操作审计是什么
操作审计记录账号内的 API 操作：谁在什么时间、用哪个身份、对哪个资源、执行了什么动作、结果如何。它是账号安全与合规的基础设施——排查异常操作、追责、满足审计要求都依赖它，也是入侵事件中攻击者最想清理的痕迹。理解术语（事件、跟踪、投递）有助于在多云环境里用同一套方法设计审计方案。
术语对照
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 产品名 | 操作审计 ActionTrail | 云审计 CloudAudit | 云审计服务 CTS |
| 记录对象 | 管控事件与数据事件 | 操作记录 | 管理类事件与数据类事件 |
| 跟踪范围 | 按跟踪配置地域与范围 | 按跟踪集配置范围 | 按追踪器配置范围 |
| 投递目标 | 对象存储或日志服务 | 对象存储或日志服务 | 对象存储或日志服务 |
| 控制台保留 | 可查时间有限，需投递留档 | 按平台规则 | 按平台规则 |
| 典型用途 | 安全审计、合规留痕、异常操作回溯 | 操作溯源与审计 | 审计与安全分析 |
典型使用场景
- 安全事件响应：确认某个资源在何时被谁删除或修改
- 权限治理：统计高权限账号的实际使用情况，收敛长期未用的授权
- 合规留痕：满足等保与行业审计对操作日志留存时长的要求
- 变更追溯：发布出问题时定位到具体是谁在什么时候改了什么
- 成本异常排查：找出创建了大量资源却没有登记的来源
- 多云统一审计：把三家的事件投递到统一日志平台做关联分析
事件要素与设计要点
事件要素与设计要点
# 事件要素：操作者身份、操作时间、来源 IP、操作类型、目标资源、请求参数、执行结果
# 覆盖范围：开启全地域跟踪，避免只记录部分地域而留下盲区
# 投递方式：写到独立账号下的独立存储桶或日志库，与业务数据物理隔离
# 权限控制：业务账号只有写入与读取权限，删除权限只留给审计角色
# 留存策略：按合规要求设置生命周期，日志加密且开启防篡改保护
# 告警联动：对删除、放开权限、关闭审计这类高危动作单独设告警审计日志建议投递到独立的存储账号或独立桶，并限制删除权限：入侵者拿到业务账号后第一件事往往是清理痕迹。
谁都没想到的情况是审计被人为关闭：对关闭审计、删除跟踪与修改投递目标这类操作，必须配置独立通道的告警并通知到人。