Action Trail協助您監控並記錄阿里雲帳號的活動。您可以使用阿里雲的Action Trail（ActionTrail）服務來審計最近90天阿里雲帳號下的操作，確保雲端服務的使用符合您的合規性需求和安全標準。例如：您可以通過Action Trail定位到是哪個RAM使用者在什麼時間進行了什麼操作。本文以查詢NAT Gateway的事件為例，為您介紹如何通過Action Trail查詢事件詳情。
背景資訊
團隊管理者使用阿里雲帳號建立了多個RAM使用者供團隊成員使用，並為RAM使用者授予了管理員權限。
當您使用RAM使用者對您建立的NAT Gateway綁定Elastic IP Address時，發現網關已綁定了一個Elastic IP Address。由於團隊成員都有管理員權限，因此每個人都可能進行綁定操作。此時您可以通過Action Trail查詢NAT Gateway的事件，快速確定綁定的操作者。
操作步驟
-
在左側導覽列，選擇。
-
在頂部導覽列，選擇目標地區。
-
從下拉式功能表中，選擇資源名稱。
說明您還可以選擇讀寫類型、操作者名稱、雲端服務名稱、事件名稱、關聯資源類型、AccessKey ID、是否敏感操作和事件 ID單個搜尋條件來過濾查詢事件。
-
輸入待查詢Elastic IP Address的執行個體ID，然後單擊
表徵圖。 -
單擊目標事件對於操作列的查看事件詳情，可查看事件的詳細資料及事件記錄代碼。
說明通過查看事件詳情面板可知，操作記錄顯示某RAM使用者在2023年12月20日13:42:03進行了綁定Elastic IP Address操作，從而確定是該RAM使用者將Elastic IP Address綁定到了您的NAT Gateway上。
Action Trail控制台的事件查詢不支援按源 IP 位址過濾事件。事件來源 IP 僅作為查詢結果的展示列（欄位標題的懸浮提示為“事件發起的源 IP 位址”），不能作為過濾條件。
如需按源 IP 位址檢索操作記錄，需先建立跟蹤將管理事件投遞到Log Service SLS，然後通過 SQL 陳述式按 event.sourceIpAddress 欄位查詢，樣本語句請參見如何在 SLS 設定 SQL 陳述式查詢Action Trail的事件。
* AND "event.eventCategory": Management AND "event.sourceIpAddress": "192.0.2.1" | select from_unixtime(__time__) as eventTime, "event.eventName" as eventName, "event.serviceName" as serviceName, "event.sourceIpAddress" as sourceIpAddress, "event.userIdentity.userName" as userName相關文檔
關於事件記錄中欄位的更多資訊，請參見管控事件結構定義。