ActionTrail:Baixar eventos do ActionTrail

Contexto

Este tópico usa uma trilha de conta única como exemplo para explicar como baixar eventos do ActionTrail do Log Service (SLS). O processo envolve as seguintes etapas:

1. Crie uma trilha no console do ActionTrail para entregar eventos ao SLS. A trilha coleta continuamente novos eventos de auditoria e os entrega ao logstore especificado.

2. (Opcional) Crie uma tarefa de backfill de dados no console do ActionTrail. Essa tarefa única entrega eventos históricos de auditoria dos últimos 90 dias ao logstore definido na trilha.

3. Baixe os eventos no console do Log Service. Consulte eventos específicos e baixe-os do SLS usando vários métodos.

   Por exemplo, execute a instrução SQL a seguir para consultar resultados agregados de todos os eventos de gerenciamento que são operações de escrita.

   Nota

   Se você definir um intervalo de tempo longo para a consulta, recomendamos adicionar LIMIT N à instrução para retornar apenas N eventos. Por exemplo, definir LIMIT 20 retorna 20 eventos.

   * AND "event.eventCategory": Management AND "event.eventRW": Write | SELECT"event.serviceName"AS servieName,"event.eventName"AS eventName,"event.eventRw"AS eventRw,"event.sourceIpAddress"AS sourceIpAddress,"event.resourceName"AS resourceName,"event.resourceType"AS resourceType,"event.userIdentity.userName"AS userName,"event.userIdentity.type"AS userType,"event.userIdentity.accessKeyId"AS accessKeyId,"event.acsRegion"AS eventRegion,COUNT("event.eventId")AS n, date_trunc('hour', __time__) AS time GROUP BY time, servieName, eventName, eventRw, sourceIpAddress, resourceType, resourceName, accessKeyId, userType, userName, eventRegion ORDER BY time DESC LIMIT 20

   Nos resultados da consulta, 'n' representa a contagem de eventos em cada grupo.

Etapa 1: Criar uma trilha e entregar ao SLS

1. Faça login no console do ActionTrail.

2. No painel de navegação à esquerda, clique em Trails.

3. Na barra de navegação superior, selecione a região da trilha.

   Nota

   Essa região se torna a região principal da trilha de conta única.

4. Na página Trails, clique em Create Trail.

5. Na página Create Trail, configure a trilha.

   • Na seção Basic Information, defina o nome da trilha e o tipo de evento de gerenciamento.

     Nota

     Por padrão, a trilha se aplica a todas as regiões. Recomendamos definir Management Event como All Events para capturar todos os eventos de todas as regiões. Para obter mais informações sobre os parâmetros, consulte Criar uma trilha de conta única.

   • Na seção Event Delivery, configure a entrega de eventos ao SLS na conta atual.

     Parâmetro	Descrição
     Logstore Region	Região do projeto do SLS.
     Project Name	Nome do projeto do SLS. Nota Os nomes dos projetos devem ser globalmente exclusivos no Alibaba Cloud. Se você selecionar New Log Service Project, crie um projeto e especifique seu nome. Se você selecionar Existing Log Service Project, escolha um projeto existente na lista suspensa. Para criar um projeto do SLS, siga Coletar e analisar logs de texto do ECS usando o LoongCollector.

6. Clique em Confirm.

(Opcional) Etapa 2: Criar uma tarefa de backfill de dados

Uma trilha entrega apenas eventos gerados após sua criação. Se você precisar do histórico completo de eventos de 90 dias, crie uma tarefa de backfill de dados para entregar eventos ocorridos antes da criação da trilha.

1. No painel de navegação à esquerda, clique em Backfill.

2. Na barra de navegação superior, selecione a região da tarefa de backfill de dados.

   Nota

   Essa região deve corresponder à região principal da trilha.

3. Na página Backfill, clique em Create Task.

4. Na página Create Task, selecione a trilha.

   Nota

   Após selecionar uma trilha, o sistema preenche automaticamente os campos de região, projeto e Logstore.

5. Clique em Confirm.

   Após a criação da tarefa, verifique o Delivery Status na página Backfill para confirmar a entrega dos eventos.

Etapa 3: Baixar eventos no console do SLS

Consulte eventos dentro de um intervalo de tempo específico no console do Log Service e baixe-os. Se a consulta retornar vários eventos, o SLS os baixará em um único arquivo.

1. No console do ActionTrail, acesse o logstore associado à sua trilha.

   1. No painel de navegação à esquerda, clique em Trails.

   2. Na barra de navegação superior, selecione a região principal da trilha.

   3. Na página Trails, localize a trilha desejada, passe o mouse sobre SLS ou SLS & OSS na coluna Storage Service e clique no nome do logstore do SLS.

2. No console do Log Service, clique em 15 Minutes (Relative) e defina um intervalo de tempo para a consulta, como Today.

3. Insira uma instrução de consulta e clique em Search & Analyze.

   Para obter informações sobre como construir uma instrução de consulta, consulte Usar SQL para consultar eventos do ActionTrail no Log Service.

4. Baixe os eventos.

   • Método 1: Baixe estatísticas de eventos agrupadas por campo.

     Na aba Chart, clique no ícone e, em seguida, clique em Download Log.

   • Método 2: Baixe os logs brutos dos eventos.

     Na aba Raw Logs, clique no ícone .

5. Na caixa de diálogo Download Log, selecione um método de download e clique em Confirm.

   • Download: Baixa os logs exibidos na página atual para um arquivo CSV local.

   • Download with Cloud Shell: Siga as instruções na tela para baixar todos os logs.

     Nota

     O Cloud Shell está localizado atualmente na região China (Shanghai). Se o seu logstore estiver em uma região diferente, o download de logs incorre em cobranças de tráfego de internet. Para obter mais informações sobre preços, consulte Preços.

   • Download with CLI: Siga as instruções na tela para baixar todos os logs.

     Nota

     • Ao baixar logs com a ferramenta de linha de comando, substitua as informações de AccessKey no comando. Para obter o par de AccessKey da sua conta Alibaba Cloud, faça login no console de Gerenciamento de Informações do Usuário. Se você usar um usuário RAM para baixar os logs, acesse o console do RAM para criar um usuário RAM e obter seu par de AccessKey.

     • Se a máquina que executa a ferramenta de linha de comando estiver na mesma região do projeto, clique em Switch to Internal Endpoint. Isso proporciona downloads mais rápidos e evita cobranças de tráfego de internet.

Tópicos relacionados

Para obter mais informações sobre como baixar logs, consulte Baixar logs.