文档中心

操作审计

常见问题

为什么高级检索查不到日志？

高级检索查询的是跟踪已投递至 TLS 日志主题中的日志。查不到日志时，可按以下顺序排查：查询的时间窗内确实无满足条件的日志

可能原因	排查与处理方式
查询时间范围内没有符合条件的日志	检查时间范围和查询条件，适当扩大时间范围或减少筛选条件后重试。
跟踪刚创建，尚未收到投递数据	等待日志投递后重试。创建跟踪不会自动补齐此前的历史日志；如需查询近 90 天的历史事件，可使用基础检索，或申请开通事件补投能力。
跟踪的采集范围未包含目标事件	检查关联跟踪的事件源和读写类型配置。例如，仅采集读操作的跟踪不会投递写操作日志。
TLS 日志主题的索引配置不符合要求	检查是否复用了已有索引的日志主题，或修改了 CloudTrail 系统索引，按下方方式处理。

索引配置问题如何处理？

创建跟踪时，如果复用的 TLS 日志主题已经配置了索引，CloudTrail 不会自动为其设置系统索引。自行修改系统索引也可能影响高级检索。您可以选择以下方式处理。

方案一：为原日志主题重建索引

适用于需要继续查询原主题中已存储日志的情况。

索引字段	字段类型	json keys	分词符	统计
EventVersion	text			开启
EventID	text			开启
RequestID	text			开启
EventTime	text			开启
EventType	text			开启
EventCategory	text			开启
UserIdentity	json	Key-类型 AccountID-long Type -text PrincipalID -long UserName -text TRN -text AccessKeyID -text		开启
EventSource	text			开启
EventName	text			开启
Region	text			开启
SourceIPAddress	text			开启
UserAgent	text			开启
RequestParameters	text			开启
ResponseElements	text			开启
ReadOnly	text			开启
Resources	text			开启
ApiVersion	text			开启
ErrorCode	text			开启
ErrorMessage	text			开启
ExtraIndex	text			开启
RelatedResources	text		,{}	开启
OperationType	text			开启

方案二：更换为未配置索引的 TLS 日志主题

修改跟踪的 TLS 投递配置，选择尚未创建索引的日志主题，由 CloudTrail 自动配置系统索引。等待新日志投递后，在高级检索中选择对应跟踪进行查询。

请注意：更换日志主题不会迁移原主题中的历史日志。如需查询原主题内的日志，请修复原主题的索引。

最近更新时间：2026.10.15 12:19:07

这个页面对您有帮助吗？

有用

无用