阿里云账号购买后用操作审计查登录记录：ConsoleSignin、改密改邮箱与 AccessKey 事件怎么看

做完 阿里云账号购买 或阿里云代开，很多人改完密码就算交接完了。其实还差一步：确认这个账号在你接手之后，没有你不认识的登录和改动。阿里云国际站的操作审计（ActionTrail）默认就开着，近 90 天的管理事件不用任何配置就能查，而且在控制台查是免费的。

说明：云大仙是第三方渠道服务商，不是阿里云官方，也不是官方授权代理。下文的功能、事件名和限制引自阿里云帮助文档（链接见文末），控制台菜单名以你账号实际看到的为准。

一、先给结论：交接后重点看这几类事件

以上事件名来自官方「Account Logon audit events」和账号中心的操作审计说明。交接当天把这几类查一遍，之后每周或每月抽查一次即可。

二、在控制台查询的步骤

官方给出的路径是：登录 ActionTrail 控制台，左侧选择「Events > Event Query」，在顶部选择地域，设好筛选条件和时间范围后查询，再点「View Event Details」看原始 JSON。

有一个容易踩的坑：登录、改密、改邮箱、MFA 这类账号事件属于全局事件，官方说明全局事件只能在新加坡（Singapore）地域查。如果你在别的地域查不到 ConsoleSignin，先把顶部地域切到新加坡再试。官方示例里，创建 RAM 用户的 CreateUser 也是全局事件，同样要在新加坡查。

筛选的时候，可以按服务名选 Cloud Account Sign-in Service（账号登录服务），也可以按事件名直接填 ConsoleSignin。官方支持的筛选条件包括服务名、事件名、操作者、读写类型、资源类型、AccessKey ID、源 IP 等，但控制台的事件详情查询每次只能设一个筛选条件。

而像 CreateVpc、创建 ECS 这类资源事件是分地域的，要在资源所在的地域查，不用切到新加坡。

三、看懂一条登录记录

点开 ConsoleSignin 的事件详情，官方文档建议重点看这几个字段：

• eventTime：事件时间，是 UTC 时间。北京时间要加 8 小时，官方举的例子是 2021-01-01T00:00:00Z 对应北京时间 1 月 1 日 08:00。很多人对不上时间，就是忘了换算。
• userIdentity.type：root-account 表示主账号操作，ram-user 表示 RAM 子用户操作。
• userIdentity.userName、principalId：具体是谁做的。
• additionalEventData.isMFAChecked：这次登录有没有过 MFA。你已经绑了 MFA，却看到 false 的主账号登录，就要警惕。
• 源 IP 和 User Agent：和你自己常用的网络、浏览器对一下。

判断方法很朴素：以你改完密码、绑好 MFA 的时间点为界，之后出现的每一条主账号登录，都应该能对应上你自己或团队成员的操作。对不上的，先改密码、检查 MFA 和 AccessKey，再联系你的服务商或阿里云工单。

另外要提醒一句，交接之前的记录里出现开户或交付环节的操作是正常的，重点看交接之后的部分。

四、几个官方写明的限制

• 只保留 90 天：不建跟踪的话，查不到 90 天以前的事件。
• 约 10 分钟延迟：事件产生后大约 10 分钟才能在控制台查到，刚登录完马上查看不到是正常的。
• 查询频率：控制台或 LookupEvents 接口每秒最多查询 2 次。
• 默认只有管理事件：读 OSS 对象这类数据事件默认不记录，要单独建数据事件跟踪。

五、要不要建跟踪长期保存？先算清费用

如果你需要保留 90 天以上的记录，可以在「Trails」里创建跟踪，把事件投递到日志服务 SLS 或 OSS。官方文档写得很清楚：ActionTrail 本身在控制台查 90 天内事件免费，但投递到 SLS 后会按 SLS 收费，主要是存储费、写入流量费，以及从公网读取时的公网读流量费。控制台里显示的预估费用是按你近 30 天的事件量算的，实际以账单为准。

还有一个容易被忽略的点：删除跟踪时，ActionTrail 自动创建的 Logstore 不会跟着删，里面的历史数据会继续产生存储费。不用了要去 SLS 控制台找到名字以 actiontrail 开头的 Project，手动删掉对应的 Logstore。删了数据就没了，删之前确认不再需要。

个人或小团队的账号，一般用免费的 90 天查询、定期抽查就够了。费用怎么设提醒，可以参考 阿里云账号购买后先设三道费用预警。

六、交接当天的检查清单

把这几件事按顺序做完，交接就比较稳了：

• 改登录密码、改邮箱和手机号、绑定 MFA（具体可参考 阿里云国际站风控与安全接管）。
• 等 10 分钟以上，切到新加坡地域，按 ConsoleSignin 查一遍，确认最新的登录是你自己，isMFAChecked 为 true。
• 按 AccessKeyCreate 查一遍，确认没有你不知道的 AccessKey；控制台的 AccessKey 管理页也一起核对。
• 按 CreateUser 查一遍，确认没有陌生的 RAM 子用户。
• 记下当天的时间点，以后抽查就以它为界。

七、在云大仙下单前要知道的

云大仙提供阿里云国际站账号开通与 USDT 充值服务，价格以 阿里云代开页面 为准：目前 $30 起充，满 $50 按 0.95、满 $100 按 0.9、满 $500 按 0.85、满 $1000 按 0.7 计算，实付金额、到账权益与交付条件以订单页显示为准。需要腾讯云的可以看 腾讯云代开页面，充值说明见 充值页。

操作审计只能帮你发现问题，不能替你阻止问题。密码、MFA 和 AccessKey 的管理始终在你自己手里，接手后尽早做完上面的检查。

参考来源（阿里云官方文档）

• Query events in the ActionTrail console
• Use ActionTrail to query account operation records
• Account Logon audit events
• Alibaba Cloud account logon events
• Billing for ActionTrail
• Quotas and limits for ActionTrail