操作审计帮助您监控并记录阿里云账号的活动。您可以使用阿里云的操作审计（ActionTrail）服务来审计最近90天阿里云账号下的操作，确保云服务的使用符合您的合规性需求和安全标准。例如：您可以通过操作审计定位到是哪个RAM用户在什么时间进行了什么操作。本文以查询NAT网关的事件为例，为您介绍如何通过操作审计查询事件详情。
背景信息
团队管理者使用阿里云账号创建了多个RAM用户供团队成员使用，并为RAM用户授予了管理员权限。
当您使用RAM用户对您创建的NAT网关绑定弹性公网IP时，发现网关已绑定了一个弹性公网IP。由于团队成员都有管理员权限，因此每个人都可能进行绑定操作。此时您可以通过操作审计查询NAT网关的事件，快速确定绑定的操作者。
操作步骤
-
登录操作审计控制台。
-
在左侧导航栏，选择。
-
在顶部导航栏，选择目标地域。
-
从下拉菜单中，选择资源名称。
说明您还可以选择读写类型、操作者名称、云服务名称、事件名称、关联资源类型、AccessKey ID、是否敏感操作和事件 ID单个搜索条件来过滤查询事件。
-
输入待查询弹性公网IP的实例ID，然后单击
图标。 -
单击目标事件对于操作列的查看事件详情，可查看事件的详细信息及事件记录代码。
说明通过查看事件详情面板可知，操作记录显示某RAM用户在2023年12月20日13:42:03进行了绑定弹性公网IP操作，从而确定是该RAM用户将弹性公网IP绑定到了您的NAT网关上。
操作审计控制台的事件查询不支持按源 IP 地址过滤事件。事件源 IP 仅作为查询结果的展示列（列标题的悬浮提示为“事件发起的源 IP 地址”），不能作为过滤条件。
如需按源 IP 地址检索操作记录，需先创建跟踪将管理事件投递到日志服务 SLS，然后通过 SQL 语句按 event.sourceIpAddress 字段查询，示例语句请参见如何在 SLS 设置 SQL 语句查询操作审计的事件。
* AND "event.eventCategory": Management AND "event.sourceIpAddress": "192.0.2.1" | select from_unixtime(__time__) as eventTime, "event.eventName" as eventName, "event.serviceName" as serviceName, "event.sourceIpAddress" as sourceIpAddress, "event.userIdentity.userName" as userName相关文档
关于事件记录中字段的更多信息，请参见管控事件结构定义。