自定義查詢事件
當您需要查詢多個地域超過90天的事件時，可以通過自定義查詢功能設置篩選條件或SQL語句查詢事件。本文為您介紹如何通過操作審計控制臺自定義查詢事件詳情。
前提條件
請確保您已創(chuàng)建跟蹤，且將事件投遞到日志服務SLS中。具體操作，請參見創(chuàng)建單賬號跟蹤或創(chuàng)建多賬號跟蹤。
使用場景
自定義查詢事件支持簡單查詢和SQL查詢。您可以使用簡單查詢進行可視化搜索，或者使用簡單查詢借助結(jié)構(gòu)化查詢語言SQL（Structured Query Language）進行靈活搜索。
模式 | 查詢方式 | 說明 | 場景示例 |
簡單查詢 | 單條件查詢 | 通過服務名稱、阿里云地域、事件名稱、賬號類型、讀寫類型、資源名稱、資源類型和操作者等篩選條件進行查詢。 | 如果您需要查詢KMS在固定時間內(nèi)產(chǎn)生的全部事件，設置服務名稱為密鑰管理服務（Kms）。 |
多個條件組合查詢 | 查詢多個服務的事件、或者同一服務在多個地域的事件。 | 如果您需要查詢KMS在杭州和上海地域的事件，設置服務名稱為密鑰管理服務（Kms）、阿里云地域為華東1（杭州）和華東2（上海）。 | |
SQL查詢 | 關(guān)鍵字查詢 | 根據(jù)需求輸入特定的搜索字段。 | 如果您需要查詢所有的寫事件，在搜索文本框輸入 |
指定條件查詢 | 指定操作者（Who）、操作（What）、關(guān)聯(lián)資源（Which）、地點（Where）或其他（Other）類型的條件進行查詢。 | 如果您需要查詢KMS在固定時間內(nèi)產(chǎn)生的全部事件，在搜索文本框輸入 | |
多個條件組合查詢 | 同時指定操作者（Who）、操作（What）、關(guān)聯(lián)資源（Which）、地點（Where）和其他（Other）類型的多個條件進行查詢。 | 如果您需要查詢操作審計中Alex產(chǎn)生的事件，在搜索文本框輸入 | |
排除條件查詢 | 同時指定多個條件，將其中一個條件前面的語句修改為NOT即可排除該條件進行查詢。 | 如果您需要查詢操作審計中非Alex產(chǎn)生的事件，在搜索文本框輸入 |
操作步驟
登錄操作審計控制臺。
在左側(cè)導航欄，選擇。
在查詢范圍-跟蹤選擇已創(chuàng)建的跟蹤。
在自定義模板的Default頁簽，設置事件的查詢條件。
簡單查詢
在簡單查詢模式下，根據(jù)界面提示設置查詢條件。
SQL查詢
關(guān)閉簡單查詢開關(guān)，輸入SQL查詢條件。
說明關(guān)于高級查詢的SQL語法和查詢示例，請參見高級查詢的SQL語法。
當簡單查詢不能滿足您的需求時，您可以先在簡單查詢模式下，根據(jù)界面提示設置查詢條件，再關(guān)閉簡單查詢開關(guān)。您在簡單查詢模式下設置的查詢條件會自動轉(zhuǎn)換為SQL語句，您可以對該SQL查詢條件進行定制。
設置查詢事件的時間段，單擊運行。
說明操作審計默認查詢7天的事件。
您可以單擊右側(cè)的事件告警，為當前事件設置告警。具體操作，請參見創(chuàng)建自定義告警規(guī)則。
您可以對系統(tǒng)模板默認的SQL語句進行修改，然后單擊保存，將其另存為自定義模板，進行二次應用。
查看事件的查詢結(jié)果。
原始日志
在原始日志頁簽，單擊目標事件對應操作列的查看事件詳情，查看事件的基本信息和JSON格式。
直方圖
在查詢直方圖頁簽，查看事件發(fā)生的直方圖。
相關(guān)文檔
當您需要查詢賬號或AccessKey相關(guān)事件、CIS標準相關(guān)事件或資源生命周期相關(guān)事件時，可以使用系統(tǒng)模板快速查詢。具體操作，請參見查詢阿里云賬號或AccessKey相關(guān)事件、查詢CIS標準相關(guān)事件和查詢資源生命周期事件。
您還可以通過其他方式查詢超過90天的操作事件。具體操作，請參見通過SLS或OSS控制臺查詢事件。