关于OCI用户登录活动审计及仪表盘/报表制作的技术咨询

我做过OCI用户登录活动的审计和仪表盘制作，结合OCI原生工具就能满足你要的登录时间、活跃用户这些维度需求，具体步骤如下：

1. 基础数据采集：启用OCI Audit Service #

• OCI Audit Service默认会捕获所有租户内的用户登录事件，包括控制台登录（ConsoleLogin）、API密钥登录（ApiKeyLogin）、认证令牌登录（AuthTokenLogin）等核心事件类型，先确认你的租户已经开启该服务（默认是启用的）
• 可以用OCI CLI快速筛选登录日志，比如查询最近7天的控制台登录事件：

  oci audit event list --compartment-id <租户OCID> --event-name "ConsoleLogin" --start-time "2024-01-01T00:00:00Z" --end-time "2024-01-07T23:59:59Z"
  

2. 多维度分析：用Logging Analytics处理日志 #

把Audit Service的日志导入Logging Analytics后，就能灵活做维度分析：

• 登录时间维度：统计不同时段、不同用户的登录分布，示例查询语句：

  'eventName' IN ('ConsoleLogin', 'ApiKeyLogin') | stats count() as loginCount by userIdentity.principalName, bin(1h) as loginHour | sort loginHour desc
  

• 当前活跃用户：筛选最近30分钟内的成功登录事件，去重后统计用户数，示例：

  'eventName' IN ('ConsoleLogin', 'ApiKeyLogin') AND 'response.status' = 200 | where time > now()-30m | dedup userIdentity.principalName | stats count() as activeUserCount
  

3. 可视化仪表盘：用OCI Dashboard搭建 #

直接用OCI Dashboard服务制作专属审计仪表盘：

• 添加时间趋势图：关联Logging Analytics的登录次数查询，展示每日/每小时登录量变化
• 添加条形图：按用户分组展示登录频次，快速定位高频登录用户
• 添加数值卡片：绑定活跃用户数的查询，设置自动刷新（比如每5分钟），实时显示当前活跃用户
• 可以额外添加失败登录统计组件，监控异常登录行为

4. 额外优化建议 #

• 给失败登录事件设置告警规则，比如同一用户10分钟内失败登录5次就触发通知
• 关联OCI Identity Domain的用户属性，把部门、角色等维度加入审计分析，让报表更有业务价值

内容的提问来源于stack exchange，提问作者raindrop