镜像仓库日志审计基于日志服务（TLS）实现，支持对镜像推送和拉取日志进行实时检索、过滤和分析，帮助您定位问题和了解镜像使用情况。

注意

本操作仅适用于标准版实例。

日志默认保存 7 天，如果需要保存更长时间，可在页面顶部单击 设置日志保存时间 修改。

日志费用由日志服务单独收取，详细请参见日志服务计费概述。

## 使用场景以下为常见日志检索分析场景及检索语句示例。 |**场景** |**说明** |**推荐检索语句** | |---|---|---| |排查镜像拉取异常 |检索指定 IP 或用户名的操作记录，快速定位拉取失败的原因。 |`action:Pull AND clientIP:x.x.x.x` | |审计公网推送行为 |筛选公网环境的推送记录，识别非预期的公网暴露风险。 |`action:Push AND clientEnv:Public` | |追踪镜像变更来源 |查看指定镜像的推送记录，确认推送人、推送时间和来源 IP。 |`action:Push AND resource:nginx` | |统计镜像拉取热度 |统计拉取次数最高的镜像，指导缓存和分发策略。 |`action:Pull \| SELECT resource, COUNT(*) AS cnt GROUP BY resource ORDER BY cnt DESC LIMIT 10` | |监控访问趋势 |按时间维度统计推拉 PV，发现异常流量或访问高峰。 |`* \| SELECT DATE_FORMAT(__time__ - __time__ % 300000, 'Y-M-d HH:mm') AS time, COUNT(*) AS PV GROUP BY time ORDER BY time` | ## 前提条件已开启日志审计服务，操作详情参见 [开启日志审计](https://www.volcengine.com/docs/6420/1337218?lang=zh)。 ## 操作步骤 1. 登录目标实例。 1. 登录 [镜像仓库控制台](https://console.volcengine.com/cr)。 2. 在顶部导航栏，选择目标地域。 3. 在左侧导航栏单击 **实例列表**，在 **实例列表** 区域中找到目标实例，单击 **进入实例**。 2. 在实例页面左侧导航栏单击 **日志审计**。 3. 在 **日志审计 \> 检索分析 ** 页面，输入检索分析语句并单击 **搜索**。

说明

检索分析页面支持多种检索语法，详细规则参见日志服务检索语法。

4. 查看检索分析结果。检索结果支持以下查看方式，您可以根据分析目标灵活切换。 |**查看方式** |**说明** | |---|---| |原始日志 |以原始格式或表格格式逐条展示日志内容。支持按时间排序、换行显示、紧凑布局等配置。详细说明参见日志服务 [单主题检索日志](https://www.volcengine.com/docs/6470/1206094)。 | |日志聚类 |对日志进行智能聚类分析，将相似日志归为一组，帮助快速发现日志模式和异常。详细说明参见日志服务 [使用日志聚类分析数据](https://www.volcengine.com/docs/6470/2131418)。 | |图表分析 |通过图表可视化展示分析结果（如折线图、柱状图、饼图等），需配合 SQL 分析语句使用。支持配置图表类型、样式和交互事件。详细说明参见日志服务 [检索分析图表概述](https://www.volcengine.com/docs/6470/1206702)。 | ## 日志字段日志审计中记录的镜像仓库操作日志字段信息如下：![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_4ba49d4e3c561a5dbd01fa18dd2c84ee.png) |参数 |说明 | |---|---| |clientEnv |客户端请求的来源环境。

* Public：公网。

* Private：私网。 | |clientAgent |客户端请求的来源。例如 Docker、Containerd。 | |action |客户端请求操作的名称。

* Pull：拉取镜像。

* Push：推送镜像。 | |accountID |镜像仓库实例所属火山引擎主账号的 ID。 | |clientIP |客户端请求的来源 IP。 | |host |客户端请求实例的域名。 | |registry |镜像仓库实例名称。 | |resource |目标镜像的地址。 | |time |镜像推送或拉取的时间。

* 拉取镜像时：表示拉取开始的时间

* 推送镜像时：表示推送完成的时间。 | |username |登录客户端请求实例的用户名。 | |_path_ |固定为 `cr`。 | |_source_ |固定为 `cr`。 | ###