本文为您介绍操作审计支持的事件结构字段。

CloudTrail Event 顶层字段

字段名称	类型	出现条件	说明
EventVersion	string	必现	CloudTrail Event 结构版本，用于标识当前事件遵循的字段协议版本。
EventCategory	string	必现	事件类别，用于区分事件所属的数据范畴。枚举值： Management：管控面或管理事件 Data：数据面事件
EventID	string	必现	事件唯一标识，用于在审计日志中唯一定位一条事件。
RequestID	string	必现	原始业务请求 ID，用于将 CloudTrail Event 与服务侧请求日志、Trace 或响应关联。
EventTime	string	必现	事件发生时间。
EventType	string	必现	事件来源类型。枚举值： ApiCall：API 请求事件 ServiceEvent：服务主动产生的事件 ConsoleOperation：控制台操作事件 ConsoleSignIn：控制台登录事件 ConsoleSignOut：控制台登出事件
UserIdentity	object	必现	请求者身份相关信息，该字段包含多条信息，请参考下方UserIdentity表。
EventSource	string	必现	产生事件的服务名称或服务代码。
EventName	string	必现	被记录的 API 名称或操作名称。
Region	string	必现	事件发生的地域，例如 cn-beijing。
SourceIPAddress	string	必现	请求的来源IP地址，如果请求由云服务发起，则该字段取请求的服务名称。
UserAgent	string	客户端或服务可识别调用来源时出现	请求的客户端代理，可能是浏览器与版本信息、SDK与版本信息等。
RequestParameters	string	请求入参可记录且完成脱敏后出现	请求传递的参数。该字段因云产品支持情况不同，部分云产品可能会缺失该信息。
ResponseElements	string	存在关键响应内容时出现	请求的响应参数。该字段因云产品支持情况不同，部分云产品可能会缺失该信息。
ReadOnly	string	服务能够标识读写语义时出现	是否为只读操作。取值： true：只读操作，不改变资源状态 false：写操作或可能改变资源状态的操作
Resources	string	兼容场景出现	事件所访问的云资源，用于以字符串形式记录资源列表；结构化资源优先参考 RelatedResources。该字段因云产品支持情况不同，部分云产品可能会缺失该信息。
ApiVersion	string	服务能够提供 API 版本时出现	事件请求的API版本信息，与云产品API文档中提供的API版本一致。
ErrorCode	string	操作失败时出现	操作失败时的错误码；操作成功时通常为空。
ErrorMessage	string	操作失败时出现	操作失败时的错误信息；操作成功时通常为空。该字段可能包含服务返回的失败原因，应避免写入敏感明文。
AdditionalEventData	string	服务需要补充非请求/响应信息时出现	除请求参数和响应元素之外的服务自定义事件数据，用于补充记录业务侧需要保留在 CloudTrail Event 中的额外信息。
RelatedResources	array	可解析出结构化资源时出现	结构化资源列表，用于该事件操作和影响的资源；字段展开见「RelatedResources 字段」。
OperationType	string	服务能够提供操作语义分类时出现	事件的操作类型
SharedEventID	string	跨账号共享事件场景出现	共享事件关联 ID，用于关联跨账号场景下的同一业务事件。
RecipientAccountID	string	跨账号事件场景出现	跨账号事件接收方账号 ID。
ExtraIndex	string	服务需要补充检索维度时出现	服务侧自定义搜索索引字段，用于补充 CloudTrail 查询或检索维度。

UserIdentity 字段

UserIdentity 描述触发事件的身份主体。它可以表示用户、角色、服务主体、联邦身份或未知主体。

字段名称	类型	出现条件	说明
AccountID	string	必现	请求的身份主体所属账号 ID。
Type	string	必现	请求的身份主体类型。枚举值： Root：根账号主体 IAMUser：IAM 用户 AssumedRole：扮演角色主体 Service：服务主体 SAMLUser：SAML 联邦用户 OauthUser：OAuth 用户 OIDCUser：OIDC 联邦用户 Role：角色主体 Unknown：未知身份类型
PrincipalID	string	按身份类型出现	请求者身份ID。
UserName	string	按身份类型出现	请求的身份主体的展示名或登录名。
TRN	string	按身份类型出现	请求的身份主体对应的资源名称。
AccessKeyID	string	AK/SK 鉴权场景出现	请求使用的访问密钥 ID；没有使用 AK/SK 鉴权时可为空。
IdentityProvider	string	联邦身份场景出现	联邦身份提供方标识，适用于 SAML、OIDC、OAuth 等联邦登录场景。
CredentialID	string	凭证体系提供 CredentialID 时出现	请求使用的凭证 ID。

RelatedResources 字段

RelatedResources 是结构化资源列表，用于描述事件涉及的一个或多个资源。每个元素代表一个相关资源。

字段名称	类型	出现条件	说明
ServiceCode	string	必现	资源所属服务代码。
IntegratedTrn	string	必现	资源的标准化 TRN，用于唯一描述该资源。
ResourceType	string	必现	资源类型。
ResourceID	string	必现	资源 ID。
SourceType	string	必现	资源来源。枚举值： request：资源从请求数据中解析得到 response：资源从响应数据中解析得到
AccountID	string	必现	资源所属账号 ID。

示例