步驟一：創建跟蹤

以創建單賬號跟蹤為例，為您介紹如何創建跟蹤并將事件投遞到日志服務SLS。

1. 登錄操作審計控制臺。

2. 在左側導航欄，單擊跟蹤。

3. 在頂部導航欄選擇您想創建單賬號跟蹤的地域。

   說明

   該地域將成為單賬號跟蹤的Home地域，即創建跟蹤的地域。

4. 在跟蹤頁面，單擊創建跟蹤。

5. 在創建跟蹤頁面，設置跟蹤的相關參數。

   • 在基本信息區域，設置日志事件。

     參數	說明
     跟蹤名稱	跟蹤的名稱。同一阿里云賬號中跟蹤名稱不能重復。
     跟蹤事件	默認為管控事件。

   • 在管控事件投遞區域。

     • 事件讀寫類型選擇為所有事件。

     • 勾選將事件投遞到日志服務SLS。

     • 投遞賬號選擇為投遞到本賬號。

     • 日志項目選擇創建新的日志項目后需要選擇日志庫所屬地域，并輸入新的日志項目名稱。

6. 單擊確認。

步驟二：在日志服務SLS中查詢事件并設置告警

1. 在操作審計控制臺，單擊跟蹤。

2. 將鼠標懸浮到目標跟蹤存儲服務列的SLS或SLS&OSS，然后單擊SLS日志庫名稱。

3. 在頁面右上角，單擊最近15分鐘，設置查詢的時間范圍。

4. 在搜索框中輸入查詢語句：event.userIdentity.accessKeyId: "<YourAccessKeyId>" | select count(1) as use_ak_<YourAccessKeyId>，然后單擊查詢/分析。

   說明

   <YourAccessKeyId>請替換為您自己的AccessKey ID。

5. 將事件另存為快速查詢或另存為告警。

   • 另存為快速查詢：單擊頁面右上角的圖標，輸入快速查詢名稱后，單擊確定。

     說明

     將事件另存為快速查詢后，您可以在日志服務控制臺直接選擇該快速查詢。

     更多信息，請參見快速查詢。

   • 另存為告警：單擊頁面右上角的圖標，在告警監控規則面板配置相關參數，然后單擊確定。

     更多信息，請參見設置告警。

     說明

     將事件另存為告警后，滿足觸發條件即可收到告警通知，例如：按照以上步驟進行告警配置后，如果accessKeyId在5分鐘內被使用過，則上報告警。