Consultas personalizadas no ActionTrail - ActionTrail: Central de Documentação do Alibaba Cloud

Pré-requisitos

Um trail está criado e entrega eventos ao Simple Log Service (SLS). Criar um trail de conta única ou Criar um trail de múltiplas contas.

Casos de uso

As consultas personalizadas oferecem dois modos: consulta simples para pesquisa visual e consulta SQL para pesquisa flexível usando Structured Query Language (SQL).

Modo	Método de consulta	Descrição	Exemplo
Consulta simples	Consulta de condição única	Consulte eventos por condições de filtro: nome do serviço, região, nome do evento, tipo de conta, tipo de leitura/gravação, nome do recurso, tipo de recurso ou operador.	Para consultar todos os eventos do Key Management Service (KMS) em um intervalo de tempo especificado, defina Service Name como Key Management Service (KMS).
Consulta simples	Consulta de múltiplas condições	Consulte eventos em múltiplos serviços ou regiões.	Para verificar eventos do KMS nas regiões China (Hangzhou) e China (Shanghai), defina Service Name como Key Management Service (KMS) e Alibaba Cloud Region como China (Hangzhou) e China (Shanghai).
Consulta SQL	Consulta por palavra-chave	Insira termos de pesquisa para localizar eventos.	Para localizar todos os eventos de gravação, insira `* AND event.eventRW: Write` na caixa de pesquisa.
	Consulta baseada em condições	Filtre por operador (Quem), operação (O quê), recurso (Qual), localização (Onde) ou outros atributos.	Para filtrar todos os eventos do KMS em um intervalo de tempo especificado, insira `* AND event.serviceName: KMS` na caixa de pesquisa.
	Consulta de múltiplas condições	Combine múltiplas condições abrangendo operador (Quem), operação (O quê), recurso (Qual), localização (Onde) e outros atributos.	Para pesquisar eventos gerados pelo usuário Alex no ActionTrail, insira `* AND event.serviceName: ActionTrail AND event.userIdentity.userName: Alex` na caixa de pesquisa.
	Consulta de exclusão	Use o operador NOT para excluir condições específicas da consulta.	Para pesquisar eventos de usuários diferentes de Alex no ActionTrail, insira `* AND event.serviceName: ActionTrail NOT event.userIdentity.userName: Alex` na caixa de pesquisa.

Procedimento

Acesse o console do ActionTrail.
No painel de navegação à esquerda, escolha Events > Advanced Event Query.
Na seção Query Range, selecione um trail na lista suspensa Trail.
Na guia Default da página Custom Template, defina as condições de consulta.
- Consulta simples
  
  Em Simple Mode, defina as condições de consulta conforme solicitado.
- Consulta SQL
  
  Desative o switch Simple Mode e insira sua consulta SQL.
  Nota
  - Sintaxe SQL e exemplos de consulta: Sintaxe SQL para Advanced Event Query.
  - Para começar com uma consulta simples, defina condições no modo Simple Mode e desative o switch Simple Mode. O sistema converte automaticamente as condições definidas no modo Simple Mode em uma instrução SQL personalizável.
Especifique um intervalo de tempo e clique em Run.
Nota
- Por padrão, o ActionTrail consulta eventos dos últimos sete dias.
- Clique em Event Alerting à direita para configurar um alerta para a consulta atual. Criar uma regra de alerta personalizada.
- Modifique a instrução SQL padrão no modelo do sistema e clique em Save para salvá-la como um modelo personalizado.
Visualize os resultados da consulta.
- Log bruto
  
  Na guia Raw Logs, localize o evento de destino e clique em View Details na coluna Actions para visualizar informações básicas e detalhes em JSON.
- Histograma
  
  A guia Query Histogram exibe um histograma dos eventos.

Tópicos relacionados

Use modelos do sistema para consultar eventos rapidamente: Consultar eventos relacionados a uma conta do Alibaba Cloud ou AccessKey, Consultar eventos relacionados às práticas recomendadas de segurança de rede e dados e Consultar eventos de ciclo de vida de recursos.
Consulte eventos com mais de 90 dias usando outros métodos: Consultar eventos no console do SLS ou OSS.