用 CTS 追踪一次误删资源的操作来源

同事反馈某个测试桶里的文件突然少了一批，怀疑有人误操作。先开 CTS 的追踪器看记录。进入云审计，按资源类型筛选 OBS，时间范围框到疑似时段前后半小时。记录里能看到每个操作的主体、动作、资源名和来源 IP。很快就定位到一条 DeleteObject 的批量调用，操作主体是个子账号，来源 IP 属于办公网段。继续看这个子账号当天的其他记录，发现前面还有一批 ListObjects 的枚举操作，说明是有意图的清理而不是误触。事后给这个子账号的删除权限收了，改成只能通过审批流程执行。CTS 默认只保留七天，重要操作建议配置 OBS 转储做长期留存，这点很容易被忽略。