操作步驟

1. 在阿里云賬號C中創建RAM角色，并授權操作審計服務向阿里云賬號C投遞事件的權限。

   1. 使用阿里云賬號C登錄RAM控制臺。

   2. 創建可信實體為操作審計的RAM角色。

      1. 在左側導航欄，選擇身份管理 > 角色。

      2. 在角色頁面，單擊創建角色。

      3. 在創建角色面板，選擇可信實體類型為阿里云服務，然后單擊下一步。

      4. 選擇角色類型為普通服務角色。

      5. 設置角色名稱為ActionTrailDeliveryRole。

      6. 選擇受信服務為操作審計。

      7. 單擊完成。

   3. 為RAM角色進行精確授權，授予系統策略AliyunActionTrailDeliveryPolicy。

      1. 單擊精確授權。

      2. 選擇系統策略，并設置策略名稱為AliyunActionTrailDeliveryPolicy。

      3. 單擊確定，然后單擊關閉。

      您可以在角色頁面，查看RAM角色ActionTrailDeliveryRole綁定的權限策略AliyunActionTrailDeliveryPolicy的詳細內容。關于權限策略的更多信息，請參見事件投遞的系統權限策略。

   4. 修改RAM角色的信任策略，將Service字段修改為阿里云賬號@actiontrail.aliyuncs.com的格式。

      例如：阿里云賬號A是159498693825****、阿里云賬號B是123435555956****，則需要將Service中的actiontrail.aliyuncs.com修改為["159498693825****@actiontrail.aliyuncs.com","123435555956****@actiontrail.aliyuncs.com"]，表示該RAM角色可以被阿里云賬號A159498693825****和阿里云賬號B123435555956****下的操作審計服務扮演。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "159498693825****@actiontrail.aliyuncs.com",
                          "123435555956****@actiontrail.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

      具體操作，請參見修改RAM角色的信任策略。

2. 使用阿里云賬號C創建日志服務SLS的Project、對象存儲OSS的存儲空間或大數據計算服務MaxCompute的Project。

   具體操作，請參見SLS創建項目Project、OSS創建存儲空間、創建MaxCompute項目。

   說明

   MaxCompute項目名稱必須以actiontrail_開頭。

   基于數據安全考慮，建議您在創建OSS存儲空間時，設置服務器加密和合規保留策略。具體操作，請參見服務器端加密和設置合規保留策略。

3. 使用阿里云賬號A創建單賬號跟蹤，設置投遞目標為步驟2創建的SLS Project、OSS存儲空間或MaxCompute Project。

   1. 使用阿里云賬號A登錄操作審計控制臺。

   2. 在左側導航欄，單擊跟蹤。

   3. 在頂部導航欄選擇您想創建單賬號跟蹤的地域。

      說明

      該地域將成為單賬號跟蹤的Home地域。

   4. 在跟蹤頁面，單擊創建跟蹤。

   5. 在創建跟蹤頁面，設置跟蹤的相關參數。

      • 在基本信息區域，設置跟蹤名稱和管控事件類型。

        說明

        系統默認將跟蹤投遞的地域設置為全部地域。推薦您將管控事件設置為所有事件，以便跟蹤全部地域的全部事件。關于參數的更多信息，請參見創建單賬號跟蹤。

      • 在審計事件投遞區域，設置將跟蹤分別投遞到日志服務SLS、對象存儲OSS或大數據計算服務MaxCompute，或者同時進行投遞。關于如何選擇存儲服務，請參見將事件持續投遞到指定服務。

        • 選擇將事件投遞到日志服務SLS，然后選擇投遞到其他賬號，并設置以下參數。

          參數	描述
          日志項目ARN	輸入日志項目所在地域、阿里云賬號C（目標賬號）ID和日志項目名稱。 其中，日志項目名稱為步驟2中創建的Project名稱。
          日志寫入角色ARN	輸入阿里云賬號C（目標賬號）ID和角色名稱。 其中，角色名稱為步驟1中創建的RAM角色名稱（本文示例為ActionTrailDeliveryRole）。

        • 選擇將事件投遞到對象存儲OSS時，然后選擇投遞到其他賬號，并設置以下參數。

          參數	描述
          存儲空間角色ARN	輸入阿里云賬號C（目標賬號）ID和角色名稱。 其中，角色名稱為步驟1中創建的RAM角色名稱（本文示例為ActionTrailDeliveryRole）。
          存儲空間名稱	輸入步驟2中創建的存儲空間名稱。
          日志文件前綴	輸入事件存放的日志文件前綴。

        • 選擇將事件投遞到大數據計算服務MaxCompute時，然后選擇投遞到其他賬號，并設置以下參數。

          參數	描述
          大數據計算服務寫入角色ARN	輸入阿里云賬號ID（目標賬號）和角色名稱。 其中，角色名稱為步驟1中創建的RAM角色名稱（本文示例為ActionTrailDeliveryRole）。
          大數據計算服務ARN	輸入大數據計算服務項目所在地域、阿里云賬號ID（目標賬號）和大數據計算服務項目名稱。其中，大數據計算服務項目名稱為步驟2中創建的Project名稱。

   6. 單擊確認。

4. 以相同的方法，使用阿里云賬號B創建單賬號跟蹤，設置投遞目標為步驟2創建的SLS Project、OSS存儲空間或MaxCompute Project。

執行結果

跟蹤創建成功后，您可以使用阿里云賬號C在SLS Project、OSS存儲空間或MaxCompute Project中查看來自阿里云賬號A和阿里云賬號B的事件。具體操作，請參見查詢和分析日志和實時日志查詢。

相關操作

• 如果您需要在不同賬號中進行數據遷移，請參見以下操作：

  • OSS的數據在線遷移

  • SLS的數據在線遷移

• 如果您需要進一步的分析投遞的事件詳情，請參見以下操作：

  在日志服務SLS中分析操作事件