ActionTrail:Criar um rastro de múltiplas contas

Pré-requisitos

Habilite um diretório de recursos. Enable a resource directory.

Informações básicas

Procedimento

1. Faça login no console do ActionTrail com uma conta de administrador delegado ou a conta de gerenciamento.

   Para configurar uma conta de administrador delegado: Gerencie uma conta de administrador delegado.

2. No painel de navegação à esquerda, clique em Trail.

3. Na barra de navegação superior, selecione a região onde deseja criar o rastro de múltiplas contas.

   Nota

   Esta região se torna a região principal do rastro de múltiplas contas.

4. Na página Trails, clique em Create Trail. A página Quick Create Trail é exibida por padrão. Para configurações avançadas, clique em Create Trail na parte superior da página.

5. Na página Quick Create Trail ou Create Trail, configure os parâmetros do rastro.

   • Basic Information

     Parâmetro	Descrição
     Trail Name	Nome do rastro. Também serve como nome do Logstore do SLS. Nota O nome do rastro deve ser único.
     Trail Event Type	Eventos entregues pelo rastro. Valores válidos: Management Event: Selecionado por padrão. Escolha um tipo de evento: All Events: Todos os eventos de leitura e gravação. Para auditoria completa, selecione All Events. Write event: Eventos que criam, excluem ou modificam recursos cloud, como CreateInstance. Selecione Write event para focar em eventos de alteração de recursos e realizar análises personalizadas. Read: Eventos que leem informações de recursos sem modificar configurações, como DescribeInstances. Eventos de leitura geram alto volume de dados. Para auditoria completa, entregue eventos de leitura para rastrear AccessKey e acesso a recursos. Insights events: Quando selecionado, o tipo de evento de gerenciamento é definido como All. O ActionTrail analisa eventos de gerenciamento para identificar chamadas de API arriscadas, erros de API, solicitações de IP anormais, uso de AccessKey, alterações de permissão, alterações de senha e ações evasivas. Overview of Insights events. Data events: Eventos de leitura e gravação de dados em produtos cloud. Selecione uma das seguintes opções: Disable data events: Eventos de dados não são registrados. All resources: Todos os eventos de dados são registrados. Specified resources: Apenas eventos de dados dos recursos especificados são registrados. Nota Rastros criados no console entregam eventos de todas as regiões por padrão. Para limitar a regiões específicas, chame a operação de API CreateTrail e defina o parâmetro TrailRegion.
     Apply Trail to All Members	Escopo do rastro. Valores válidos: Yes: Coleta eventos da conta de gerenciamento e de todos os membros e os entrega a um destino unificado. Recomendado para cobertura completa de eventos. No: Cria um rastro de conta única que entrega apenas eventos da conta atual. Nota Esta opção é irreversível. Para alterar a configuração Apply Trail to All Members, exclua o rastro e crie um novo. Após a criação, Multi-account Trail aparece na coluna Trail Type na página Trails.

   • Entrega de eventos

     Entregue eventos ao SLS, OSS, MaxCompute ou aos três serviços. Para comparar opções de armazenamento: Deliver events to specified Alibaba Cloud services.

     Nota

     Um rastro de múltiplas contas entrega apenas novos eventos gerados após sua criação. Para entregar eventos históricos dos últimos 90 dias, crie uma tarefa de preenchimento retroativo de dados. Create a data backfill task.

     • Selecione Delivery to Log Service

       • Selecione Delivery to Current Account e configure os seguintes parâmetros.

         Parâmetro	Descrição
         Project	Selecione um Project do SLS de destino. New Log Service Project Existing Log Service Project
         Logstore Region	Região onde o Project está localizado.
         Project Name	Nome do Project no SLS. Nota Os nomes de Project devem ser globalmente únicos em todas as contas Alibaba Cloud. Se selecionar New Log Service Project, insira um nome para o novo Project. Se selecionar Existing Log Service Project, escolha um Project existente na lista suspensa. Para criar um Project no SLS: Collect and analyze ECS text logs by using LoongCollector. Nota Após a entrega bem-sucedida, o ActionTrail cria automaticamente um Logstore chamado actiontrail_{trail_name}. Esse Logstore vem configurado com definições ideais para auditoria, incluindo índices e painéis para consultas. O ActionTrail desativa permissões de gravação para usuários a fim de garantir a precisão dos dados. Não é necessário criar o Logstore antecipadamente.

       • Selecione Delivery to Another Account e configure o Log Service Project ARN e o RAM Role ARN of Destination Account.

         Para entregar eventos a outra conta, crie uma função RAM na conta de destino, conceda as permissões necessárias ao ActionTrail e crie um Project antecipadamente. Deliver events from multiple members in a resource directory to a single account.

     • Selecione Delivery to OSS

       • Selecione Delivery to Current Account e configure os seguintes parâmetros.

         Parâmetro	Descrição
         OSS bucket	Selecione um bucket do OSS de destino. Create a new bucket Select an existing bucket
         Bucket name	Nome do bucket do OSS. Deve ser único dentro da conta. Ao selecionar Create a new bucket, insira um nome para o bucket. Ao selecionar Select an existing bucket, escolha um bucket no OSS. Para criar um bucket no OSS: Create buckets. Importante Se você criar um bucket em uma região na China continental, deverá enviar suas informações na página Real-name Registration.
         Log File Prefix	Prefixo para arquivos de log de eventos. Auxilia na organização e localização de eventos.
         Server Encryption	Define se os arquivos de log no bucket serão criptografados. Obrigatório ao selecionar Create New Bucket. Valores válidos: Fully Managed by OSS: Criptografa dados com chaves gerenciadas pelo OSS. Cada objeto recebe uma chave exclusiva, protegida por uma chave mestra rotacionada regularmente. KMS: Criptografa dados com o Key Management Service (KMS). É necessário ativar o KMS primeiro. Purchase and enable a KMS instance. Disable: A criptografia no lado do servidor não está ativada. Detalhes sobre criptografia no lado do servidor do OSS: Server-side encryption.
         Enable Retention Policy	Uma política de retenção armazena dados em formato não apagável e à prova de violações por um período especificado. Valores válidos: Disable (Padrão) Enable

       • Selecione Delivery to Another Account e defina o RAM Role ARN of OSS Bucket, Bucket Name e Log File Prefix.

         Para entregar eventos a outra conta, crie uma função RAM na conta de destino, conceda as permissões necessárias ao ActionTrail e crie um bucket do OSS antecipadamente. Deliver events from multiple members in a resource directory to a single account.

     • Selecione Deliver Events to MaxCompute

       • Selecione Delivery to Current Account e configure os seguintes parâmetros.

         Parâmetro	Descrição
         MaxCompute Region	Região onde o projeto MaxCompute de destino está localizado. Nota O ActionTrail entrega logs de auditoria para um projeto chamado actiontrail_<Alibaba_Cloud_Account_ID> na região do MaxCompute especificada. Se já existir um projeto com este nome em sua conta, o ActionTrail entregará os logs ao projeto existente.
         Project Quota	A quota para o MaxCompute. Nota Ao criar um rastro para entregar eventos ao MaxCompute pela primeira vez, selecione uma cota. Se não houver cotas disponíveis na região atual, selecione uma região diferente do MaxCompute.

       • Selecione Delivery to Another Account e configure o Project ARN e o RAM Role ARN of MaxCompute.

         Para entregar eventos a outra conta, crie uma função RAM na conta de destino, conceda as permissões necessárias ao ActionTrail e crie um projeto do MaxCompute antecipadamente. Deliver events from multiple Alibaba Cloud accounts to a single account.

6. Clique em Confirm.

Resultados

Após a criação do rastro, os eventos são salvos no formato JSON no Logstore do SLS, bucket do OSS ou tabela do MaxCompute especificados. Visualize os eventos em cada serviço:

• Simple Log Service (SLS): O ActionTrail cria automaticamente um Logstore chamado actiontrail_{trail_name}. Na página Trails, passe o mouse sobre o rastro na coluna Storage Service e clique no nome do Logstore do SLS.

• OSS: Eventos globais são entregues junto com eventos da região principal. Eventos não globais são armazenados em diretórios específicos da região. Utilize o EMR ou um serviço de análise de logs de terceiros para analisar os eventos.

  Alternativamente, na página Trails, passe o mouse sobre o rastro na coluna Storage Service, clique no nome do bucket do OSS e escolha Object Management > Objects. Para mais informações sobre caminhos de armazenamento do OSS, consulte What is the storage path of an event that is delivered to an OSS bucket?.

• MaxCompute: O ActionTrail cria uma tabela chamada actiontrail_<trail_name>. Na página Trails, passe o mouse sobre a entrada da coluna Storage Service e clique no nome do projeto MaxCompute. Consulte dados na tabela actiontrail_<trail_name> conectando-se ao connecting with DataWorks.

Tópicos relacionados

• Consulte eventos de membros no SLS ou OSS após criar um rastro. Query events in the SLS or OSS console.

• Para rastros que entregam eventos ao SLS, utilize o recurso de consulta avançada. Perform custom event queries.