用云审计加一条登录异常提醒，踩过的几个小坑

最近在华为云上把「云审计 + SMN」串起来做登录异常提醒，过程比想象中碎一点，记几条自己踩过的坑，方便以后复盘。

为什么要做

控制台权限一多，账号登录异常就很难靠肉眼盯。我想要的效果很简单：有人从陌生 IP 或异常时段登录时，手机或邮件能收到一条短通知，而不是事后去翻审计日志。

实际做法

1. 打开云审计，确认跟踪已开启，事件投递到自己能查的地方。
2. 用 SMN 建主题，订阅手机号或邮箱，先发一条测试消息确认能收到。
3. 按「异常登录」一类规则做过滤，尽量只推真正关心的事件，避免刷屏。
4. 用一次模拟登录或测试事件核对整条链路：审计有没有记下、主题有没有触发、订阅端有没有到。

踩坑

• 权限范围：只开了审计查看权限时，创建跟踪或改投递会失败，要先把对应 IAM 权限补齐。
• 订阅确认：邮箱订阅经常卡在「未确认」，不点确认链接就永远收不到。
• 规则过宽：一开始过滤条件太松，正常登录也会推，后来收窄到异常 IP / 非常用时段才好用。
• 延迟体感：偶发几分钟才到，排查时别急着判定链路断了，先看审计时间戳和 SMN 投递记录。

小结

这条链路不复杂，但「权限、订阅确认、规则粒度」三处最容易卡。跑通之后，日常基本不用再手动翻审计，有异常会自己找上门。如果你也在用云审计做安全提醒，欢迎交流你的过滤条件是怎么定的。