通过ActionTrail监控AccessKey的使用

ActionTrail是阿里云官方提供的审计产品，支持审计超过四十款云产品，具体情况请查看文档：支持的云服务列表。如果有监控AccessKey的需求，那么ActionTrail会是您的得力助手。本文将介绍如何通过ActionTrail监控AccessKey的使用。

使用历史事件

首先进入ActionTrail控制台，开通ActionTrail服务之后，便可以看到最近30天的审计事件。ActionTrail控制台支持通过AccessKeyId来检索事件。这里需要注意的是，要切换到所有可能的region，才能看到AccessKey的全部使用情况，稍显麻烦。

使用跟踪

通过将审计事件投递到日志服务。ActionTrail还可以实现对AccessKey的监控和报警。下面介绍一下操作过程。

进入跟踪列表页面，新建一个跟踪，并将审计事件投递到日志服务中。ActionTrail会将所有region的审计事件都投递到指定的logstore中，比起历史事件更容易分析。

配置日志服务

日志服务具有非常丰富的功能，包括数据分析、报表和报警。

下面介绍一下如何配置报警。日志服务告警功能官方文档：设置告警。

首先创建一个查询，并且将其另存为快速查询。

event.userIdentity.accessKeyId: "LTAIT04MwpKReB7Z" | select count(1)  as use_ak_LTAIT04MwpKReB7Z

接着基于快速查询创建报警。每隔5分钟检查最近10分钟的数据。如果LTAIT04MwpKReB7Z在十分钟内被用过一次，那么就报警。

收到的报警如下所示。

【阿里云】日志服务告警:账号71887****@qq.com下项目henshao-test-send-sls-600/触发器use_ak_b7z生效2 > 1,内容AccessKey: LTAIT04MwpKReB7Z 正在被使用, 上下文[use_ak_LTAIT04MwpKReB7Z:2]

创建的快速查询和报警都可以在项目界面进行查看和管理。