ActionTrail：如何查詢AccessKey調用的雲端服務和調用記錄？

查詢AccessKey訪問的雲端服務

1. 登入Action Trail控制台。

2. 在左側導覽列，單擊AccessKey 审计。

3. 在AccessKey 审计頁面，輸入AccessKey ID，然後單擊表徵圖，即可查詢AccessKey相關資訊，包括AccessKey所屬的RAM使用者、訪問過的雲端服務和最後使用時間。

   查詢結果的基本資料地區還包含主帳號 ID和RAM 使用者識別碼。下方訪問的雲端服務表格中，每個雲端服務條目提供事件列表、IP 列表和資源清單連結，可進一步查詢詳情。

4. 按需查詢事件列表、IP 列表和资源列表。

   • 查詢事件列表

     1. 單擊雲端服務操作列的事件列表，查詢AccessKey調用雲端服務的事件和該事件最後的調用時間。

     2. 單擊目標事件操作列的查看详情，查詢最後一次事件的詳細資料。

   • 查詢IP列表

     1. 單擊雲端服務操作列的IP 列表，查詢AccessKey調用請求來源的IP和該IP最後的請求時間。

     2. 單擊目標IP地址操作列的查看详情，查詢最後一次事件的詳細資料。

   • 查詢資源清單

     1. 單擊雲端服務操作列的资源列表，查詢AccessKey訪問過雲端服務的具體資源和最後時間。

     2. 單擊目標資源類型操作列的查看详情，查詢最後一次事件的詳細資料。

查詢AccessKey的詳細調用記錄

1. 登入Action Trail控制台。

2. 在左側導覽列，單擊事件查询。

3. 在頂部導覽列選擇您想查詢事件的地區。

4. 在事件查询頁面，設定查詢條件為AccessKey ID，然後輸入需要查詢的AccessKey ID。

5. 設定查詢的時間範圍，然後單擊表徵圖。

6. （可選）如果阿里雲帳號已啟用事件進階查詢，您可以在Action Trail控制台選擇事件 > 高级查询，查詢全地區下AccessKey的調用記錄。

   說明

   • 事件進階查詢僅支援查詢部分詳細事件。

   • 您可以使用簡單查詢模式並設定查詢條件為AccessKey ID，然後輸入需要查詢的AccessKey ID，選擇需要查詢的時間範圍，最後單擊运行。

   • 您也可以關閉簡單查詢模式，輸入event.userIdentity.accessKeyId:*條件陳述式，選擇需要查詢的時間範圍，並單擊运行。

補充說明

Action Trail支援查詢AccessKey訪問過的所有阿里雲服務，但AccessKey訪問雲端服務的具體事件僅支援查詢Action Trail支援的雲端服務和事件。更多資訊，請參見Action Trail支援的雲端服務和事件。

如果在查詢過程中發現AccessKey已經訪問雲端服務，但事件列表、IP列表和資源清單中無具體資訊或最後時間無法對應，說明該雲端服務或事件暫未支援。

相關文檔

• 你還可以啟用進階查詢功能，並使用系統模板查詢AccessKey相關事件詳情。具體操作，請參見查詢阿里雲帳號或AccessKey相關事件。

• 你還可以使用SQL查詢模式，設定查詢條件查詢AccessKey相關的事件。具體操作，請參見自訂查詢事件。