#Признаки неисправности и область применимости
В Yandex Cloud ожидаемые события управления ресурсами не видны в журнале аудита. Важно различать события действий пользователей и сервисов, настройки Audit Trails, маршрут доставки событий и журнал приложения: не всякое прикладное сообщение автоматически относится к аудиту.
#Почему это происходит
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Источник не охватывает ресурсТрейл собирает события в пределах выбранного источника и области. | События одного каталога есть, другого нет | Сопоставьте облако/каталог и перечень сервисов. |
| Доставка идёт в другой приёмникТрейл мог быть настроен на Object Storage, Data Streams или другой поддерживаемый приёмник. | В бакете пусто, но трейл указывает иной поток | Проверьте место назначения и права доставки. |
| Фильтр исключает записиНеверный период, часовой пояс, service или тип события скрывают результат. | Записи существуют, но поиск их не показывает | Расширьте интервал и временно уберите фильтр. |
#Пошаговая диагностика и устранение
- Назовите ожидаемое действиеЗапишите, какой именно пользователь или сервис выполнил изменение, с каким ресурсом и в какое время. Например, изменение правил группы безопасности и HTTP-запрос к сайту — события разных типов. Не ожидайте, что Audit Trails содержит каждую строку журнала вашего PHP-приложения.
- Откройте настройку действующего трейлаВ консоли нужного каталога найдите Audit Trails и конкретный трейл, если сервис развёрнут в проекте. Проверьте статус, область сбора, источники и приёмник. Не создавайте новый трейл без согласования стоимости и политики хранения.
- Проверьте покрытие каталога и организацииСравните ID каталога или облака из события с областью, которая указана у трейла. У администраторов часто есть несколько каталогов с одинаково названными ВМ. Запишите идентификатор фактического ресурса из его карточки, чтобы не спутать проекты.
- Установите приёмник и место поискаПосмотрите, куда настроена доставка: бакет Object Storage или иной поддерживаемый маршрут. Откройте именно этот бакет/поток и проверьте, появились ли новые объекты/сообщения за интересующий период. Если данные есть, но поиск пустой, исследуйте фильтры поискового инструмента.
- Уточните задержку и временную зонуСравните время события в UTC и локальное время оператора, расширьте диапазон выборки на разумное окно вокруг изменения. Не считайте отсутствие сообщения через несколько секунд доказательством отсутствия события: возможна задержка доставки.
- Проверьте разрешение на запись в приёмникДля доставки нужен доступ соответствующего сервисного аккаунта к бакету или потоку. Посмотрите ошибки операций трейла и IAM. Не открывайте бакет публично для исправления доставки; используйте предусмотренные минимальные роли.
- Сделайте одну безопасную контрольную операциюСогласуйте тест: например, измените безвредное описание тестового ресурса (если это событие поддерживается аудитом), запишите время, инициатора и ID. Не тестируйте аудит удалением ресурсов или выдачей общих администраторских прав.
- Проверьте появление события и настройте уведомлениеПосле ожидаемой задержки найдите тестовое событие по ID ресурса и времени. Если оно не появилось, сохраните параметры трейла и обезличенные ошибки доставки для поддержки; после устранения проблемы убедитесь, что тест виден, а права записи минимальны.
#Как проверить, что проблема исправлена
Поддерживаемое контрольное событие поступает в настроенный приёмник, отображается при поиске по времени и ID ресурса, и доступ к журналу ограничен уполномоченными пользователями.
#Если проблема осталась
Если события одного сервиса не появляются, прежде всего проверьте, поддерживает ли он аудит нужного действия и включён ли в источники трейла. При пустом приёмнике исследуйте доставку и права; при заполненном приёмнике — фильтры и парсер.