本文為您介紹基于操作審計的跟蹤和告警功能，對創建RAM用戶進行監控并通過短信通知方式進行告警。
前提條件
請確保您已開通日志服務。當您首次使用日志服務時，需要登錄日志服務控制臺，根據頁面提示開通日志服務。更多信息，請參見什么是日志服務。
當您使用日志服務時，會根據日志的存儲量、短信通知產生相關費用。更多信息，請參見日志服務計費概述。
背景信息
現代企業數字化轉型過程中，隨著云上賬號使用的普及，企業開始對云上賬號管理以及賬號安全逐漸重視。私自創建賬號會造成敏感信息泄露，同時可能被用于非法活動，如網絡攻擊、欺詐、惡意競爭等，給企業或個人帶來嚴重損失。本文為您介紹基于操作審計的跟蹤和告警功能，對創建RAM用戶操作進行監控，并且通過短信通知的方式進行告警。
步驟一：創建跟蹤
若當前賬號下未創建跟蹤或者不在符合以下條件的跟蹤請先創建符合條件的跟蹤：
跟蹤地域為所有地域。
跟蹤事件類型包含管控事件。
跟蹤事件讀寫類型為所有事件。
將跟蹤事件投遞到日志服務SLS。
步驟二：啟用事件告警
若您的賬號未啟用事件告警功能，可以按照以下操作步驟開啟事件告警：
登錄操作審計控制臺。
在左側導航欄，單擊事件告警。
在事件告警配置頁面，跟蹤名稱選擇步驟一所創建的跟蹤。
單擊立即開啟事件告警。
步驟三：配置自定義告警
創建告警規則
登錄操作審計控制臺。
在左側導航欄，單擊事件告警。
選擇告警規則頁簽，單擊新建告警，按照界面提示完成規則配置。
請注意以下參數（其他參數按需設置）。
配置項
要求
查詢統計
在查詢統計中將日志庫設置與步驟一所創建跟蹤投遞的目標SLS日志庫（格式為actiontrail_跟蹤名稱）保持一致。
查詢語句設置為：
(event.serviceName:Ram or event.serviceName:Ims) and event.eventName:CreateUser | SELECT "event.userIdentity.principalId" as operator, "event.resourceName" as user, date_format(__time__, '%Y-%m-%d %H:%i:%s') as time
觸發條件
觸發條件設置為當有數據時。
告警嚴重度，可以根據實際業務場景設置告警嚴重程度。
單擊確定。
創建告警內容模板
在左側導航欄，單擊事件告警。
在告警中心頁面，選擇通知策略 > 內容模板。
在內容模板管理頁面，單擊創建，按照界面提示完成內容模板配置。
將內容模板類型切換為短信，并將發送內容設置為以下信息。
阿里云用戶：{{ alert.aliuid }} 告警規則名稱：{{ alert.alert_name }} 告警等級：{{ alert.severity | format_severity }} {% for result in alert.fire_results %} 操作人：{{ result.operator }}于{{ result.time }}創建RAM用戶：{{ result.user }} {% endfor %}說明內容模板中
{{ 參數名 }}表示引用模板變量，通過{% for result in alert.fire_results %}遍歷所有查詢結果并通過{{ result.參數名 }}獲取操作事件內的指定參數。更多內容模板參數和語法說明，請參見內容模板語法（新版）。單擊確認。
創建告警通知用戶
在左側導航欄，單擊事件告警。
在告警中心頁面，選擇通知對象 > 用戶管理。
在用戶管理頁面中，單擊創建，在添加用戶面板完成信息填寫。
手機號：用于接收告警信息的手機號，需開啟才能接收告警。
啟用：保持開啟，若關閉則無法正常接收告警。
單擊確認。
創建行動策略
在左側導航欄，單擊事件告警。
在告警中心頁面，選擇通知策略 > 行動策略。
在行動策略頁面，單擊創建，在添加行動策略設置面板中完成信息填寫。
在第一行動列表中完成條件和行動組配置。
配置項
要求
條件設置
單擊
圖標，在條件設置對話框中將規則選擇為步驟創建告警規則中所創建的監控規則。行動組
渠道設置為短信。
接收人設置為步驟創建告警通知用戶中所創建的用戶。
單擊確認。
開啟告警并關聯行動策略
步驟四：驗證告警規則
登錄RAM控制臺，創建RAM用戶。
查詢接收短信，以下為通知內容示例。
【阿里云】日志服務告警：共有1條告警。告警詳情為： 阿里云用戶：159498693826**** 告警規則名稱：RAM用戶創建監控告警 告警等級：中級 操作人：27723316148169****于2023-07-14 17:08:15創建RAM用戶：test-create-a***@actiontrail-test.onaliyun.com 操作人：27723316148169****于2023-07-14 17:31:00創建RAM用戶：test-create-u***@actiontrail-test.onaliyun.com
常見問題
RAM用戶在操作審計控制臺創建跟蹤提示無權限。
當您使用RAM用戶進行配置時，需要授予RAM用戶訪問和管理操作審計的權限。具體操作，請參見為RAM用戶授權。