Realtime Compute for Apache Flink:Visualize eventos de auditoria

Informações de fundo

O ActionTrail é um service que monitora e registra as ações da sua conta Alibaba Cloud. Essas ações incluem o seu acesso e o uso de services em cloud por meio do Alibaba Cloud Management Console, APIs e SDKs. O ActionTrail registra essas operações como eventos. Baixe esses eventos e entregá-los a Logstores do Simple Log Service ou buckets do Object Storage Service (OSS). Em seguida, é possível realizar análises de comportamento, análises de segurança, rastreamento de alterações de recursos e auditoria de conformidade com base nesses eventos. Para obter mais informações sobre o ActionTrail, consulte ActionTrail.

O Flink totalmente gerenciado está integrado ao ActionTrail. Visualize gratuitamente os eventos de operação de recursos do Realtime Compute for Apache Flink e informações relacionadas no console do ActionTrail.

Limites

• No console do ActionTrail, você pode consultar apenas os eventos de gerenciamento entregues por trilhas de conta única. É possível realizar no máximo duas consultas por segundo. Não é possível consultar os eventos de gerenciamento entregues por trilhas de várias contas no console do ActionTrail. Para consultar esses eventos, acesse o bucket do Object Storage Service (OSS) ou o Logstore do Simple Log Service necessário. Para obter mais informações, consulte Query events delivered by multi-account trails.

• Você pode usar o recurso de consulta de eventos para consultar apenas os eventos de gerenciamento gerados na região atual nos últimos 90 dias.

  • Para consultar os eventos de gerenciamento gerados na região atual há mais de 90 dias, crie uma trilha de conta única para entregar os eventos de gerenciamento ao OSS ou ao Simple Log Service. Caso contrário, não será possível consultar os eventos de gerenciamento gerados há mais de 90 dias. Para obter mais informações, consulte Crie uma trilha de conta única.

  • Para consultar os eventos de gerenciamento gerados em várias regiões há mais de 90 dias ou filtrar eventos de gerenciamento com várias condições de pesquisa, use o recurso avançado de consulta de eventos. Para obter mais informações, consulte Custom event queries.

• Após a geração de um evento de gerenciamento na sua conta Alibaba Cloud, aguarde 10 minutos antes de consultar o evento no console do ActionTrail.

Procedimento

1. Faça login no console do ActionTrail.

2. No painel de navegação à esquerda, clique em Events > Event Query.

3. Na barra de navegação superior, selecione a região do evento que deseja consultar na lista suspensa.

4. Na página Event Detail Query, insira as condições de consulta, especifique um intervalo de tempo e clique em ícone .

   Nota

   Nota:

   • Configure as seguintes condições para consultar eventos: Service Name, Event Name, Operator, Read/Write Type, Event Type, Resource Type, Resource Name, AccessKey ID, Source IP Address, Sensitive Action e Event ID.

   • Você pode consultar eventos globais apenas na região de Singapore.

   Por exemplo, para descobrir quem criou um usuário específico do Resource Access Management (RAM), selecione CreateUser no filtro Event Name para consultar todos os eventos de criação de usuários do RAM. CreateUser é um evento global, portanto, você deve consultá-lo na região de Singapore. Clique em Visualize Detalhes do evento e verifique o campo userIdentity.userName no registro do evento para identificar o criador.

   Por exemplo, para descobrir a conta que criou uma VPC, execute as seguintes etapas:

   1. Na página de consulta de eventos, defina Service Name como Virtual Private Cloud (VPC) e defina Read/Write Type como Write.

   2. Na lista de eventos, encontre o evento CreateVpc e clique em Visualize Detalhes do evento.

   3. Nos detalhes do evento, verifique o campo userIdentity para identificar a conta que criou o recurso:

      • accountId: o ID da conta Alibaba Cloud do operador.

      • type: o tipo de identidade. Por exemplo, o valor root-account indica que a operação foi realizada pela conta Alibaba Cloud, e o valor ram-user indica que a operação foi realizada por um usuário do RAM. Outros valores possíveis são assumed-role, system, cloud-ssouser, alibaba-cloud-account e apsara-cloud-account.

      • userName: o nome de usuário do operador.

      • principalId: o ID exclusivo do operador.

   Nota

   CreateVpc é um evento específico de região. Você pode consultar o evento apenas na região em que a VPC foi criada. Não é necessário mudar para uma região específica como faria para eventos globais.

5. Encontre o evento que deseja consultar e clique em View Details na coluna Operation para visualizar os detalhes do evento.

   Para obter mais informações sobre os eventos do Realtime Compute for Apache Flink, consulte Events of Realtime Compute for Apache Flink. O exemplo a seguir mostra um evento de exclua de uma implantação.

   {
     "eventId": "48deee2f-a38b-440b-aae4-168640afd6b8",
     "eventVersion": 1,
     "responseElements": {},
     "errorMessage": "",
     "eventSource": "RealtimeCompute",
     "requestParameters": {},
     "sourceIpAddress": "140.**.**.19",
     "userAgent": "RealtimeCompute",
     "eventRW": "Write",
     "eventType": "ApiCall",
     "referencedResources": {
       "ACS::RealtimeCompute::Deployment": [
         "47eb63e1-79b8-4192-9cd2-059ec5d7****",
         "guiyuan-kafka-writer"
       ]
     },
     "userIdentity": {
       "accessKeyId": "null",
       "sessionContext": {
         "attributes": {
           "mfaAuthenticated": "true",
           "userDisplayName": "25265763711933****",
           "user": "25265763711933****"
         }
       },
       "accountId": "1016954307248737",
       "principalId": "25265763711933****",
       "type": "ram-user",
       "userName": "25265763711933****"
     },
     "serviceName": "RealtimeCompute",
     "additionalEventData": {
       "namespace": "NamespaceRef(name=Optional[daily-instance-not-delete-default])"
     },
     "requestId": "202306021408-LFMZBC059T",
     "eventTime": "2023-06-02T06:08:21Z",
     "isGlobal": false,
     "acsRegion": "cn-beijing",
     "eventName": "DeleteDeployment"
   }

Eventos do Realtime Compute for Apache Flink

Para obter mais informações sobre os eventos do Realtime Compute for Apache Flink que você pode visualizar no console do ActionTrail, consulte Audit events of Realtime Compute for Apache Flink.