云操作审计检索是什么
阿里云操作审计把账号内的 API 调用集中留痕：控制台操作、SDK 调用、OpenAPI 都会记录事件名、调用者身份、来源地址与请求参数，并可按需投递到日志服务或对象存储长期保存。排查云上异常操作（改安全组、改 RAM 权限、改存储桶策略、关闭安全产品）主要依赖这里。
基本信息
| 适用范围 | 云账号内的控制面操作 |
|---|---|
| 关键字段 | eventName、userIdentity、sourceIpAddress、userAgent、requestParameters |
| 查询入口 | 操作审计控制台、日志服务中的审计日志库 |
| 保留 | 默认保留期有限，长期检索需提前配置投递 |
典型使用场景
- 确认安全组规则在何时被谁改动
- 排查 RAM 用户与访问密钥的创建与授权
- 检查存储桶访问控制与策略是否被改为公开
- 排查日志服务、安全中心被关闭的行为
- 溯源异常云服务器、数据库实例的创建者
日志服务查询
日志服务查询
eventName: DeleteSecurityGroup or eventName: PutBucketPolicy
| select eventTime, userIdentity.userName, sourceIpAddress, userAgent limit 50
# 先搜高风险事件名，再按调用者聚合看行为轮廓按调用者聚合
按调用者聚合
* | select userIdentity.userName, count(*) as cnt
| group by userIdentity.userName order by cnt desc limit 20
# 关注平时几乎不操作的账号突然出现的调用量字段与含义
| 字段 | 含义 | 注意 |
|---|---|---|
| eventName | API 动作名 | 命名与 AWS 不同，逐条核对语义 |
| userIdentity | 调用者身份（主账号、RAM 用户、角色） | 角色代调用显示为角色，不是最终操作人 |
| sourceIpAddress | 调用来源地址 | 经跳板或云服务代调用时可能是内部地址 |
| userAgent | 调用方式特征 | 控制台、SDK、命令行工具各不相同 |
| requestParameters | 请求参数 | 用于确认具体改了哪些配置 |
控制台操作与 SDK 调用的字段形态不同（前者常带控制台相关标识），检索条件要覆盖两类，否则会漏掉一半操作。
审计日志投递存在延迟。排查最近几十分钟内的事件时，查不到不能直接判定未发生，应先看控制台原始记录。
跨账号角色代调用时，调用者显示为角色名，需要回到角色授权记录才能落到实际使用方。