文档中心

日志服务

请输入

CloudTrail 日志采集

采集 CloudTrail 日志

本文档介绍CloudTrail 日志相关的功能介绍、采集方法。

功能概述

操作审计（CloudTrail）是火山引擎为客户提供的账号访问日志审计服务。通过操作审计，您可以跟踪主账号或访问控制内用户、角色等身份访问控制台及 OpenAPI 的行为。

支持将账号内的审计日志按照一定的筛选条件投递到指定的日志服务中。

相关配置如下：

配置	说明
日志类型	操作审计事件跟踪日志。
日志存储位置	在操作审计创建事件跟踪任务时，可在控制台根据提示创建对应日志项目和日志主题，管理日志资源详情请参考管理 CloudTrail 日志资源。日志项目：自定义日志主题：自定义
日志存储时长	默认为 30 天。
日志分区	预设 5 个分区。支持开启自动分裂日志主题分区，在写入流量较大时分裂分区以满足数据写入需求。
索引设置	自动配置索引。
日志字段	详细的日志字段列表请参考 CloudTrail 日志字段。

采集 CloudTrail 日志

使用限制、创建操作审计事件跟踪任务至日志服务操作，详情请参考事件跟踪（转存日志）。

CloudTrail 日志字段

字段	说明
EventVersion	事件版本，当前为 V1.1。
EventID	事件的唯一 ID，标识一条审计日志。
RequestID	请求 ID，标识一条唯一的请求，一个请求 ID 可能串联多条事件。
EventTime	事件发生时间。
EventType	事件类型。控制台访问为 ConsoleOperation，编程访问为 ApiCall，登录为 ConsoleSignIn，登出为 ConsoleSignOut。
UserIdentity	请求者身份相关信息，该字段包含多条信息，请参考下方 UserIdentity 字段说明。
EventSource	请求的云服务，一般为云产品的英文服务名，如：ecs。
EventName	请求的名称，一般为云产品的 API 接口名，如：Runinstance。
Region	请求的地域，如：cn-beijing。
SourceIPAddress	请求的来源IP地址，如果请求由火山引擎云服务发起，则该字段取请求的服务名称
UserAgent	请求的客户端代理，可能是浏览器与版本信息、SDK 与版本信息等。
RequestParameters	请求传递的参数。该字段因云产品支持情况不同，部分云产品可能会缺失该信息。
ResponseElements	请求的响应参数。该字段因云产品支持情况不同，部分云产品可能会缺失该信息。
ReadOnly	事件是否是读类事件，表示请求是只读操作，对应写类事件，表示请求是写操作。该字段因云产品支持情况不同，部分云产品可能会缺失该信息（默认为 false）。
Resources	事件所访问的云资源。该字段因云产品支持情况不同，部分云产品可能会缺失该信息。
ApiVersion	事件请求的 API 版本信息，与云产品 API 文档中提供的 API 版本一致。

UserIdentity 字段说明

字段	说明
AccountID	请求者身份所属的主账号 ID。
Type	请求者的身份类型，取值为 root，IAMUser，AssumedRole，Service，分别代表主账号、IAM 用户、IAM 角色、云服务。
PrincipalID	请求者身份 ID。
UserName	请求者身份名称。当主账号请求时，显示为root固定值。子用户请求时，显示为${UserName}，即用户名。角色请求时，显示为${RoleName}/${RoleSessionName}，其中${RoleName}为角色名，${RoleSessionName}为临时会话标识，可用于区分同一角色的不同会话。
TRN	请求者身份的资源名称标识。
AccessKeyID	请求者身份使用的密钥 Access Key Id。

最近更新时间：2026.02.03 14:53:42

这个页面对您有帮助吗？

有用

无用