用户指南（海外区域）

Transcription

1 云审计服务 用户指南 ( 海外区域 ) 文档版本 01 发布日期 华为技术有限公司

2 版权所有 华为技术有限公司 2018 保留一切权利 非经本公司书面许可, 任何单位和个人不得擅自摘抄 复制本文档内容的部分或全部, 并不得以任何形式传播 商标声明 和其他华为商标均为华为技术有限公司的商标 本文档提及的其他所有商标或注册商标, 由各自的所有人拥有 注意 您购买的产品 服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品 服务或特性可能不在您的购买或使用范围之内 除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证 由于产品版本升级或其他原因, 本文档内容会不定期进行更新 除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述 信息和建议不构成任何明示或暗示的担保 华为技术有限公司 地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : 客户服务邮箱 : support@huawei.com 客户服务电话 : i

3 目录 目录 1 简介 概念 什么是云审计服务? 追踪器 事件 事件列表 事件文件 工作原理 支持审计的服务 访问云审计 入门 开通云审计服务 查看追踪事件 查看已归档事件 管理追踪器 修改追踪器 停用 / 启用追踪器 删除追踪器 云审计服务应用示例 安全审计 问题定位 资源跟踪 云审计服务事件参考 事件结构 事件样例 支持审计的服务及详细操作列表 弹性云服务器的关键操作列表 镜像服务的关键操作列表 裸金属服务器的关键操作列表 弹性伸缩的关键操作列表 专属云的关键操作列表 ii

4 目录 6.6 云容器引擎的关键操作列表 云服务器备份服务的关键操作列表 虚拟私有云的关键操作列表 云专线的关键操作列表 弹性负载均衡的关键操作列表 云解析服务的 Region 级关键操作列表 云解析服务的 Global 级关键操作列表 云硬盘服务的关键操作列表 云硬盘备份服务的关键操作列表 云审计服务的关键操作列表 云监控的关键操作列表 统一身份认证的关键操作列表 资源编排服务的关键操作列表 标签管理服务的关键操作列表 Anti-DDoS 流量清洗服务的关键操作列表 关系型数据库的关键操作列表 云桌面的关键操作列表 MapReduce 服务的关键操作列表 数据调度服务的关键操作列表 常见问题 一个租户下可以开通多个追踪器吗? 事件列表用于记录哪些信息? 事件列表中的信息可以删除吗? 哪些用户应该开通云审计服务? 事件文件可以存储多长时间? 如果用户已开通云审计服务, 但 OBS 桶未配置正确的策略, 会出现什么情况? 云审计服务是否支持事件文件的完整性校验? 启用云审计服务是否会影响其他云服务资源的性能? 为什么查看事件窗口中, 有些事件的 IP code request response 和 message 字段为空? 为什么事件列表中有些事件的为超链接可以跳转, 有些为非超链接? 为什么事件列表中的某些操作被记录了两次? 为什么在事件列表中按照操作用户进行筛选时, 存在 user_name/op_service 用户? OBS 桶有标准存储 低频访问存储和归档存储三种类型, 哪一种适用于 CTS 存储事件文件? 为什么有些 trace_type 为 systemaction 的事件, 存在 user source_ip 为空的情况? 事件级别中的 normal warning 和 incident 分别代表什么?...46 A 修订记录 iii

5 1 简介 1 简介 1.1 概念 什么是云审计服务? 日志审计模块是信息安全审计功能的核心必备组件, 是企事业单位信息系统安全风险管控的重要组成部分 在信息系统逐步云化的背景下, 全球各级信息 数据安全管理部门已对此发布多份标准, 如 :IS0 IEC27000 GB/T COSO COBIT ITIL NISTSP800 等 云审计服务 (Cloud Trace Service, 以下简称 CTS), 是云安全解决方案中专业的日志审计服务, 提供对各种云资源操作记录的收集 存储和查询功能, 可用于支撑安全分析 合规审计 资源跟踪和问题定位等常见应用场景 1

6 1 简介 追踪器 事件 事件列表 事件文件 云审计服务的功能主要包括 : 记录审计日志 : 支持记录用户通过管理控制台或 API 接口发起的操作, 以及各服务内部自触发的操作 审计日志查询 : 支持在管理控制台对 7 天内操作记录按照事件来源 事件名称 操作类型 资源名称 /ID 事件状态和时间范围等多个维度进行组合查询 审计日志转储 : 支持将审计日志周期性的转储至对象存储服务 (Object Storage Service, 简称 OBS) 下的 OBS 桶, 转储时会按照服务维度压缩审计日志为事件文件 使用云审计服务前需要开通云审计服务, 开通云审计服务时系统会自动创建一个追踪器 该追踪器会自动识别并关联当前租户所使用的所有云服务, 并将当前租户的所有操作记录在该追踪器中 目前, 一个租户仅支持创建一个追踪器 事件即云审计追踪并保存的云服务资源的操作日志 您可以通过 事件 了解到谁在什么时间对系统哪些资源做了什么操作 事件分为以下两类 : 追踪事件 指近 7 天的操作记录 已归档事件 指已保存至 OBS 桶的历史操作记录 事件列表记录了租户对云服务资源新建 修改 删除等操作的详细信息 事件列表最多显示近 7 天的事件 事件文件是系统自动生成的事件集, 云审计将按照服务 转储周期两个维度, 生成多个事件文件, 同步保存至用户指定的 OBS 桶中 通常情况下, 单个服务在单个转储周期内产生的所有事件仅会压缩生成一个事件文件, 但在事件数量较多时, 系统会根据当前负载情况调整每个事件文件包含的事件数 事件文件的格式为 json, 呈现事件的原始内容如图 1-1 所示 2

7 1 简介 图 1-1 事件文件示例 1.2 工作原理 云审计服务直接对接公有云上的其他服务, 记录租户的云服务资源的操作信息, 实现云帐户操作各个云服务资源动作和结果的实时记录功能, 并将记录内容以事件形式实时保存至 OBS 桶中 用户可以对事件文件执行以下两种操作 : 事件文件的创建和保存 : 当用户在弹性云服务器 云硬盘服务 镜像服务等其它与云审计完成对接的服务中, 进行了增加 删除 修改类型的操作时, 被操作的服务会自动记录操作动作及操作结果, 并按照指定的格式发送事件文件到云审计完成事件归档 云审计务管理控制台会保存最近 7 天的操作记录, 并定期将操作记录同步保存到用户定义的 OBS 桶中进行长期保存 事件文件查询 : 在 事件列表 页面, 用户可以按照通过系统自带的条件和时间过滤功能, 查询最近 7 天的操作记录 若要查询 7 天前的操作记录, 可以在对应的 OBS 桶中下载事件文件进行查看 在云审计页面的追踪器界面, 用户可以对追踪器进行启用 停用 删除 等操作 3

8 1 简介 以用户创建镜像为例, 在用户使用公有云平台的镜像服务执行创建镜像的操作过程中, 镜像服务会将用户操作事件上报至云审计, 云审计将事件转存至 OBS 桶中 用户也可以通过云审计服务的事件列表查看事件文件 云审计工作原理示意如所示 1.3 支持审计的服务 用户开启云审计服务后, 系统会自动识别当前云平台上所开通的云服务, 自动抓取各云服务的各项关键操作并主动向云审计服务上报各项关键操作的审计日志 对于 Global 级云服务的审计日志, 仅记录在当前局点的中心 region, 不支持多 Project 场景 云审计服务支持的 Global 服务关键操作列表如下 : 6.12 云解析服务的 Global 级关键操作列表 6.17 统一身份认证的关键操作列表 6.19 标签管理服务的关键操作列表 对于 Region 级服务的审计日志, 根据被操作资源的归属情况, 记录在各个 region 或 project 下 云审计服务支持的 region 级服务的关键操作列表 6.1 弹性云服务器的关键操作列表 6.2 镜像服务的关键操作列表 6.3 裸金属服务器的关键操作列表 6.4 弹性伸缩的关键操作列表 6.5 专属云的关键操作列表 6.6 云容器引擎的关键操作列表 6.8 虚拟私有云的关键操作列表 6.9 云专线的关键操作列表 6.10 弹性负载均衡的关键操作列表 6.11 云解析服务的 Region 级关键操作列表 6.13 云硬盘服务的关键操作列表 6.14 云硬盘备份服务的关键操作列表 6.15 云审计服务的关键操作列表 6.16 云监控的关键操作列表 6.18 资源编排服务的关键操作列表 6.20 Anti-DDoS 流量清洗服务的关键操作列表 6.21 关系型数据库的关键操作列表 6.22 云桌面的关键操作列表 6.23 MapReduce 服务的关键操作列表 6.24 数据调度服务的关键操作列表 4

9 1 简介 1.4 访问云审计 公有云提供了 Web 化的服务管理平台, 支持通过管理控制台方式访问云审计所示 如果用户已注册公有云, 可直接登录管理控制台, 选择管理与部署下的 云审计服务 5

10 2 入门 2 入门 2.1 开通云审计服务 操作场景 前提条件 使用云审计服务前需要开通云审计服务, 开通云审计服务后系统会自动创建一个追踪器, 系统记录的所有操作将关联在该追踪器中 目前, 一个云账户系统仅支持创建一个追踪器 为了保存操作记录, 需要将事件文件保存至对象存储服务中的存储对象的容器, 即 OBS 桶 因此, 开通云审计服务之前, 需要开通对象存储服务, 且用户对即将要使用的 OBS 桶具有完全的使用权限 公有云平台默认仅开通 OBS 的服务所有者能够访问 OBS 桶及其包含的所有对象, 但服务所有者可以通过编写访问策略来向其他服务和用户授予访问权 本节介绍如何开通云审计服务 已开通对象存储服务 操作步骤 1. 登录管理控制台 2. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务信息页面 3. 单击左侧导航树的 追踪器, 进入追踪器信息页面 4. 单击 开启云审计服务 5. 填写 OBS 桶和操作事件文件前缀 参数说明如表 2-1 所示 表 2-1 参数说明 参数解释取值样例 OBS 桶选择用于存储操作的 OBS 桶名称 buckert-001 6

11 2 入门 参数解释取值样例 操作事件文件前缀 用于标识存储在 OBS 桶中的日志文件, 为可选参数 手动命名可包含大小写字母 数字 中划线 下划线 点, 长度为 0 ~ 64 位字符 创建追踪器时, 系统会自动随机生成, 生成规则和手动命名规则一致 - 6. 单击 确定, 完成开通云审计服务 开通云审计服务成功后, 您可以在追踪器页面查看已创建的追踪器的详细信息 2.2 查看追踪事件 操作场景 在您开通了云审计服务后, 系统开始记录云服务资源的操作 云审计服务管理控制台保存最近 7 天的操作记录 本节介绍如何在云审计服务管理控制台查看最近 7 天的操作记录 操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务信息页面 4. 单击左侧导航树的 事件列表, 进入事件列表信息页面 5. 事件列表支持通过筛选来查询对应的操作事件 当前事件列表支持四个维度的组合查询, 详细信息如下 : 事件来源 资源类型和筛选类型 在下拉框中选择查询条件 其中筛选类型选择事件名称时, 还需选择某个具体的事件名称 选择资源 ID 时, 还需选择或者手动输入某个具体的资源 ID 选择资源名称时, 还需选择或手动输入某个具体的资源名称 操作用户 : 在下拉框中选择某一具体的操作用户, 此操作用户指用户级别, 而非租户级别 事件级别 : 可选项为 所有事件级别 normal warning incident, 只可选择其中一项 时间范围 : 可选择查询最近七天内任意时间段的操作事件 6. 在需要查看的事件左侧, 单击展开该记录的详细信息图 2-1 所示 图 2-1 展开记录 7

12 2 入门 7. 在需要查看的记录右侧, 单击 查看事件, 弹出一个窗口, 图 2-2 显示了该操作事件结构的详细信息 图 2-2 查看事件 关于云审计服务事件结构的关键字段详解, 请参见 5.1 事件结构和 5.2 事件样例 2.3 查看已归档事件 操作场景 云审计服务会定时将跟踪到的事件以事件文件的形式按周期保存至 OBS 桶 事件文件是按照服务 转储周期两个维度生成事件集, 系统会根据当前负载情况调整每个事件文件包含的事件数 本节介绍如何在 OBS 中通过下载事件文件查看已保存至 OBS 桶的历史操作记录 操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务信息页面 4. 单击左侧导航树的 追踪器, 进入追踪器信息页面 8

13 2 入门 5. 单击 OBS 桶 下的指定的 OBS 桶名称, 如图 2-3 所示, 页面跳转到 OBS 管理控制台 图 2-3 选择 OBS 6. 在 OBS 桶中选择需要查看的历史事件, 按照事件文件存储路径选择 OBS 桶名 > CloudTraces > 地区标示 > 时间标示 : 年 > 时间标示 : 月 > 时间标示 : 日 > 追踪器名称 > 服务类型目录, 如图 2-4 所示, 单击右侧的 下载, 文件将下载到浏览器默认下载路径, 如需要将事件文件保存到自定义路径下, 请单击右侧的 下载为 按键 事件文件存储路径 : OBS 桶名 >CloudTraces> 地区标示 > 时间标示 : 年 > 时间标示 : 月 > 时间标示 : 日 > 追踪器名称 > 服务类型目录 例如 :User Define>CloudTraces>region>2016>5>19>system>ECS 事件文件命名格式 : 操作事件文件前缀 _CloudTrace_ 区域标示 / 区域标示 - 项目标示 _ 日志文件上传至 OBS 的时间标示 : 年 - 月 - 日 T 时 - 分 - 秒 Z_ 系统随机生成字符.json.gz 例如 :File Prefix_CloudTrace_region_ T Z_21d36ced8c8af71e.json.gz 说明 OBS 桶名和事件前缀为用户设置, 其余参数均为系统自动生成 关于云审计服务事件结构的关键字段详解, 请参见 5.1 事件结构和 5.2 事件样例 图 2-4 查看事件文件内容 7. 文件下载到本地后, 通过解压可以得到与压缩包同名的 json 文件, 下载解压后的 json 文件内容如图 2-5 所示, 通过记事本等 txt 文档编辑软件即可查看到保存的追踪日志信息 9

14 2 入门 图 2-5 下载解压后的 json 文件 10

15 3 管理追踪器 3 管理追踪器 3.1 修改追踪器 操作场景 前提条件 云审计服务管理控制台支持修改已创建的追踪器的 OBS 桶和操作事件文件前缀 当修改云审计服务的追踪器中的 OBS 桶 时, 云审计服务会自动为重新选择的 OBS 桶挂载一个对应的策略, 使得追踪器修改成功后, 云审计服务所支持的全部事件文件会存储至该重新选择的 OBS 桶 当修改云审计服务的追踪器中的 操作事件文件前缀 时, 不影响对应 OBS 桶的策略 修改追踪器完成后, 系统立即以新的规则开始记录操作 本节介绍如何修改追踪器 已在云审计服务中成功创建追踪器 操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务信息页面 4. 单击左侧导航树的 追踪器, 进入追踪器信息页面 5. 在追踪器信息右侧, 单击操作下的 修改 您可以选择重新指定的用于存储操作事件的已存在的 OBS 桶, 或者重新命名操作事件文件前缀 6. 单击 确定, 完成修改追踪器 追踪器修改成功后, 您可以在追踪器信息页面查看修改的追踪器的详细信息 说明 因为 CTS 所存储的事件是周期性转储到 OBS 桶的, 因此当您修改了追踪器所对应的 OBS 桶后, 当前转储周期内 ( 通常为数分钟 ) 已收到事件会转储到变更后的 OBS 桶中 例如当前转储周期为 12:00~12:05, 用户在 12:02 分修改了当前追踪器对应的 OBS 桶, 那么 12:00~12:02 分之间收到的事件会在 12:05 分时转储到新的 OBS 桶中 11

16 3 管理追踪器 3.2 停用 / 启用追踪器 操作场景 前提条件 云审计服务管理控制台支持停用已创建的追踪器 追踪器停用成功后, 系统将不再记录新的操作, 但是您依旧可以查看已有的操作记录 本节介绍如何停用追踪器 已在云审计服务中成功创建追踪器 操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务信息页面 4. 单击左侧导航树的 追踪器, 进入追踪器信息页面 5. 在追踪器信息右侧, 单击操作下的 停用 6. 单击 确定, 完成停用追踪器 7. 追踪器停用成功后, 操作下的 停用 切换为 启用 如果您需要重新启用追踪器, 单击 启用 > 确定, 则系统重新开始记录新的操作 3.3 删除追踪器 操作场景 前提条件 云审计服务管理控制台支持删除已创建的追踪器 删除追踪器对已有的操作记录没有影响, 当您重新开通云审计服务后, 依旧可以查看已有的操作记录 本节介绍如何删除追踪器 已在云审计服务中成功创建追踪器 操作步骤 1. 登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务信息页面 4. 单击左侧导航树的 追踪器, 进入追踪器信息页面 5. 在追踪器信息右侧, 单击操作下的 删除 12

17 3 管理追踪器 6. 单击 确定, 完成删除追踪器 13

18 4 云审计服务应用示例 4 云审计服务应用示例 4.1 安全审计 操作场景 前提条件 操作步骤 根据云审计服务收集的日志记录, 通过查询具体的 符合某一特征的记录, 执行安全分析, 判断用户的操作是否符合权限要求 已开通云审计服务且追踪器状态正常 开通云审计服务请参考章节 2.1 开通云审计服务 以审计最近两周内云硬盘服务的创建和删除操作为例 : 1. 以管理员权限登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务详情页面 4. 单击左侧导航树的 事件列表, 进入事件列表界面 5. 在事件列表界面单击 筛选, 显示过滤条件查询框, 依次选择 事件来源 > 资源类型 > 筛选类型, 单击 查询 按钮执行搜索, 查看过滤结果 6. 过滤条件查询示例 : 依次选择 evs > evs > 按事件名称 > createvolume 或 evs > evs > 按事件名称 > deletevolume, 单击 查询 按钮执行搜索, 查询七天以内所有创建或删除 EVS 的操作 7. 单击左侧导航树的 追踪器, 进入追踪器详情页面, 获取 OBS 桶名 8. 参照 2.3 查看已归档事件章节下载 7 天之前或者所有的事件 9. 在操作记录中, 以 createvolume 和 deletevolume 作为关键字检索, 找到对应记录 10. 从第 6 步和第 9 步的结果中, 抽取操作用户信息, 甄别没有授权的操作, 即用户越权操作, 或不符合用户自身安全操作规范的操作 14

19 4 云审计服务应用示例 4.2 问题定位 操作场景 前提条件 操作步骤 当现网某个特定资源或动作出现问题, 可根据云审计服务收集的日志记录, 通过查询对应时间 对应资源的操作记录, 查看当时的请求动作和响应, 支撑问题定位分析 已开通云审计服务且追踪器状态正常 开通云审计服务请参考章节 2.1 开通云审计服务 以现网某个弹性云服务器在某日上午发生故障后的辅助定位为例 : 1. 以管理员权限登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务详情页面 4. 单击左侧导航树的 事件列表, 进入事件列表界面 5. 在事件列表界面单击 筛选, 显示过滤条件查询框, 依次选择 事件来源 > 资源类型 > 筛选类型, 单击 查询, 查看过滤结果 说明 过滤条件查询示例 : 依次选择 ecs > ecs > Resource id > 问题虚拟机 ID, 并在右上角时间条件设置窗口设置时间为某日上午 6 点到中午 12 点, 查看过滤结果 6. 逐条查看操作记录, 注意请求的类型和响应结果, 特别关注 事件级别 为 warning 和 incident 的事件, 以及相应结果为失败的事件 以现网进行创建弹性云服务器操作失败报错后的辅助定位为例 : 1. 以管理员权限登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务详情页面 4. 单击左侧导航树的 事件列表, 进入事件列表界面 5. 根据创建虚拟机弹性云服务器失败的操作, 设置过滤条件 : ecs > ecs > 事件级别 > Warning, 在结果中查看事件名称为 createsingleserver 操作记录事件 6. 查看操作记录, 重点关注响应中的错误提示信息, 根据错误提示代码或错误提示信息进行问题定位分析 15

20 4 云审计服务应用示例 4.3 资源跟踪 操作场景 前提条件 操作步骤 根据云审计服务所记录的操作记录, 可以查看任意云服务资源在其整个生命周期内的操作记录, 并检视具体操作的细节 已开通云审计服务且追踪器状态正常 开通云审计服务请参考章节 2.1 开通云审计服务 以查看某个弹性云服务器的所有操作记录为例 : 1. 以管理员权限登录管理控制台 2. 在管理控制台左上角单击图标, 选择区域和项目 3. 单击 服务列表, 选择 管理与部署 > 云审计服务, 进入云审计服务详情页面 4. 单击左侧导航树的 事件列表, 进入事件列表界面 5. 在事件列表界面单击 筛选, 显示过滤条件查询框, 依次选择 事件来源 > 资源类型 > 筛选类型, 单击 查询 执行搜索, 查看过滤结果 说明 过滤条件查询示例 : 依次选择 ecs > ecs > Resource id > 问题虚拟机 ID, 单击 查询 执行搜索, 查看最近 7 天的操作记录 6. 单击左侧导航树的 追踪器, 进入追踪器详情页面, 获取 OBS 桶名 7. 参照 2.3 查看已归档事件章节下载 7 天之前或者所有的事件 8. 从第 5 步和第 7 步的结果中, 检视该弹性云服务器的所有操作和变更记录 16

21 5 云审计服务事件参考 5 云审计服务事件参考 5.1 事件结构 云审计服务用于标示每个操作事件关键字段的详细信息, 具体如表 5-1 所示 说明 为方便用户, 部分字段在管理控制台呈现时进行了格式优化 本章节将基于 CTS 管理控制台进行介绍和描述 表 5-1 事件的关键字段 字段名称是否必选类型描述 time 是 Date 事件发生时间 以当地标准时间 ( 采用格林威治时间加当地时区形式 ) 进行展示, 例如 :12/08/ :24:04 GMT+08:00 在接口中, 该字段以时间戳格式进行传输和存储 该字段为格林威治时间 1970 年 01 月 01 日 00 时 00 分 00 秒 ( 北京时间 1970 年 01 月 01 日 08 时 00 分 00 秒 ) 至现在的总毫秒数 user 是 Structure 发起操作的云账户信息 request 否 Structure 操作的请求内容 response 否 Structure 操作的响应内容 在界面事件列表中, 该字段于 Operator 列呈现 该字段在 API 接口中以 String 类型进行传输和存储 该字段在 API 接口中以 String 类型进行传输和存储 该字段在 API 接口中以 String 类型进行传输和存储 17

22 5 云审计服务事件参考 字段名称是否必选类型描述 service_type 是 String 操作来源 resource_type 是 String 资源类型 resource_name 否 String 资源名称 resource_id 否 String 资源的唯一标识 source_ip 是 String 发起本次操作的用户的 IP, 若为系统内调 用, 则为空 trace_name 是 String 操作名称 trace_status 是 String 操作事件等级, 分为 normal( 正常 ) warning( 警告 ) 和 incident( 事故 ) trace_type 是 String 操作类型, 分为如下三种 : ConsoleAction 表示通过公有云管理控制台执行的操作 SystemAction 表示公有云系统内部触发的操作 ApiCall 表示调用 ApiGateway 触发的操作 api_version 否 String 作为操作来源的云服务的 API 版本号 message 否 Structure 备注信息 record_time 是 Number 记录操作的时间, 表示方式为时间戳 trace_id 是 String 操作的唯一标识 code 否 Number 事件 http 返回码例如 200,400 request_id 否 String 记录本次请求的 request id location_info 否 String 记录本次请求出错后, 问题定位所需要的 辅助信息 endpoint 否 String 该操作涉及云资源的详情页面的 endpoint resource_url 否 String 该操作涉及云资源的详情页面的访问链接 ( 不含 endpoint) 5.2 事件样例 以下提供云审计服务所收集事件的两个页面样例, 并对其中常用的观察点进行了描述, 以方便用户更直观的理解事件信息 其他服务所产生的事件可参照以下样例理解 详细的字段解释可参考 5.1 事件结构章节 18

23 5 云审计服务事件参考 创建云服务器实例 { "time": "12/01/ :07:28 GMT+08:00", "user": { "name": "aaa/op_service", "id": "f2fe9fac63414a35a7d03108d5f1ea73", "domain": { "name": "aaa", "id": "1f9b9ba51f6b4061bd5c1736b28469f8" } }, "request": { "server": { "name": "as-config-15f1_xwo68tfc", "imageref": "b2b2c7dc-bbb0-4d6b-81dd-f d54f", "flavorref": "m1.tiny", "personality": [], "vpcid": "e4c374b c-9b81-4acd59745c2b", "nics": [ { "subnet_id": "fff d4-4e5b-9e27-d d24f", "nictype": null, "ip_address": null, "binding:profile": null, "extra_dhcp_opts": null } ], "adminpass": "********", "count": 1, "metadata": { "op_svc_userid": "26e96eda18034ae9a44130bacb967b96" }, "availability_zone": "az1.dc1", "root_volume": { "volumetype": "SATA", "extendparam": { "resourcespeccode": "SATA" }, "size": 40 }, "data_volumes": [], "security_groups": [ { "id": "dd597fd7-d a22c-891fcfc54be1" } ], "key_name": "KeyPair-3e51" } }, "response": { "status": "SUCCESS", "entities": { "server_id": "42d39b4a-19b7-4ee2-b01b-a9f1353b4c54" }, "job_id": "4010b39d58b b8574b270018", "job_type": "createsingleserver", "begin_time": " T03:04:38.437Z", "end_time": " T03:07:26.871Z", "error_code": null, "fail_reason": null }, "service_type": "ECS", "resource_type": "ecs", "resource_name": "as-config-15f1_xwo68tfc", "resource_id": "42d39b4a-19b7-4ee2-b01b-a9f1353b4c54", "source_ip": "", "trace_name": "createsingleserver", "trace_status": "normal", "trace_type": "SystemAction", 19

24 5 云审计服务事件参考 } "api_version": "1.0", "record_time": "12/01/ :07:28 GMT+08:00", "trace_id": "4abc3a67-b773-11e f0ed3cc97c6" 在以上信息中, 可以重点关注如下字段 : "time": 记录了事件发生的时间, 本例中为 12 月 1 日上午 11 点 07 分 28 秒 "user": 记录了操作用户的信息, 本例中操作用户为企业帐户 (domain 字段 )aaa 下的用户 (name 字段 )aaa "request": 记录了创建 ECS 服务器的请求, 可以抽取该 ECS 服务器的简单信息, 如 name 为 as-config-15f1_xwo68tfc, 资源 id 为 e4c374b c-9b81-4acd59745c2b "response": 记录了创建 ECS 服务的返回结果, 可以抽取其中的关键信息, 如创建结果 (status 字段 ) 为 Success, 错误码 (error_code 字段 ) 和失败原因 (fail_reason 字段 ) 均为空 (null) 云硬盘实例 { } "time": "12/01/ :24:04 GMT+08:00", "user": { "name": "aaa", "id": "26e96eda18034ae9a44130bacb967b96", "domain": { "name": "aaa", "id": "1f9b9ba51f6b4061bd5c1736b28469f8" } }, "request": "", "response": "", "service_type": "EVS", "resource_type": "evs", "resource_name": "volume-39bc", "resource_id": "229142c0-2c2e-4f01-a1b4-2dfdf1c678c7", "source_ip": " ", "trace_name": "deletevolume", "trace_status": "normal", "trace_type": "ConsoleAction", "api_version": "1.0", "record_time": ""12/01/ :24:04 GMT+08:00", "trace_id": "c529254f-bcf5-11e6-a89a-7fc778a6c92c" 在以上信息中, 可以重点关注如下字段 : "time": 记录了事件发生的时间, 本例中为 12 月 1 日上午 11 点 24 分 04 秒 "user": 记录了操作用户的信息, 本例中操作用户为企业帐户 (domain 字段 )aaa 下的用户 (name 字段 )aaa "request": 非必选字段, 此处为空 "response": 非必选字段, 此处为空 "trace_status": 记录了事件的级别, 可代替 response 字段提示用户操作结果, 本例中为 normal, 按 5.1 事件结构章节中约束, 即代表操作成功 20

25 6 支持审计的服务及详细操作列表 6 支持审计的服务及详细操作列表 6.1 弹性云服务器的关键操作列表 弹性云服务器 (Elastic Cloud Server, 以下简称 ECS) 是由 CPU 内存 镜像 云硬盘组成的一种可随时获取 弹性可扩展的计算服务器, 同时它结合 VPC 虚拟防火墙 数据多副本保存等能力, 为您打造一个高效 可靠 安全的计算环境, 确保您的服务持久稳定运行 通过云审计服务, 您可以记录与弹性云服务器相关的操作事件, 便于日后的查询 审计和回溯 表 6-1 云审计服务支持的 ECS 操作列表 创建云服务器 ecs createserver 删除云服务器 ecs deleteserver 启动云服务器 ecs startserver 重启云服务器 ecs rebootserver 关闭云服务器 ecs stopserver 添加云服务器网卡 ecs addnic 删除云服务器网卡 ecs deletenic 云服务器挂载磁盘 ecs attachvolume 云服务器挂载磁盘 (EVS 页面触发 ) ecs attachvolume2 云服务器卸载磁盘 ecs detachvolume 重装操作系统 ecs reinstallos 切换操作系统 ecs changeos 重装操作系统 ecs reinstallosv2 21

26 6 支持审计的服务及详细操作列表 切换操作系统 ecs changeosv2 变更规格 ecs resizeserver 配置虚拟机自动恢复标签 ecs addautorecovery 删除虚拟机自动恢复标签 ecs deleteautorecovery 创建安全组 ecs createsecuritygroup 6.2 镜像服务的关键操作列表 镜像服务 (Image Management Service, 以下简称 IMS) 提供简单方便的镜像自助管理功能, 用户可以使用公共镜像或者私有镜像灵活便捷的申请弹性云服务器 同时, 用户还能通过已有的云服务器或使用外部镜像文件创建私有镜像 通过云审计服务, 您可以记录与镜像服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-2 云审计服务支持的 IMS 操作列表 创建镜像 ims createimage 修改镜像 ims updateimage 批量删除镜像 ims deleteimage 复制镜像 ims copyimage 导出镜像 ims exportimage 新增成员 ims addmember 批量修改成员 ims updatemember 批量删除成员 ims deletemember 6.3 裸金属服务器的关键操作列表 裸金属服务器 (Bare Metal Server, 以下简称 BMS) 提供单租户专属的物理服务器, 通过卓越的计算性能, 满足核心应用场景对高性能及稳定性的需求, 同时可以和 VPC 等其他云产品灵活结合使用, 结合了传统托管主机带来的稳定性能与云上资源高度弹性的优势 通过云审计服务, 您可以记录与裸金属服务器相关的操作事件, 便于日后的查询 审计和回溯 22

27 6 支持审计的服务及详细操作列表 表 6-3 云审计服务支持的 BMS 操作列表 创建裸金属服务器 bms createbaremetalservers 删除裸金属服务器 bms deletebaremetalservers 启动裸金属服务器 bms startbaremetalservers 关闭裸金属服务器 bms stopbaremetalservers 重启裸金属服务器 bms rebootbaremetalservers 裸金属服务器挂载数据卷 裸金属服务器卸载数据卷 bms bms attachdatavolume detachdatavolume 6.4 弹性伸缩的关键操作列表 弹性伸缩 (Auto Scaling, 以下简称 AS) 可根据用户的业务需求和预设策略, 自动调整计算资源, 使云服务器数量自动随业务负载增长而增加, 随业务负载降低而减少, 保证业务平稳健康运行 通过云审计服务, 您可以记录与弹性伸缩相关的操作事件, 便于日后的查询 审计和回溯 表 6-4 云审计服务支持的 AS 操作列表 操作名称资源类型事件名称 创建伸缩组 scaling_group createscalinggroup 修改伸缩组 scaling_group modifyscalinggroup 删除伸缩组 scaling_group deletescalinggroup 启用伸缩组 scaling_group enablescalinggroup 停用伸缩组 scaling_group disablescalinggroup 创建伸缩配置 scaling_configuration createscalingconfiguration 删除伸缩配置 scaling_configuration deletescalingconfiguration 批量删除伸缩配置 scaling_configuration batchdeletescalingconfiguratio n 创建伸缩策略 scaling_policy createscalingpolicy 修改伸缩策略 scaling_policy modifyscalingpolicy 删除伸缩策略 scaling_policy deletescalingpolicy 23

28 6 支持审计的服务及详细操作列表 启用伸缩策略 scaling_policy enablescalingpolicy 停用伸缩策略 scaling_policy disablescalingpolicy 立即执行伸缩策略 scaling_policy executescalingpolicy 移除伸缩组实例 scaling_instance removeinstance 批量移除实例 scaling_instance batchremoveinstances 批量添加实例 scaling_instance batchaddinstances 6.5 专属云的关键操作列表 专属云 (Dedicated Cloud, 以下简称 DeC) 是在公有云上隔离出来的专属虚拟化资源池 在专属云内, 用户可申请独占物理设备, 独享计算和网络资源, 并使用可靠的分布式存储 通过云审计服务, 您可以记录与专属云相关的操作事件, 便于日后的查询 审计和回溯 表 6-5 云审计服务支持的 DeC 操作列表 操作名称资源类型事件名称 开通 DeC dec opendec 6.6 云容器引擎的关键操作列表 云容器引擎 (Cloud Container Engine) 提供高可靠高性能的企业级容器应用管理服务, 支持 Kubernetes 社区原生应用和工具, 简化云上自动化容器运行环境搭建 通过云审计服务, 您可以记录与云容器引擎相关的操作事件, 便于日后的查询 审计和回溯 表 6-6 云审计服务支持的 CCE 操作列表 上传证书 aksk uploadaksk 创建集群 cluster_cce createcluster 升级集群 cluster_cce upgradecluster 更新集群 cluster_cce updatecluster 删除集群 cluster_cce deletecluster 创建节点 node createnode 24

29 6 支持审计的服务及详细操作列表 删除节点 node deletenode 创建模板 component createcomponent 更新模板 component updatecomponent 删除模板 component deletecomponent 创建应用 app createapp 更新应用 app updateapp 回滚应用 app rollbackapp 删除应用 app deleteapp 蓝图创建应用 app createappbyblueprint 新建蓝图 blueprint createblueprint 删除蓝图 blueprint deleteblueprint 更新蓝图 blueprint updateblueprint 重命名蓝图 blueprint renameblueprint 验证蓝图 blueprint validateblueprint 清理镜像 image garbagecollectimage 删除特定镜像 image deleteimage 删除 tag 镜像 image deletetagimage 更新镜像描述 image updateimagedesc 创建策略 policy createpolicy 更新策略 policy updatepolicy 删除策略 policy deletepolicy 开启策略 policy enablepolicy 关闭策略 policy disablepolicy 创建定时 / 周期策略 scaling_policy_cce createscalingpolicy 删除定时 / 周期策略 scaling_policy_cce deletescalingpolicy 创建集群 clusters createcluster 更新集群 clusters updatecluster 删除集群 clusters deletecluster 创建节点 clusters-nodes createnode 添加静态节点 clusters-nodes addstaticnode 25

30 6 支持审计的服务及详细操作列表 更新节点 clusters-nodes updatenode 删除一个主机 clusters-nodes deleteonehost 删除所有主机 clusters-nodes deleteallhosts 挂起用户资源 - suspenduserresource 创建 ConfigMap configmaps createconfigmaps 创建 DaemonSet daemonsets createdaemonsets 创建 Deployment deployments createdeployments 创建 Event events createevents 创建 Ingress ingress createingresses 创建 Job jobs createjobs 创建 namespace namespaces createnamespaces 创建 Node nodes createnodes 创建 PersistentVolumeClaim persistentvolumeclaim s createpersistentvolumeclaims 创建 Pod pods createpods 创建 ReplicaSet replicasets createreplicasets 创建 ResourceQuota resourcequotas createresourcequotas 创建密钥 secrets createsecrets 创建服务 services createservices 创建 StatefulSet statefulsets createstatefulsets 创建卷 volumes createvolumes 删除 ConfigMap configmaps deleteconfigmaps 删除 DaemonSet daemonsets deletedaemonsets 删除 Deployment deployments deletedeployments 删除 Event events deleteevents 删除 Ingress ingresses deleteingresses 删除 Job jobs deletejobs 删除 Namespace namespaces deletenamespaces 删除 Node nodes deletenodes 删除 Pod pods deletepods 26

31 6 支持审计的服务及详细操作列表 删除 ReplicaSet replicasets deletereplicasets 删除 ResourceQuota resourcequotas deleteresourcequotas 删除 Secret secrets deletesecrets 删除 Service services deleteservices 删除 StatefulSet statefulsets deletestatefulsets 删除卷 volumes deletevolumes 替换指定的 ConfigMap configmaps updateconfigmaps 替换指定的 DaemonSet daemonsets updatedaemonsets 替换指定的 Deployment deployments updatedeployments 替换指定的 Event events updateevents 替换指定的 Ingress ingresses updateingresses 替换指定的 Job jobs updatejobs 替换指定的 Namespace namespaces updatenamespaces 替换指定的 Node nodes updatenodes 替换指定的 PersistentVolumeClaim persistentvolumeclaim s updatepersistentvolumeclaims 替换指定的 Pod pods updatepods 替换指定的 Replicaset replicasets updatereplicasets 替换指定的 ResourceQuota resourcequotas updateresourcequotas 替换指定的 Secret secrets updatesecrets 替换指定的 Service services updateservices 替换指定的 Statefulset statefulsets updatestatefulsets 替换指定的状态 status updatestatus 上传组件模板 uploadchart uploadchart 更新组件模板 charts updatechart 删除组件模板 charts deletechart 创建模板应用 releases createrelease 更新模板应用 releases updaterelease 删除模板应用 releases deleterelease 27

32 6 支持审计的服务及详细操作列表 6.7 云服务器备份服务的关键操作列表 云服务器备份服务 (Cloud Server Backup Service, 以下简称 CSBS) 可为云服务器创建整机备份, 利用多个云硬盘一致性备份数据恢复云服务器业务数据, 最大限度保障用户数据的安全性和正确性, 确保业务安全 通过云审计服务, 您可以记录与云服务器备份服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-7 云审计服务支持的 CSBS 操作列表 创建备份策略 backuppolicy createbackuppolicy 更新备份策略 backuppolicy updatebackuppolicy 删除备份策略 backuppolicy deletebackuppolicy 绑定资源 backuppolicy bindresources 执行备份 checkpointitem createcheckpoint 恢复备份 checkpointitem restorecheckpointitem 删除备份 checkpointitem deletecheckpointitem 直接备份云服务器 cloudserver backupcloudserver 删除任务 operationlog deleteoperationlog 6.8 虚拟私有云的关键操作列表 虚拟私有云 (Virtual Private Cloud, 以下简称 VPC) 为弹性云服务器构建隔离的 用户自主配置和管理的虚拟网络环境, 提升用户企业云中资源的安全性, 简化用户的网络部署 通过云审计服务, 您可以记录与虚拟私有云相关的操作事件, 便于日后的查询 审计和回溯 表 6-8 云审计服务支持的 VPC 操作列表 修改 Bandwidth bandwidth modifybandwidth 创建 EIP eip createeip 释放 EIP eip deleteeip 绑定 EIP eip bindeip 解绑定 EIP eip unbindeip 28

33 6 支持审计的服务及详细操作列表 创建 PrivateIp privateips createprivateip 删除 PrivateIp privateips deleteprivateip 创建 Security Group security_group createsecuritygroup 修改 Security Group security_group modifysecuritygroup 创建 Subnet subnet createsubnet 删除 Subnet subnet deletesubnet 修改 Subnet subnet modifysubnet 创建 VPC vpc createvpc 删除 VPC vpc deletevpc 修改 VPC vpc modifyvpc 创建 VPN vpn createvpn 删除 VPN vpn deletevpn 修改 VPN vpn modifyvpn 创建 Nat 网关 natgateway createnatgateway 更新 Nat 网关 natgateway updatenatgateway 删除 Nat 网关 natgateway deletenatgateway 创建 Snat 规则 snatrule createsnatrule 删除 Snat 规则 snatrule deletesnatrule 创建 Dnat 规则 dnatrule creatednatrule 删除 Dnat 规则 dnatrule deletednatrule 6.9 云专线的关键操作列表 云专线服务 (Direct Connect, 以下简称 DC) 是一个建立连接本地数据中心和公有云的专线网络服务 您可以利用云专线建立公有云与数据中心 办公室或主机托管区域的专线连接, 降低网络时延, 获得比 Internet 线路更好的网络体验 通过云审计服务, 您可以记录与云专线相关的操作事件, 便于日后的查询 审计和回溯 表 6-9 云审计服务支持的 DC 操作列表 操作名称资源类型事件名称 修改云专线 directconnections modifydirectconnect 29

34 6 支持审计的服务及详细操作列表 6.10 弹性负载均衡的关键操作列表 弹性负载均衡 (Elastic Load Balance, 以下简称 ELB) 通过将访问流量自动分发到多台弹性云服务器, 扩展应用系统对外的服务能力, 实现更高水平的应用程序容错性能 用户通过基于浏览器 统一化视图的云计算管理图形化界面, 可以创建 ELB, 为服务配置需要监听的端口, 配置云服务器 消除单点故障, 提高整个系统的可用性 通过云审计服务, 您可以记录与弹性负载均衡相关的操作事件, 便于日后的查询 审计和回溯 表 6-10 云审计服务支持的 ELB 操作列表 配置访问日志 accesslog create access log 删除访问日志 accesslog delete access log 创建证书 certificate create certificate 修改证书 certificate update certificate 删除证书 certificate delete certificate 创建健康检查 healthmonitor create healthmonitor 修改健康检查 healthmonitor update healthmonitor 删除健康检查 healthmonitor delete healthmonitor 创建转发策略 l7policy create forwarding policy 修改转发策略 l7policy update forwarding policy 删除转发策略 l7policy delete forwarding policy 创建转发规则 l7rule create forwarding rule 修改转发规则 l7rule update forwarding rule 删除转发规则 l7rule delete forwarding rule 创建监听器 listener create listener 修改监听器 listener update listener 删除监听器 listener delete listener 创建负载均衡器 loadbalancer create loadbalancer 修改负载均衡器 loadbalancer update loadbalancer 删除负载均衡器 loadbalancer delete loadbalancer 添加后端云服务器 member add backend ecs 修改后端云服务器 member update backend ecs 30

35 6 支持审计的服务及详细操作列表 移除后端云服务器 member remove backend ecs 创建后端云服务器组 pool create backend ecs group 修改后端云服务器组 pool update backend ecs group 删除后端云服务器组 pool delete backend ecs group 6.11 云解析服务的 Region 级关键操作列表 云解析服务 (Domain Name Service, 以下简称 DNS) 提供高可用 高扩展的权威 DNS 服务和 DNS 管理服务, 把人们常用的域名或应用资源转换成用于计算机连接的 IP 地址, 从而将最终用户路由到相应的应用资源上 通过云审计服务, 您可以记录与云解析服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-11 云审计服务支持的 DNS 操作列表 (Region 级操作产生 ) 创建 Private RecordSet privaterecordset createprivaterecordset 删除 Private RecordSet privaterecordset deleteprivaterecordset 修改 Private RecordSet privaterecordset updateprivaterecordset 创建 Private Zone privatezone createprivatezone 修改 Private Zone privatezone updateprivatezone 删除 Private Zone privatezone deleteprivatezone 关联 VPC privatezone associaterouter 解关联 VPC privatezone disassociaterouter 设置 PTR Record ptrrecord setptrrecord 恢复 PTR Record ptrrecord resetptrrecord 6.12 云解析服务的 Global 级关键操作列表 云解析服务 (Domain Name Service, 以下简称 DNS) 提供高可用 高扩展的权威 DNS 服务和 DNS 管理服务, 把人们常用的域名或应用资源转换成用于计算机连接的 IP 地址, 从而将最终用户路由到相应的应用资源上 通过云审计服务, 您可以记录与云解析服务相关的操作事件, 便于日后的查询 审计和回溯 31

36 6 支持审计的服务及详细操作列表 表 6-12 云审计服务支持的 DNS 操作列表 (Global 级操作产生 ) 创建 Public RecordSet publicrecordset createpublicrecordset 删除 Public RecordSet publicrecordset deletepublicrecordset 修改 Public RecordSet publicrecordset updatepublicrecordset 创建 Public Zone publiczone createpubliczone 修改 Public Zone publiczone updatepubliczone 删除 Public Zone publiczone deletepubliczone 批量创建 public zone TAG publiczonetag createpubliczonetag 批量删除 public zone TAG publiczonetag deletepubliczonetag 批量创建 public RecordSet TAG 批量删除 public RecordSet TAG publicrecordsettag publicrecordsettag createpublicrecordsettag deletepublicrecordsettag 批量创建 private zone TAG privatezonetag createprivatezonetag 批量删除 private zone TAG privatezonetag deleteprivatezonetag 批量创建 private RecordSet TAG 批量删除 private RecordSet TAG privaterecordsetta g privaterecordsetta g createprivaterecordsettag deleteprivaterecordsettag 批量创建 ptr RecordSet TAG ptrrecordtag createptrrecordsettag 批量删除 ptr RecordSet TAG ptrrecordtag deleteptrrecordtag 6.13 云硬盘服务的关键操作列表 云硬盘服务 (Elastic Volume Service, 以下简称 EVS) 是一种基于分布式架构的, 可弹性扩展的虚拟块存储设备 您可以在线进行操作, 使用方式与传统服务器硬盘完全一致 同时, 云硬盘具有更高的数据可靠性, 更高的 I/O 吞吐能力和更加简单易用等特点, 适用于文件系统 数据库或者其他需要块存储设备的系统软件或应用 通过云审计服务, 您可以记录与云硬盘相关的操作事件, 便于日后的查询 审计和回溯 表 6-13 云审计服务支持的 EVS 操作列表 操作名称资源类型事件名称 创建磁盘 evs createvolume 32

37 6 支持审计的服务及详细操作列表 更新磁盘 evs updatevolume 扩容磁盘 evs extendvolume 删除磁盘 evs deletevolume 6.14 云硬盘备份服务的关键操作列表 云硬盘备份服务 (Volume Backup Service, 以下简称 VBS) 提供对公有云环境中云服务器的基于云硬盘快照技术的本地数据保护服务 VBS 支持全量备份和增量备份 第一次做备份时, 系统默认做全量备份, 非第一次的备份, 系统默认做增量备份 无论是全量还是增量都可以方便的将磁盘恢复至备份时刻的状态 通过云审计服务, 您可以记录与云硬盘备份相关的操作事件, 便于日后的查询 审计和回溯 表 6-14 云审计服务支持的 VBS 操作列表 操作名称资源类型事件名称 创建备份 vbs bkscreatebackup 删除备份 vbs bksdeletebackup 恢复备份 vbs bksrestorebackup 绑定备份策略 autobackup addpolicyresource 解绑备份策略 autobackup deletepolicyresource 立即执行备份策略 autobackup actionpolicy 创建备份策略 autobackup createpolicy 删除备份策略 autobackup deletepolicy 修改备份策略 autobackup modifypolicy 备份策略调度创备份 备份策略自动删备份 批量添加 / 修改备份策略标签 批量删除备份策略标签 添加 / 修改备份策略标签 autobackup autobackup autobackup autobackup autobackup schedulecreatebackup scheduledeletebackup batchaddpolicytag batchdeletepolicytag addpolicytag 33

38 6 支持审计的服务及详细操作列表 操作名称资源类型事件名称 删除备份策略标签 autobackup deletepolicytag 6.15 云审计服务的关键操作列表 云审计服务 (CloudTrace Service, 以下简称 CTS) 为您提供云服务资源的操作记录, 供您查询 审计和回溯使用 通过云审计服务, 您可以记录云审计自身服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-15 云审计服务支持的自身服务操作列表 创建追踪器 tracker createtracker 修改追踪器 tracker updatetracker 停用追踪器 tracker updatetracker 启用追踪器 tracker updatetracker 删除追踪器 tracker deletetracker 6.16 云监控的关键操作列表 云监控 (Cloud Eye) 是一个开放性的监控平台, 即可提供资源的近似实时监控 告警 通知等服务 通过云审计服务, 您可以记录与云监控相关的操作事件, 便于日后的查询 审计和回溯 表 6-16 云审计服务支持的 Cloud Eye 操作列表 操作名称资源类型事件名称 创建告警规则 alarm_rule createalarmrule 删除告警规则 alarm_rule deletealarmrule 停用告警规则 alarm_rule disablealarmrule 启用告警规则 alarm_rule enablealarmrule 修改告警规则 alarm_rule updatealarmrule 状态更新为告警 alarm_rule alarmstatuschangetoalarm 状态更新为数据不足 alarm_rule alarmstatuschangetoinsufficient Data 34

39 6 支持审计的服务及详细操作列表 状态更新为正常 alarm_rule alarmstatuschangetook 创建自定义告警模板 alarm_template createalarmtemplate 删除自定义告警模板 alarm_template deletealarmtemplate 修改自定义告警模板 alarm_template updatealarmtemplate 创建监控面板 dashboard createdashboard 删除监控面板 dashboard deletedashboard 修改监控面板 dashboard updatedashboard 添加监控数据 metric addmetricdata 导出监控数据 metric downloadmetricsreport 6.17 统一身份认证的关键操作列表 统一身份认证服务 (Identity and Access Management, 以下简称 IAM) 实现用户认证信息的集中管理 用户可以管理自己的已验证邮箱 已验证手机 密码等信息 当用户在调用 API 接口申请云服务器或进行云资源管理以及使用多租户方式登录云平台时, 也可实时查询所需的项目 ID 访问密钥 (AK/SK) 以及帐户名 通过云审计服务, 您可以记录与统一身份认证服务相关的操作事件, 便于日后的查询 审计和回溯 说明 由于 IAM 属于 Global 服务, 所以 IAM 的事件将只在当前局点的中心 Region 呈现 表 6-17 云审计服务支持的 IAM 操作列表 获取 Token token createtokenbypwd 获取 Token token createtokenbyhwaccesskey 获取 Token token createtokenbytoken 获取 Token token createtokenbyassumerole 获取 Token token createtokenbyhwrenewtoken 用户登录 user login 用户登出 user logout 修改用户密码 user changepassword 创建用户 user createuser 修改用户信息 user updateuser 35

40 6 支持审计的服务及详细操作列表 删除用户 user deleteuser 修改用户密码 user updateuserpwd 创建 AK/SK user addcredential 删除 AK/SK user deletecredential 修改邮箱 user modifyuser 修改手机 user modifyusermobile 修改密码 user modifyuserpassword 登录开启双因子认证 user modifysmverify 上传头像 user modifyuserpicture 修改 latch user modifylatchverify 修改 mc user modifymcconnectverify 管理员设置用户密码 user setpasswordbyadmin 创建用户组 usergroup creategroup 更新用户组 usergroup updategroup 删除用户组 usergroup deletegroup 添加用户到用户组 usergroup addusertogroup 从用户组删除用户 usergroup removeuserfromgroup 创建项目 project createproject 修改项目 project updateproject 删除项目 project deleteproject 更新项目状态 project updateprojectstatus 取消删除项目 project cancelprojectdeletion 创建委托 agency createagency 修改委托 agency updateagency 删除委托 agency deleteagency 切换角色 agency switchrole 注册身份提供商 identityprovider createidentityprovider 更新身份提供商 identityprovider updateidentityprovider 删除身份提供商 identityprovider deleteidentityprovider 更新 IDP 元数据 identityprovider updatemetaconfigure 36

41 6 支持审计的服务及详细操作列表 更新系统预置的 IDP 元数据 identityprovider updatesystemmetaconfigure 注册映射 mapping createmapping 更新映射 mapping updatemapping 删除映射 mapping deletemapping 注册协议 protocol createprotocol 更新协议 protocol updateprotocol 删除协议 protocol deleteprotocol 通过租户信息给委托赋予权限 通过租户信息删除委托的权限 通过项目信息给委托赋予权限 通过项目信息删除委托的权限 roleagencydomai n roleagencydomai n roleagencyprojec t roleagencyprojec t assignroletoagencyondomain unassignroletoagencyondomain assignroletoagencyonproject unassignroletoagencyonproject 租户中用户组增加权限 rolegroupdomain assignroletogroupondomain 删除某租户中指定用户组权限 rolegroupdomain unassignroletogroupondomain 项目对应用户组增加权限 rolegroupproject assignroletogrouponproject 删除项目对应用户组权限 rolegroupproject unassignroletogrouponproject 更新帐号登录策略 domain updatesecuritypolicies 更新密码策略 domain updatepasswordpolicies 更新访问控制列表 domain updateaclpolicies 更新安全警告策略 domain updatewarningpolicies 代注册 domain createdomain 6.18 资源编排服务的关键操作列表 资源排服务 (Resource Template Service), 以下简称 RTS) 提供云资源组合模板, 以帮助用户使用这些模板自动创建所需要的云资源 通过云审计服务, 您可以记录与资源编排服务相关的操作事件, 便于日后的查询 审计和回溯 37

42 6 支持审计的服务及详细操作列表 表 6-18 云审计服务支持的 RTS 操作列表 创建配置 software_configs createsoftwareconfigs 删除配置 software_configs deletesoftwareconfigs 创建部署 software_deployments createsoftwaredeployments 删除部署 software_deployments deletesoftwaredeployments 更新部署 software_deployments updatesoftwaredeployments 管理堆栈动作, 例如取消堆栈更新, 检查堆栈资源 stacks createstacksactions 给堆栈中的资源发信号 stacks createstacksresourcessignal 创建堆栈 stacks createstacks 删除堆栈 stacks deletestacks 更新堆栈 stacks updatestacks 预览堆栈 stacks createstackspreview 标记资源状态为不健康 stacks patchstacksresource 校验模板 validate createvalidate 6.19 标签管理服务的关键操作列表 标签管理服务 (Tag Management Service, 以下简称 TMS) 是一种快速便捷将标签集中管理的可视化服务, 提供跨区域 跨服务的集中标签管理和资源分类功能, 为客户提供统一的控制台与 API 接口, 并最终实现用户对资源的使用权限 计费与管理高效结合 通过云审计服务, 您可以记录与标签管理服务相关的操作事件, 便于日后的查询 审计和回溯 说明 由于 TMS 属于 Global 服务, 所以 TMS 的事件将只在当前局点的中心 Region 呈现 表 6-19 云审计服务支持的 TMS 操作列表 操作名称资源类型事件名称 创建或者删除预定义标签 application addtag/deletetag 修改预定义标签 application modifytag 创建或者删除资源标签 application addresourcetage/ deleteresourcetag 38

43 6 支持审计的服务及详细操作列表 6.20 Anti-DDoS 流量清洗服务的关键操作列表 Anti-DDoS 流量清洗服务是对 IP 地址进行 DDoS 攻击防护的网络安全服务 通过对访问 IP 地址的数据流量进行实时监控, 在网络出口对访问流量进行检测, 及时发现进行 DDoS 攻击的异常流量 在不影响正常业务的前提下, 根据用户配置的防护策略, 清洗掉异常流量 同时为用户生成监控报表, 清晰展示网络流量的安全状况 通过云审计服务, 您可以记录与 Anti-DDoS 流量清洗服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-20 云审计服务支持的 Anti-DDoS 操作列表 开启 Anti-DDos 防护 eip enabledefense 关闭 Anti-DDos 防护 eip disabledefense 调整 Anti-DDos 安全设置 eip modifydefense 开启 Anti-DDos 防护 eip enabledefense 关闭 Anti-DDos 防护 eip disabledefense 调整 Anti-DDos 安全设置 eip modifydefense 6.21 关系型数据库的关键操作列表 关系型数据库 (Relational Database Service, 以下简称 RDS) 是一种基于云计算平台的可即开即用 稳定可靠 按需扩展 便捷管理的在线关系型数据库服务 通过云审计服务, 您可以记录与关系型数据库服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-21 云审计服务支持的 RDS 操作列表 操作名称资源类型事件名称 创建实例 恢复到新实例 (Console OPENAPI TROVEAPI) 创建只读 (Console OPENAPI TROVEAPI) 实例重启 扩容 规格变更 恢复到原有实例操作 (Console OPENAPI TROVEAPI) instance instance instance createinstance createreadreplicate instanceaction 重置密码 (Console) instance resetpassword 39

44 6 支持审计的服务及详细操作列表 操作名称资源类型事件名称 设置数据库版本配置参数 (OPENAPI) 重置实例的数据库版本配置参数 (OPENAPI) 设置备份策略 - 打开, 关闭, 修改 (Console OPENAPI) 修改数据库端口号 (Console) instance instance instance instance setdbparameters resetdbparameters setbackuppolicy changeinstanceport 绑定解绑 EIP(Console) instance setorresetpublicip 修改安全组 (Console) instance modifysecuritygroup 创建标签 (Console OPENAPI) 删除标签 (Console OPENAPI) 修改标签 (Console OPENAPI) 删除集群下的实例 (Console OPENAPI TROVEAPI) 创建快照 (Console OPENAPI) instance instance instance instance backup createtag deletetag modifytag deleteinstance createmanualsnapshot 复制快照 (Console) backup copysnapshot 删除快照 (Console OPENAPI) 创建参数组 (Console TROVEAPI) 修改参数组 (Console TROVEAPI) 删除参数组 (Console TROVEAPI) backup config config config deletemanualsnapshot createparametergroup updateparametergroup deleteparametergroup 复制参数组 (Console) config copyparametergroup 重置参数组 (Console) config resetparametergroup 比较参数组 (Console) config compareparametergroup 应用参数组 (Console) config applyparametergroup 40

45 6 支持审计的服务及详细操作列表 6.22 云桌面的关键操作列表 云桌面 (Workspace) 是一种基于云计算的优于传统桌面的桌面服务 云桌面支持多种设备 ( 包括 Windows 和 Mac 系统的计算机 ipad iphone 和 Android 智能设备 ) 接入, 从而使您能够在任何时间 任何地点访问和存取文件以及应用, 实现移动办公和娱乐 云桌面提供和传统桌面一样的配置 ( 包括 vcpu GPU 内存 磁盘 ) 以及您所熟悉的 Windows 操作系统, 您可以像使用自己的计算机一样使用桌面 通过云审计服务, 您可以记录与云桌面相关的操作事件, 便于日后的查询 审计和回溯 表 6-22 云审计服务支持的 Workspace 操作列表 更新云服务状态信息 workspace updatedesktopmetadata 订购桌面 workspace ordervm 重启虚拟机 workspace rebootdesktop 关闭虚拟机 workspace shutdowndesktop 虚拟机的开机 workspace startdesktop 删除虚拟机 workspace deletedesktop 桌面状态更新 workspace updatedesktopstatus 删除用户信息 workspace deleteuser 导出用户信息 workspace exportuserinfo 用户解锁 workspace unlockuser 重置密码 workspace resetuserpassword 下载用户模板 workspace downloadusermodel 删除按需方法失败的任务 workspace deletejob 域用户请求修改密码 workspace updatedomainuserpassword 统一身份认证服务同步资源租户 workspace syniamresourcetenant 更新策略组 workspace updatepolicy 开户 workspace openservice 修改域密码 workspace updateadpwd 销户 workspace tenantclose 重试服务任务 ( 开户 销户失败任务 ) workspace tenantretryservicetask 41

46 6 支持审计的服务及详细操作列表 恢复基础架构服务器 workspace restoremanagervmbackup 修改云桌面属性 workspace modifydesktopattributes 更新域名 workspace updaterecordset 6.23 MapReduce 服务的关键操作列表 MapReduce 服务 (MapReduce Service, 以下简称 MRS) 是一种基于云计算平台的即开即用 稳定可靠 弹性伸缩 便捷管理的数据处理分析服务 通过云审计服务, 您可以记录与 MapReduce 服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-23 云审计服务支持的 MRS 操作列表 创建集群 cluster createcluster 删除集群 cluster deletecluster 集群扩容 cluster scaleoutcluster 集群缩容 cluster scaleincluster 6.24 数据调度服务的关键操作列表 数据调度服务 (Data Pipeline Service, 以下简称 DPS) 可以帮助您自动化的完成数据在不同服务间的移动和格式转换, 您可以使用 DPS 预定义数据处理任务 任务的执行顺序和调度计划等任务, 而 DPS 则按照预定义任务可靠地完成复杂的数据处理工作 通过云审计服务, 您可以记录与 DPS 服务相关的操作事件, 便于日后的查询 审计和回溯 表 6-24 云审计服务支持的 DPS 操作列表 创建 pipeline pipeline createpipeline 删除 pipeline pipeline deletepipeline 编辑 pipeline pipeline putpipelinedefinition 校验 pipeline pipeline validatepipelinedefinition 启动 pipeline pipeline activatepipeline 停止 pipeline pipeline deactivatepipeline 42

47 6 支持审计的服务及详细操作列表 启动 pipeline pipeline schedulepipeline 恢复 pipeline pipeline restorepipeline 停止 pipeline pipeline stopschedulepipeline 终止 pipeline 调度 pipeline endschedulepipeline 用户状态验证 pipeline customerverifiedstatus 提交 pipeline 订单 pipeline orderperiodicpipeline 设置配额 certificate setquotas 43

48 7 常见问题 7 常见问题 7.1 一个租户下可以开通多个追踪器吗? 目前, 一个租户系统仅支持开通一个追踪器 7.2 事件列表用于记录哪些信息? 事件列表记录了云账户中对云服务资源新建 配置 删除等操作的详细信息 事件列表不记录查询操作的相关信息 7.3 事件列表中的信息可以删除吗? 不可以, 根据 SAC/TC 及国际信息 数据安全管理部门发布的规范, 审计日志必须保持客观全面 准确, 因此不提供删除或修改功能 7.4 哪些用户应该开通云审计服务? 所有云用户均应该开通云审计服务 从政策 行业规范角度, 云审计服务是信息安全审计功能的核心必备组件, 是企事业单位信息系统安全风险管控的重要组成部分, 也是很多行业标准 审计规范的必备组成部分 从应用角度, 云审计服务是云资源出现问题时, 降低问题定位时间和人力成本的有效手段, 能够精确定位到问题发生时的所有操作, 借以减小问题排查范围 7.5 事件文件可以存储多长时间? 默认情况下, 云审计服务管理控制台可存储最近 7 天内的事件文件, 而对于已保存至 OBS 桶的历史操作记录, 您可以无限期存储这些事件文件 44

49 7 常见问题 7.6 如果用户已开通云审计服务, 但 OBS 桶未配置正确的策略, 会出现什么情况? 云审计服务会根据既有的 OBS 存储桶策略来传送事件文件 如果错误地配置 OBS 存储桶策略, 那么云审计服务将无法传送事件文件 被删除或有异常的 OBS 桶, 管理控制台界面会显示相应的错误提示信息 用户可选择重新创建 OBS 桶或重新配置 OBS 桶的访问权限, 操作详情请参见 对象存储用户指南 的 管理桶 章节 7.7 云审计服务是否支持事件文件的完整性校验? 支持 原则上进行完整性校验时必须包含以下字段 :time service_type resource_type trace_name trace_status trace_type, 其他字段由各服务自己定义 7.8 启用云审计服务是否会影响其他云服务资源的性能? 不会 启用云审计服务不会影响其他云服务资源的性能 7.9 为什么查看事件窗口中, 有些事件的 IP code request response 和 message 字段为空? IP code request response 和 message 字段并非云审计服务规定的必备字段 : IP: 当 trace type 为 SystemAction 时, 表示本次操作由服务内部触发, 此时缺失 IP 字段为正常情况 request/response/code: 这三个字段是表示本次操作所对应的请求内容 请求结果及 HTTP 返回码, 在有些情况下, 这些字段本身为空, 或不具备业务意义, 产生该事件的云服务会根据实际情况选择某字段留空 message: 该字段为预留字段, 若其他云服务基于业务需要, 需要增加额外信息时, 可附加在该字段内, 缺失为正常情况 7.10 为什么事件列表中有些事件的为超链接可以跳转, 有些为非超链接? 目前 CTS 仅支持部分 ECS EVS VBS IMS AS CES 和 VPC 的操作通过跳转到对应云资源的详情页面, 该功能正在逐步完善 7.11 为什么事件列表中的某些操作被记录了两次? 对于异步调用事件, 会产生两条事件记录, 其事件名称 资源类型 资源名称等字段相同 在事件列表中, 看起来是重复记录了操作 ( 例如,Workspace 的 deletedesktop 事件 ), 但实际上, 这两条事件是相互关联 但内容不同的两条记录, 典型的异步调用场景时间如下 : 45

50 7 常见问题 第一条事件 : 记录用户发起的请求 ; 第二条事件 : 记录用户请求的操作结果, 通常与第一条时间记录有数分钟的延迟, 记录用户请求的实际响应结果 两条事件需要结合在一起, 才能反映用户本次操作的真实结果 7.12 为什么在事件列表中按照操作用户进行筛选时, 存在 user_name/op_service 用户? 当用户发起的某些请求涉及后台一些高权限要求的操作或涉及调用其他服务时, 可能存在用户自身的权限不足的问题, 因此在确保符合安全要求的前提下, 会临时对该请求中的用户身份进行提权, 请求完成后提权结束, 但会将提权行为记录到该请求发送到 CTS 的日志当中, 此时的操作用户将记录为 user_name/op_service 7.13 OBS 桶有标准存储 低频访问存储和归档存储三种类型, 哪一种适用于 CTS 存储事件文件? 由于云审计服务需要高频次的访问转储的 OBS 桶, 因此必须使用标准存储类型的 OBS 桶 7.14 为什么有些 trace_type 为 systemaction 的事件, 存在 user source_ip 为空的情况? trace_type 字段的业务意义为标示请求来源, 该字段可以是控制台 (ConsoleAction) API 网关 (ApiCall) 及系统内调用 (SystemAction) 系统内调用为非用户触发的操作, 例如自动触发的告警 弹性伸缩 定时备份任务以及为完成用户请求产生的系统内部次级调用等, 这种情况下, 不存在直接触发操作的用户或设备, 根据审计的客观性原则, 该两个字段为空 7.15 事件级别中的 normal warning 和 incident 分别代表什么? 云审计服务根据操作记录中的 trace_status 来定义事件级别, 不同的字段代表的意义如下 : normal: 代表本次操作成功 warning: 代表本次操作失败 incident: 代表本次操作引起了比失败更严重的后果, 比如会造成节点故障或用户业务故障等情况 46

51 A 修订记录 A 修订记录 发布日期 修订记录 第一次正式发布 47