o qual a trilha entrega eventos.	acs:log:cn-hangzhou:151266687691****:project/test-project
SlsWriteRoleArn	string	O ARN da role do RAM que o ActionTrail assume para entregar eventos ao projeto SLS.	acs:ram::151266687691****:role/aliyunserviceroleforactiontrail
TrailRegion	string	A região na qual a trilha é criada. O valor `All` indica que a trilha processa eventos de todas as regiões.	All

Exemplos

Resposta de sucesso

JSON formato

{
  "EventRW": "Write",
  "HomeRegion": "cn-hangzhou",
  "MaxComputeProjectArn": "acs:odps:cn-hangzhou:151266687691****:project/actiontrail_****",
  "MaxComputeWriteRoleArn": "acs:ram::151266687691****:role/aliyunserviceroleforactiontrail",
  "Name": "trail-test",
  "OssBucketName": "audit-log",
  "OssKeyPrefix": "at-product-account-audit-B",
  "OssWriteRoleArn": "acs:ram::151266687691****:role/aliyunserviceroleforactiontrail",
  "RequestId": "442DDADF-DA58-4029-8E8B-82C73E9A7A70",
  "SlsProjectArn": "acs:log:cn-hangzhou:151266687691****:project/test-project",
  "SlsWriteRoleArn": "acs:ram::151266687691****:role/aliyunserviceroleforactiontrail",
  "TrailRegion": "All"
}

Códigos de erro

Código de status HTTP	Código de erro	Mensagem de erro	Descrição
400	InvalidDeliveryConfigurationException	You must specify at least one Log Service project or OSS bucket for a Trail.
400	InvalidPrefixException	The specified OSS bucket prefix is invalid.	The specified OSS bucket prefix is not valid.
400	InvalidQueryParameter	The specified query parameter is invalid.	The specified query parameter is not valid.
400	InvalidTrailNameException	The specified Trail name is invalid.	The specified Trail name is not valid.
400	RepeatOssBucket	The specified OSS bucket is already in use. We recommend that you modify the existing Trail or specify another bucket.
400	SlsProjectDoesNotExistException	The specified Log Service project does not exist.
400	TrailAlreadyExistsException	The specified Trail name already exists.	The specified Trail name already exists,if you want to create a new Trail,please use another Trail name.
400	MaximumNumberOfOrganizationTrailExceeded	Your account can create only one organization trail.
400	NotAllowCreateOrganizationTrail	Your account does not allow you to create organization trail. Submit a ticket to get customer support.
403	InsufficientBucketPolicyException	Access to the specified OSS bucket was denied.
403	InsufficientSlsPolicyException	Access to the specified Log Service project was denied.	Access SLS Project denied.
403	MaximumNumberOfTrailsExceededException	The number of Trails in the same region exceeds the upper limit (5).	The number of Trail in same region has exceeded the limit 5
404	BucketDoesNotExistException	The specified OSS bucket does not exist.

Consulte Códigos de Erro para uma lista completa.

Notas de versão

Consulte Notas de Versão para uma lista completa.