云平台操作审计：开通、投递与留存

云控制台与 API 操作需开启平台自带审计（如操作审计/云审计服务），投递到日志或对象存储集中归档，并覆盖所有子账号与角色。

落地动作

1 开通操作审计并全账号启用（含子账号、RAM 角色与临时凭据）
2 投递：日志服务 / 对象存储，设置不可变或合规保留策略
3 留存：满足内部与法规期限（网安法下限 6 个月）
4 告警：高危操作（改安全组、删日志桶、改权限）实时告警
5 权限：审计日志的读取与删除权限分离

多云或多账号场景建议统一到一处归档，并核对各云厂商日志字段差异后再做关联规则。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌