用云审计服务 CTS 追踪云上操作记录的实践笔记

一、为什么需要审计日志 云上的资源越来越多，ECS、RDS、安全组、OBS 桶都在同一个账号下跑。平时没事还好，一旦出现「安全组规则是谁改的」「这台云主机是谁删的」这类问题，如果没有操作记录，基本只能靠猜。最近我在华为云上把云审计服务 CTS 用了起来，把云资源的操作事件完整记录下来，这里把开通和使用的过程整理成一篇笔记。

二、CTS 记录什么 CTS 记录的是账号下云服务资源的管理类操作事件，比如创建、删除、修改云主机，变更安全组规则，增删用户与权限策略等。每个事件都包含操作时间、操作者、来源 IP、请求参数和返回结果等信息。有了这些记录，追溯一次变更的来龙去脉就很直接了。

三、开通与配置步骤 1. 在控制台进入「云审计服务 CTS」，按提示开通服务，系统会生成默认的管理事件追踪能力。 2. 创建追踪器，把事件转储到对象存储 OBS 的桶里长期保存。控制台里查日志有保留期限，转储到 OBS 后可以自己决定保存多久。 3. 如果关注数据类事件（比如 OBS 对象的读写），需要在追踪器里单独开启数据事件，默认只记管理事件。 4. 对特别敏感的操作（删除资源、修改安全组、变更权限），可以配合消息通知服务 SMN，把关键事件推送出来，及时感知。

四、日常查询技巧 - 按时间范围、服务类型、资源类型、操作者几个维度组合筛选，先缩小范围再看详情。 - 一次 API 调用可能产生多条关联记录，用事件里的 trace 标识可以把同一次调用的记录串起来看。 - 排查问题时优先看失败的事件，错误码和返回信息往往直接指向原因，比如权限不足、参数非法。 - 转储到 OBS 的日志文件是按时间分片的 JSON，量大时可以用脚本批量拉下来做离线检索。

五、注意事项 - 转储到 OBS 的日志有分钟级的延迟，刚做完的操作别急着在文件里找，先在控制台事件列表里看。 - 数据事件的量可能很大（对象读写频繁的桶尤其明显），开启前先评估存储成本，别无差别全开。 - 审计桶本身建议开启防删除和版本控制，避免日志被误删或篡改，否则审计就失去意义。 - 多账号场景下，可以把各账号的日志汇聚到一个专门的审计账号统一管理。

六、小结 CTS 这类服务平时存在感很低，但出问题时就是唯一的线索来源。开通成本几乎为零（服务本身免费，主要成本是转储占用的 OBS 存储），建议资源一上云就把审计打开，并把关键操作的通知配好，算是给整个账号留一份可追溯的操作底账。

—— 实践记录，仅供参考