操作審計僅默認為每個阿里云賬號記錄最近90天的事件，默認僅支持通過操作審計控制臺查詢事件。如果您因為審計要求需要獲取180天以上的事件，或者需要將事件下載到本地進行分析，則必須創建跟蹤將事件投遞到SLS或OSS，再通過SLS或OSS的數據下載能力將事件以文件形式下載到本地。
背景信息
本文以單賬號跟蹤為例，為您介紹如何在日志服務SLS中下載操作審計的事件，步驟如下：
在操作審計控制臺創建跟蹤將事件投遞到SLS，該跟蹤將持續收集新產生的審計事件并持續投遞到指定的SLS Logstore。
（可選）在操作審計控制臺創建數據回補投遞任務，該任務可以將過去90天平臺已經記錄的歷史審計事件以一次性任務的方式投遞到跟蹤已經指定的SLS Logstore。
在SLS控制臺下載事件。您可以根據需求在SLS控制臺查詢特定的事件，然后使用多種方式下載已經投遞到SLS的審計事件。
例如：通過以下SQL語句查詢管控事件中所有寫事件的聚合情況。
說明如果設置的查詢時間段較長，建議設置
LIMIT N，返回N條事件。例如：設置LIMIT 20，返回20條事件。* AND "event.eventCategory": Management AND "event.eventRW": Write | SELECT"event.serviceName"AS servieName,"event.eventName"AS eventName,"event.eventRw"AS eventRw,"event.sourceIpAddress"AS sourceIpAddress,"event.resourceName"AS resourceName,"event.resourceType"AS resourceType,"event.userIdentity.userName"AS userName,"event.userIdentity.type"AS userType,"event.userIdentity.accessKeyId"AS accessKeyId,"event.acsRegion"AS eventRegion,COUNT("event.eventId")AS n, date_trunc('hour', __time__) AS time GROUP BY time, servieName, eventName, eventRw, sourceIpAddress, resourceType, resourceName, accessKeyId, userType, userName, eventRegion ORDER BY time DESC LIMIT 20查詢結果如下圖所示（n表示事件聚合次數）：
步驟一：創建跟蹤并投遞到SLS
登錄操作審計控制臺。
在左側導航欄，單擊跟蹤。
在頂部菜單欄，選擇您想創建單賬號跟蹤的地域。
說明該地域將成為單賬號跟蹤的Home地域，即創建跟蹤的地域。
在跟蹤頁面，單擊創建跟蹤。
在創建跟蹤頁面，設置跟蹤的相關參數。
單擊確認。
步驟二（可選）：創建數據回補投遞任務
創建跟蹤僅能投遞跟蹤創建時間之后的事件，如果需要下載最近90天的完整事件，您還需創建數據回補投遞任務，補投遞跟蹤創建時間往前一段時間的事件。
如果需要創建數據回補投遞任務，請通過提交工單，獲取數據回補功能的使用權限。
在左側導航欄，單擊數據回補。
在頂部菜單欄，選擇您需要投遞任務的地域。
說明該地域必須與單賬號跟蹤所在地域相同。
在數據回補頁面，單擊創建任務。
在創建任務頁面，選擇跟蹤。
說明選擇跟蹤后，系統將自動填入跟蹤的地域、日志項目地域、日志項目名稱和日志庫信息。
單擊確定。
創建任務后，您可以在數據回補頁面查看任務的投遞狀態，確保任務成功投遞。
步驟三：在SLS控制臺下載事件
您可以在SLS控制臺查詢特定時間范圍的事件，然后下載事件。如果查詢到多個事件，SLS會將多個事件下載到同一個文件中，方便您后續使用。
在操作審計控制臺，進入跟蹤所在日志庫。
在左側導航欄，單擊跟蹤。
在頂部菜單欄，選擇您單賬號跟蹤和數據回補投遞任務所在的地域。
在跟蹤頁面，將鼠標懸浮到目標跟蹤存儲服務列的SLS或SLS&OSS上，然后單擊SLS日志庫名稱。
在SLS控制臺，單擊15分鐘（相對），設置查詢的時間范圍（例如：今天）。
輸入查詢語句，然后單擊查詢/分析。
關于如何設置查詢語句，請參見如何在SLS設置SQL語句查詢操作審計的事件。
下載事件。
方式一：下載按字段維度分類的事件統計信息。
在統計圖表頁簽，單擊
圖標，然后單擊下載日志。方式二：下載事件代碼文件。
在原始日志頁簽，單擊
圖標。
在日志下載對話框，選擇下載方式，然后單擊確定。
直接下載：將本頁展示的日志以CSV格式下載到本地。
通過Cloud Shell下載：請根據頁面提示，下載所有日志。
說明目前Cloud Shell位于上海地域，如果當前Logstore不在上海地域，下載日志會產生一定的公網流量費用。關于價格的更多信息，請參見產品定價。
通過命令行工具下載：請根據頁面提示，下載所有日志。
相關文檔
關于下載操作事件詳情的具體操作，請參見下載日志。