Visualizar detalhes de eventos dos últimos 90 dias - ActionTrail: Central de Documentação do Alibaba Cloud

O ActionTrail ajuda você a monitorar e registrar atividades na sua conta Alibaba Cloud. Use o ActionTrail para auditar operações realizadas nos últimos 90 dias e garantir que o uso dos service em cloud atenda aos seus requisitos de conformidade e padrões de segurança. Por exemplo, identifique qual usuário RAM executou determinada operação e em que momento. Este tópico usa um nat gateway como exemplo para demonstrar como consultar detalhes de eventos no ActionTrail.

Contexto

Um gerente de equipe usa uma conta Alibaba Cloud para crie vários usuários RAM para os membros da equipe e concede permissões de administrador a eles.

Suponha que, ao tentar associar um EIP a um nat gateway, você descubra que outro EIP já está associado. Como todos os membros da equipe têm permissões de administrador, qualquer um deles pode ter realizado essa operação. Use o ActionTrail para consultar eventos do nat gateway e identificar o operador responsável.

Procedimento

Faça login no console do ActionTrail.
No painel de navegação à esquerda, escolha Events > Event Query.
Na barra de navegação superior, selecione a região desejada.
Na lista suspensa, selecione Resource Name.

Nota
Você também pode filtrar eventos por outras condições, como Read/Write Type, Operator, Service Name, Event Name, Resource Type, AccessKey ID, Sensitive Operation ou Event ID.
Insira o ID da instância do elastic IP address e clique em no ícone de pesquisa .
Na coluna Actions do evento desejado, clique em View Event Details para visualize os detalhes do evento e o código de registro.

Nota
O painel de detalhes do evento mostra que um usuário RAM associou um elastic IP address ao nat gateway às 13:42:03 de 20 de dezembro de 2023. Isso confirma qual usuário RAM realizou a operação.

Nota

O console do ActionTrail não permite filtrar eventos por endereço IP de origem na página Event Query. Event Source IP é apenas uma coluna de resultados. A dica de ferramenta do cabeçalho indica "the source IP address from which the event was initiated", mas esse campo não serve como condição de filtro.

Para recuperar registros de operação por endereço IP de origem, configure a entrega de eventos: crie um trail que envie eventos de gerenciamento ao Simple Log Service (SLS) e consulte o campo event.sourceIpAddress com uma instrução SQL. Exemplo:

* AND "event.eventCategory": Management AND "event.sourceIpAddress": "192.0.2.1" | select from_unixtime(__time__) as eventTime, "event.eventName" as eventName, "event.serviceName" as serviceName, "event.sourceIpAddress" as sourceIpAddress, "event.userIdentity.userName" as userName

Para mais exemplos de instruções de consulta, consulte How do I query ActionTrail events in SLS using SQL?.

Tópicos relacionados

Para obter mais informações sobre os campos em um registro de evento de gerenciamento, consulte Management event structure.