ActionTrail：使用Action Trail監控AccessKey的使用

步驟一：建立跟蹤

以建立單帳號跟蹤為例，為您介紹如何建立跟蹤並將事件投遞到Log ServiceSLS。

1. 登入Action Trail控制台。

2. 在左側導覽列，單擊跟蹤。

3. 在頂部導覽列選擇您想建立單帳號跟蹤的地區。

   說明

   該地區將成為單帳號跟蹤的Home地區，即建立跟蹤的地區。

4. 在跟蹤頁面，單擊创建跟踪。

5. 在创建跟踪頁面，設定跟蹤的相關參數。

   • 在基本信息地區，設定日誌事件。

     參數	說明
     跟踪名称	跟蹤的名稱。同一阿里雲帳號中跟蹤名稱不能重複。
     跟踪事件	預設為管控事件。

   • 在管控事件投递地區。

     • 事件读写类型選擇為所有事件。

     • 勾選将事件投递到日志服务SLS。

     • 投递账号選擇為投递到本账号。

     • 日志项目選擇创建新的日志项目後需要選擇日志库所属地域，並輸入新的日志项目名称。

6. 單擊确认。

步驟二：在Log ServiceSLS中查詢事件並設定警示

1. 在Action Trail控制台，單擊跟蹤。

2. 將滑鼠懸浮到目標跟蹤存储服务列的SLS或SLS&OSS，然後單擊SLS日誌庫名稱。

3. 在頁面右上方，單擊最近15分鐘，設定查詢的時間範圍。

4. 在搜尋方塊中輸入查詢語句：event.userIdentity.accessKeyId: "<YourAccessKeyId>" | select count(1) as use_ak_<YourAccessKeyId>，然後單擊查詢 / 剖析。

   說明

   <YourAccessKeyId>請替換為您自己的AccessKey ID。

5. 將事件另存新檔快速查詢或另存新檔警示。

   • 另存新檔快速查詢：單擊頁面右上方的表徵圖，輸入快速查詢名稱後，單擊确定。

     說明

     將事件另存新檔快速查詢後，您可以在Log Service控制台直接選擇該快速查詢。

     更多資訊，請參見快速查詢。

   • 另存新檔警示：單擊頁面右上方的表徵圖，在警示監控規則面板配置相關參數，然後單擊确定。

     更多資訊，請參見設定警示。

     說明

     將事件另存新檔警示後，滿足觸發條件即可收到警示通知，例如：按照以上步驟進行警示配置後，如果accessKeyId在5分鐘內被使用過，則上報警示。