当您需要查询和分析各类资源在整个生命周期中的关键状态变更和操作行为，可以通过操作审计的事件高级查询功能中的系统模板快速查询，系统模板包括：Web应用防火墙的创建和删除实例事件、密钥管理服务的删除证书事件、访问控制的创建和删除RAM角色事件等。本文以查询密钥管理服务的Kms主密钥创建事件为例，为您介绍如何通过操作审计快速查询事件详情。
前提条件
操作步骤
登录操作审计控制台。
在左侧导航栏，选择。
在查询范围-跟踪选择已创建的跟踪。
在查询范围区域的模板库页签，选择。
说明最多支持同时设置30个查询条件。
在资源生命周期事件页签，先设置查询事件的时间段，再单击运行。
说明操作审计默认查询7天的事件。
您可以单击右侧的事件告警，为当前事件设置告警。具体操作，请参见创建自定义告警规则。
您可以对系统模板默认的SQL语句进行修改，然后单击保存，将其另存为自定义模板，进行二次应用。
查看事件的查询结果。
原始日志
在原始日志页签，单击目标事件对应操作列的查看事件详情，查看事件的基本信息和事件记录。
说明通过查看事件详情面板可知，操作记录显示某RAM用户在华东1（杭州）地域的2024年01月16日15:35:58进行了创建用户主密钥操作。
查询直方图
在查询直方图页签，查看事件发生的直方图。
相关文档
您还可以通过设置筛选条件或SQL语句，查询事件详情。具体操作，请参见自定义查询事件。