操作步驟

1. 在目標賬號中創建RAM角色，并授權操作審計服務向目標賬號投遞事件的權限。

   1. 使用目標賬號登錄RAM控制臺。

   2. 創建可信實體為操作審計的RAM角色。

      1. 在左側導航欄，選擇身份管理 > 角色。

      2. 在角色頁面，單擊創建角色。

      3. 在創建角色面板，選擇可信實體類型為阿里云服務，然后單擊下一步。

      4. 選擇角色類型為普通服務角色。

      5. 設置角色名稱為ActionTrailDeliveryRole。

      6. 選擇受信服務為操作審計。

      7. 單擊完成。

   3. 為RAM角色進行精確授權，授予系統策略AliyunActionTrailDeliveryPolicy。

      1. 單擊精確授權。

      2. 選擇系統策略，并設置策略名稱為AliyunActionTrailDeliveryPolicy。

      3. 單擊確定，然后單擊關閉。

      您可以在角色頁面，查看RAM角色ActionTrailDeliveryRole綁定的權限策略AliyunActionTrailDeliveryPolicy的詳細內容。關于權限策略的更多信息，請參見事件投遞的系統權限策略。

   4. 修改RAM角色的信任策略，將Service字段修改為管理賬號@actiontrail.aliyuncs.com的格式。

      例如：管理賬號是159498693826****，則需要將Service中的actiontrail.aliyuncs.com修改為159498693826****@actiontrail.aliyuncs.com，表示該RAM角色可以被管理賬號159498693826****下的操作審計服務扮演。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "159498693826****@actiontrail.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

      具體操作，請參見修改RAM角色的信任策略。

2. 使用目標賬號創建日志服務SLS的Project、對象存儲OSS的存儲空間或大數據計算服務MaxCompute的Project。

   具體操作，請參見SLS創建項目Project、OSS創建存儲空間、創建MaxCompute項目。

   說明

   MaxCompute項目名稱必須以actiontrail_開頭。

   基于數據安全考慮，建議您在創建OSS存儲空間時，設置服務器加密和合規保留策略。具體操作，請參見服務器端加密和設置合規保留策略。

3. 使用管理賬號創建多賬號跟蹤，設置投遞目標為步驟2創建的SLS Project、OSS存儲空間或MaxCompute Project。

   1. 使用管理賬號登錄操作審計控制臺。

   2. 在左側導航欄，單擊跟蹤。

   3. 在頂部導航欄選擇您想創建多賬號跟蹤的地域。

      說明

      該地域將成為多賬號跟蹤的Home地域。

   4. 在跟蹤頁面，單擊創建跟蹤。

   5. 在創建跟蹤頁面，設置跟蹤的相關參數。

      • 在基本信息區域，設置跟蹤投遞的基本信息。

        說明

        • 應用到所有成員請設置為是。

        • 系統默認將跟蹤投遞的地域設置為全部地域。推薦您將管控事件設置為所有事件，以便跟蹤全部地域的全部事件。

        • 關于參數的更多信息，請參見創建多賬號跟蹤。

      • 在審計事件投遞區域，設置將跟蹤分別投遞到日志服務SLS、對象存儲OSS或大數據計算服務MaxCompute，或者同時進行投遞。關于如何選擇存儲服務，請參見將事件持續投遞到指定服務。

        • 選擇將事件投遞到日志服務SLS，然后選擇投遞到其他賬號，并設置以下參數。

          參數	描述
          日志項目ARN	輸入日志項目所在地域、目標賬號ID和日志項目名稱。 其中，日志項目名稱為步驟2中創建的Project名稱。
          日志寫入角色ARN	輸入目標賬號ID和角色名稱。 其中，角色名稱為步驟1中創建的RAM角色名稱（本文示例為ActionTrailDeliveryRole）。

        • 選擇將事件投遞到對象存儲OSS時，然后選擇投遞到其他賬號，并設置以下參數。

          參數	描述
          存儲空間角色ARN	輸入目標賬號ID和角色名稱。 其中，角色名稱為步驟1中創建的RAM角色名稱（本文示例為ActionTrailDeliveryRole）。
          存儲空間名稱	輸入步驟2中創建的存儲空間名稱。
          日志文件前綴	輸入事件存放的日志文件前綴。

        • 選擇將事件投遞到大數據計算服務MaxCompute時，然后選擇投遞到其他賬號，并設置以下參數。

          參數	描述
          大數據計算服務寫入角色ARN	輸入阿里云賬號ID（目標賬號）和角色名稱。 其中，角色名稱為步驟1中創建的RAM角色名稱（本文示例為ActionTrailDeliveryRole）。
          大數據計算服務ARN	輸入大數據計算服務項目所在地域、阿里云賬號ID（目標賬號）和大數據計算服務項目名稱。其中，大數據計算服務項目名稱為步驟2中創建的Project名稱。

   6. 單擊確認。