华为云 CTS 云审计：追踪器类型、控制台查询窗口与日志留存边界

先分清“能在控制台看到”和“真正留得住”

云审计服务（Cloud Trace Service，CTS）用来收集、存储和查询云资源上的操作记录，官方把它定位为安全分析、合规审计、资源跟踪和问题定位的基础能力。它记录的操作包括三类：用户登录管理控制台、通过 API 发起的操作，以及各服务内部自行触发的操作。做方案时最容易混的，是把“控制台事件列表里能搜到”当成“审计日志已经按合规期限保存下来了”。

官方工作原理写得很清楚：管理控制台会保存最近 7 天的操作记录，过期自动删除，不支持人工删除。若要查询 7 天以前的记录，必须事先把事件转储到对象存储（OBS）桶或云日志服务（LTS）日志流。没有配置转储，7 天之外的记录在控制台上是找不到的，也不能补救式地从控制台把已过期记录再导出一次。

一、追踪器不是“一个筐装所有事件”

追踪器分两类。管理类追踪器记录管理事件，也就是对云服务资源的新建、修改、删除、查询等操作，会自动识别并关联当前租户正在使用的云服务。数据类追踪器记录的是数据事件，目前主要是对象存储桶内的读写操作，例如上传、下载。

首次开通云审计服务时，系统会自动创建一个名为 system 的管理追踪器；之后在追踪器页面手动创建的，是数据追踪器。官方说明：一个租户仅支持创建 1 个管理追踪器和 100 个数据追踪器。因此不要指望再新建第二个管理追踪器来“拆分账号”或“给某个项目单独做管理审计”，管理事件都落在这一条 system 追踪器里；若要对 OBS 对象读写做更细的审计，才需要按需创建数据追踪器。

在追踪器界面，可以对追踪器执行启用、停用、删除和配置。停用之后，新的操作不会再按预期写入；删除更要谨慎。排障时如果事件列表是空的，除了看时间窗，也要先确认追踪器仍处于启用状态，并且所查的操作属于该类追踪器覆盖的事件类型。

二、事件列表默认只看最近 1 小时，最多也只有近 7 天

事件就是 CTS 保存下来的操作日志，用来回答“谁在什么时间对哪些资源做了什么”。事件列表最多显示近 7 天的事件，默认情况下显示最近 1 小时的事件。查询时可以按事件类型、事件来源、资源类型、筛选类型、操作用户和事件级别等维度组合过滤，但这些过滤都改变不了“控制台窗口只有 7 天”这条边界。

排障或审计时，如果只打开事件列表、却没有先把时间范围从默认的 1 小时放大到需要的区间，很容易误判“刚才那次操作没被记下来”。建议先确认时间窗，再确认追踪器是否启用，最后再看筛选条件是否过窄。

三、要留存超过 7 天，必须先配置转储

CTS 支持把审计日志周期性转储到 OBS 桶，转储时按服务维度压缩为事件文件，格式为 json；也支持转储到 LTS 日志流。通常情况下，单个服务在单个转储周期内产生的事件会压缩成一个事件文件，事件量大时系统会按负载调整每个文件包含的事件数。官方还提到：转储过程中可以使用密码安全中心（DEW）中的密钥加密事件文件；特定操作发生时，可以通过消息通知服务（SMN）向手机或邮箱发通知。这些都是可选项，不会因为开通了 CTS 就自动长期保存或自动告警。

事件文件还可以做完整性校验：系统为事件文件生成哈希值，并用 RSA 算法对摘要文件签名。文件被修改或删除后哈希会变化，便于事后判断转储文件是否被篡改。这解决的是“转储出去以后还能不能证明没被改过”，并不能替代“必须先配置转储”这一步。

如果要查 7 天前的记录，应到已配置的 OBS 桶中下载事件文件，或在对应的 LTS 日志流中查看。转储桶的权限不足、前缀或生命周期规则配置不当、追踪器被停用，都可能导致长期留存失败。配额、区域能力和计费请以目标区域控制台和官方说明为准，本文不编造具体价格或保留月数。

四、上线前核对清单

1. 确认已开通 CTS，并存在系统自动创建的 system 管理追踪器，且处于启用状态。
2. 如果需要对 OBS 对象的上传、下载等读写做审计，再单独创建数据追踪器，不要把这类事件期待在管理事件里全部看到。
3. 在事件列表里先把时间范围从默认的最近 1 小时调整到实际要查的区间，并记住控制台最多只能查近 7 天。
4. 按合规或排障需要的留存期限，提前配置转储到 OBS 或 LTS；需要加密或关键操作通知时，再分别配置 DEW 与 SMN。
5. 定期抽查转储文件是否按时生成，必要时核对其完整性校验结果；不要只看控制台近 7 天列表就认为审计归档已经完成。
6. 具体支持的服务和操作、追踪器配额及控制台菜单名称以目标区域当前文档为准。

官方参考

• 什么是云审计服务
• 工作原理
• 基本概念

说明：控制台查询窗口、追踪器数量和转储能力以官方产品介绍为准；若控制台与文档存在区域差异，以目标区域控制台为准。