云原生大数据计算服务 MaxCompute：审计日志

流程图

ActionTrail服务捕获MaxCompute用户行为日志，并将日志投递到日志服务或对象存储OSS的流程如下：

使用场景

日志范围

日志字段

JobEvent

• InsertJob

  字段名	说明	样例
  referencedResources	InsertJob事件涉及的作业ID信息。	"referencedResources": { // 事件影响的资源列表 "Instance": ["2020102713575683gc2j****" ] }
  additionalEventData	InsertJob事件的附加信息。包含内容如下： ProjectName：作业所属项目空间名称。 TaskName：作业所属任务名称。 InstanceId：作业ID。 TaskType：作业类型，例如SQL、LOT、CUPID。 OperationText：执行语句。	"additionalEventData": { "ProjectName": "meta", "TaskName": "console_query_task_1603807075919", "InstanceId": "2020102713575683gc2j****", "TaskType": "SQL", "OperationText": "create table a(a string);" }

• JobChange

  字段名	说明	样例
  referencedResources	JobChange事件涉及的作业ID信息。	"referencedResources": { // 事件影响的资源列表 "Instance": ["2020102713575683gc2j****" ] }
  additionalEventData	JobChange事件的附加信息。包含内容如下： Status：作业状态。 ProjectName：作业所属项目空间名称。 TaskName：作业所属任务名称。 InstanceId：作业ID。 TaskType：作业类型，例如SQL、LOT、CUPID。 OperationText：执行语句。	"additionalEventData": { "Status": "Failed", "ProjectName": "meta", "TaskName": "console_query_task_1603807075919", "InstanceId": "2020102713575683gc2j****", "TaskType": "SQL", "OperationText": "create table a(a string);" }

TunnelEvent

• DownloadTable

  字段名	说明	样例
  referencedResources	DownloadTable事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "source_xml_instid_flt_2" ] }
  additionalEventData	DownloadTable事件的附加信息。包含内容如下： TableName：表名称。 Partition：分区信息。 CurrentProject：发起下载操作的项目空间名称。 ProjectName：下载的表所属项目空间名称。 SesssionId：Tunnel Session ID。	"additionalEventData": { "TableName": "source_xml_instid_flt_2", "Partition": "projectname=inst_200233,ds=20201027", "CurrentProject": "project1", "ProjectName": "project2", "SesssionId": "20201027200931a3baca0b037518a7" }

• UploadTable

  字段名	说明	样例
  referencedResources	UploadTable事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "source_xml_instid_flt_2" ] }
  additionalEventData	UploadTable事件的附加信息。包含内容如下： TableName：表名称。 Partition：分区信息。 ProjectName：上传的表所属项目空间名称。 SesssionId：Tunnel Session ID。	"additionalEventData": { "TableName": "m_rt_privilege_event", "Partition": "ds=20201027,hh=22,mm=00", "ProjectName": "meta2", "SesssionId": "202010272209332231f60b08182dfb" }

• InstanceTunnel

  字段名	说明	样例
  referencedResources	InstanceTunnel事件涉及的作业ID信息。	"referencedResources": { // 事件影响的资源列表 "Instance": [ "20201027080131990gf23****"] }
  additionalEventData	InstanceTunnel事件的附加信息。包含内容如下： CurrentProject：发起下载Instance操作的项目空间名称。 ProjectName：下载的Instance所属项目空间名称。 InstanceId：作业ID SesssionId：Tunnel Session ID。	"additionalEventData": { "CurrentProject": "meta", "ProjectName": "meta", "InstanceId": "20201027080131990gf23****", "SesssionId": "2020102716014017c4ca0b036850f6" }

RoleEvent

• CreateRole

  字段名	说明	样例
  referencedResources	CreateRole事件涉及的角色名称。	"referencedResources": { // 事件影响的资源列表 "Role": [ "test1" ] }
  additionalEventData	CreateRole事件的附加信息。包含内容如下： RoleName：创建的角色名称。 CurrentProject：发起创建角色操作的项目空间名称。 ProjectName：角色所属项目空间名称。 OperationText：执行语句。	"additionalEventData": { "RoleName": "test1", "CurrentProject": "meta_dev", "ProjectName": "dev1", "OperationText": "create role test1;" }

• DropRole

  字段名	说明	样例
  referencedResources	DropRole事件涉及的角色名称。	"referencedResources": { // 事件影响的资源列表 "Role": [ "test1" ] }
  additionalEventData	DropRole事件的附加信息。包含内容如下： RoleName：删除的角色名称。 CurrentProject：发起删除角色操作的项目空间名称。 ProjectName：角色所属项目空间名称。 OperationText：执行语句。	"additionalEventData": { "RoleName": "test1", "CurrentProject": "meta_dev", "ProjectName": "dev1", "OperationText": "drop role test1;" }

UserEvent

• AddUser

  字段名	说明	样例
  referencedResources	AddUser事件涉及的用户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "ram$xxxx@aliyun.com:sub" ] }
  additionalEventData	AddUser事件的附加信息。包含内容如下： UserName：添加的用户名称。 ProjectName：添加用户的项目空间名称。 OperationText：执行语句。	"additionalEventData": { "UserName": "ram$xxxx@aliyun.com:sub", "ProjectName": "project1", "OperationText": "add user RAM$xxxx@aliyun.com:sub;" }

• RemoveUser

  字段名	说明	样例
  referencedResources	RemoveUser事件涉及的用户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "ram$xxxx@aliyun.com:sub" ] }
  additionalEventData	RemoveUser事件的附加信息。包含内容如下： UserName：删除的用户名称。 ProjectName：删除用户所属项目空间名称。 OperationText：执行语句。	"additionalEventData": { "UserName": "ram$xxxx@aliyun.com:sub", "ProjectName": "project1", "OperationText": "remove user RAM$xxxx@aliyun.com:sub;" }

TableEvent

• CreateTable

  字段名	说明	样例
  referencedResources	CreateTable事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "ttt" ] }
  additionalEventData	CreateTable事件的附加信息。包含内容如下： TableName：创建的表名称。 ProjectName：表所属项目空间名称。 CorrelationId：与Source配合使用，如果Source是INSTANCE，则表示作业ID，如果Source是Tunnel，则表示Tunnel请求ID。 Source：INSTANCE或TUNNEL。 OperationText：CREATE_TABLE。	"additionalEventData": { "TableName": "ttt", "ProjectName": "meta_dev", "CorrelationId": "20201027083345196gsjgpv21", "Source": "INSTANCE", "OperationText": "CREATE_TABLE" }

• DropTable

  字段名	说明	样例
  referencedResources	DropTable事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "ttt" ] }
  additionalEventData	DropTable事件的附加信息。包含内容如下： TableName：删除的表名称。 ProjectName：表所属项目空间名称。 CorrelationId：与Source配合使用，如果Source是INSTANCE，则表示作业ID，如果Source是Tunnel，则表示Tunnel请求ID。 Source：INSTANCE或TUNNEL。 OperationText：DROP_TABLE表示用户主动请求删除，RECYCLE_TABLE表示设置了生命周期被系统回收。	"additionalEventData": { "TableName": "hot_user_hs_top30", "ProjectName": "prj1", "CorrelationId": "20201023024002372giqvmv21", "Source": "INSTANCE", "OperationText": "DROP_TABLE" }

• ChangeTable

  字段名	说明	样例
  referencedResources	ChangeTable事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "ttt" ] }
  additionalEventData	ChangeTable事件的附加信息。包含内容如下： TableName：修改的表名称。 ProjectName：表所属项目空间名称。 CorrelationId：与Source配合使用，如果Source是INSTANCE，则表示作业ID，如果Source是Tunnel，则表示Tunnel请求ID。 Source：INSTANCE或TUNNEL。 OperationText：ALTER_TABLE_RENAME、ADD_PARTITION、ALTER_TABLE_ADD_COLUMNS、ALTER_TABLE_CHANGE_LIFECYCLE、ALTER_TABLE_DROP_PARTITION或ALTER_PARTITION。	"additionalEventData": { "TableName": "ttt", "ProjectName": "proj1", "CorrelationId": "20201028161651750g05e0tsa", "Source": "INSTANCE", "OperationText": "ADD_PARTITION" }

• DescribeTable

  字段名	说明	样例
  referencedResources	DescribeTable事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "ttt" ] }
  additionalEventData	DescribeTable事件的附加信息。包含内容如下： TableName：查看的表名。 ProjectName：表所属项目空间名称。	"additionalEventData": { "TableName": "ttt", "ProjectName": "prj1", }

• ChangeTableData

  字段名	说明	样例
  referencedResources	ChangeTableData事件涉及的表名称。	"referencedResources": { // 事件影响的资源列表 "Table": [ "ttt" ] }
  additionalEventData	ChangeTableData事件的附加信息。包含内容如下： TableName：修改的表名称。 ProjectName：表所属项目空间名称。 CorrelationId：与Source配合使用，如果Source是INSTANCE，则表示作业ID，如果Source是Tunnel，则表示Tunnel请求ID。 Source：INSTANCE或TUNNEL。 OperationText：TRUNCATE_TABLE、INSERT_OVERWRITE_TABLE、INSERT_OVERWRITE_PARTITION、INSERT_PARTITION或INSERT_TABLE。	"additionalEventData": { "TableName": "ttt", "ProjectName": "meta_dev", "CorrelationId": "20201027083345196gsjgpv21", "Source": "INSTANCE", "OperationText": "DATA_INGESTION" }

• ReadTableData

  字段名	说明	样例
  referencedResources	无	无
  additionalEventData	ReadTableData事件的附加信息。包含内容如下： TableName：读取数据的表名称。 ProjectName：表所属项目空间名称。 CorrelationId：与Source配合使用，如果Source是INSTANCE，则表示作业ID，如果Source是Tunnel，则表示Tunnel请求ID。 Source：INSTANCE或TUNNEL。 OperationText：READ_TABLE。	"additionalEventData": { "TableName": "ttt", "ProjectName": "meta_dev", "CorrelationId": "20201027083345196gsjgpv21", "Source": "INSTANCE", "OperationText": "READ_TABLE" }

PrivilegeEvent

• GrantRole

  字段	说明	样例
  referencedResources	GrantRole事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	GrantRole事件的附加信息。包含内容如下： UserName：被授权的云账户名称。 ProjectName：授权的项目空间名称。 OperationText：执行语句。	"additionalEventData": { "ObjectType": "PROJECT", "CurrentProject": "meta", "UserName": "aliyun$xxx@aliyun.com", "ProjectName": "meta", "OperationText": "grant test_role to ALIYUN$xxx@aliyun.com" }

• RevokeRole

  字段名	说明	样例
  referencedResources	RevokeRole事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	RevokeRole事件的附加信息。包含内容如下： UserName：被撤销授权的云账户名称。 ProjectName：撤销授权的项目空间名称。 OperationText：执行语句。	"additionalEventData": { "ObjectType": "PROJECT", "CurrentProject": "meta", "UserName": "aliyun$xxx@aliyun.com", "ProjectName": "meta", "OperationText": "revoke test_role from ALIYUN$xxx@aliyun.com" }

• GrantACL

  字段名	说明	样例
  referencedResources	GrantACL事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	GrantACL事件的附加信息。包含内容如下： ObjectType：授权对象类型，PROJECT、RESOURCE、TABLE或FUNCTION。 CurrentProject：发起授权操作的项目空间名称。 UserName：被授权的云账户名称。 ProjectName：授权的项目空间名称。 OperationText：执行语句。 ObjectName：授权对象名称。	"additionalEventData": { "ObjectType": "PROJECT", "CurrentProject": "meta", "UserName": "aliyun$xxx@aliyun.com", "ProjectName": "meta", "OperationText": "grant createtable on project meta to ALIYUN$xxx@aliyun.com;", "ObjectName": "meta" }

• RevokeACL

  字段名	说明	样例
  referencedResources	RevokeACL事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	RevokeACL事件的附加信息。包含内容如下： ObjectType：撤销授权对象类型，PROJECT、RESOURCE、TABLE或FUNCTION。 CurrentProject：发起撤销授权操作的项目空间名称。 UserName：撤销授权的云账户名称。 ProjectName：撤销授权的项目空间名称。 OperationText：执行语句。 ObjectName：撤销授权对象名称。	"additionalEventData": { "ObjectType": "PROJECT", "CurrentProject": "meta", "UserName": "aliyun$xxx@aliyun.com", "ProjectName": "project1", "OperationText": "revoke createtable on project project1 from ALIYUN$xxx@aliyun.com;", "ObjectName": "project1" }

• GrantLabel

  字段名	说明	样例
  referencedResources	GrantLabel事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	GrantLabel事件的附加信息。包含内容如下： ObjectType：授权对象类型，TABLE。 UserName：被授权的云账户名称。 ProjectName：发起授权操作的项目空间名称。 OperationText：执行语句。 ObjectName：授权对象名称。	"additionalEventData": { "ObjectType": "TABLE", "UserName": "aliyun$xxx@aliyun.com", "ProjectName": "meta", "OperationText": "GRANT LABEL 4 ON TABLE t1 TO USER ALIYUN$xxx@aliyun.com;", "ObjectName": "meta" }

• RevokeLabel

  字段名	说明	样例
  referencedResources	RevokeLabel事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	RevokeLabel事件的附加信息。包含内容如下： ObjectType：撤销授权对象类型，PROJECT、RESOURCE、TABLE、FUNCTION。 UserName：被撤销授权的云账户名称。 ProjectName：撤销授权的项目空间名称。 OperationText：执行语句。 ObjectName：撤销授权对象名称。	"additionalEventData": { "ObjectType": "TABLE", "UserName": "aliyun$xxx@aliyun.com", "ProjectName": "meta", "OperationText": "Revoke LABEL 4 ON TABLE t1 from USER ALIYUN$xxx@aliyun.com;", "ObjectName": "t1" }

• PutRolePolicy

  字段名	说明	样例
  referencedResources	PutRolePolicy事件涉及的角色名称。	"referencedResources": { // 事件影响的资源列表 "Role": [ "test1_role" ] }
  additionalEventData	PutRolePolicy事件的附加信息。包含内容如下： RoleName：角色名称。 CurrentProject：发起角色Policy操作的项目空间名称。 ProjectName：角色所属项目空间名称。 OperationText：Policy内容。	"additionalEventData": { "RoleName": "test1_role", "CurrentProject": "meta_dev", "ProjectName": "meta_dev", "OperationText": "{\n \"Statement\": [{\n \"Action\": [\"odps:Read\",\n \"odps:List\"],\n \"Effect\": \"Allow\",\n \"Resource\": [\"acs:odps:*:projects/p1\"]},\n {\n \"Action\": [\"odps:Describe\",\n \"odps:Select\"],\n \"Effect\": \"Allow\",\n \"Resource\": [\"acs:odps:*:projects/p1/tables/m_*\"]}],\n \"Version\": \"1\"}" }

• SetProjectPolicy

  字段名	说明	样例
  referencedResources	无	无
  additionalEventData	SetProjectPolicy事件的附加信息。CurrentProject表示发起项目级Policy操作的项目空间名称。	"additionalEventData": { "CurrentProject": "test_prj"}" }

• SetTableLabel

  字段名	说明	样例
  referencedResources	无	无
  additionalEventData	SetTableLabel事件的附加信息。包含内容如下： ObjectType：对象类型，TABLE。 OperationText：执行语句。 ObjectName：对象名称。	"additionalEventData": { "ObjectType": "TABLE", "OperationText": "SET LABEL 3 TO TABLE t1test(col1);", "ObjectName": "t1test" }

• SetUserLabel

  字段名	说明	样例
  referencedResources	SetUserLabel事件涉及的云账户名称。	"referencedResources": { // 事件影响的资源列表 "User": [ "aliyun$xxxx@aliyun.com" ] }
  additionalEventData	SetUserLabel事件的附加信息。UserName表示设置用户列级权限的云账户名称。	"additionalEventData": { "UserName": "aliyun$xxxx@aliyun.com" }

AdminEvent

• CreateProject

  字段名	说明	样例
  referencedResources	无	无
  additionalEventData	CreateProject事件的附加信息。ProjectName表示新增的MaxCompute项目名称。	"additionalEventData": { "ProjectName": "xxxx" }

• UpdateProject

  字段名	说明	样例
  referencedResources	无	无
  additionalEventData	UpdateProject事件的附加信息。包含内容如下： ProjectName：更新的MaxCompute项目名称。 Properties：更新的属性项（Flag）。 State：可选。项目的状态，取值为FROZEN（欠费停服）或AVAILABLE（续费重开）。	"additionalEventData": { "ProjectName": "xxx", "Properties": "{\"odps.sql.decimal.odps2\":\"true\",\"odps.sql.hive.compatible\":\"false\",\"odps.sql.type.system.odps2\":\"true\"}" }

• DeleteProject

  字段名	说明	样例
  referencedResources	无	无
  additionalEventData	DeleteProject事件的附加信息。ProjectName表示删除的MaxCompute项目名称。	"additionalEventData": { "ProjectName": "xxxx" }