# 事件高级检索事件高级检索支持您通过配置TLS跟踪，查询90天以上的管理事件。当前操作审计高级检索能力仅限开白使用，如需使用，请工单联系我们加白。 1. ## 开通高级检索 ### 1.1 前置条件请确保您的当前账号已创建跟踪，且将事件投递到日志服务TLS中。请确保您的TLS日志项目中，未自行设置索引或变更CloudTrail系统索引。 ### 1.2 操作步骤 1）打开高级检索页面，系统弹出开通引导。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_323a187d8b8c363ef9cee07314e90d0d.png =2940x) 2）点击“去创建”。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_9347dcefcc0e924b36d995161a10178b.png =2940x) 3）系统自动跳转到事件跟踪页面，打开“投递至日志服务TLS”，填写其他跟踪相关属性。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_304adc5c5f5bb622f85f3e3ac815517c.png =1296x) 4）点击确认，创建成功，系统自动跳转回高级检索页面，开通成功。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_56ca1220902d9c3761d12f60ec9947bb.png =1297x) 2. ## 使用高级检索查询审计事件 ### 2.1 使用系统检索模版查询审计事件 #### 2.1.1 前置条件请确保您的当前账号已创建跟踪，且将事件投递到日志服务TLS中。 #### 2.1.2 操作步骤 1）登录[操作审计控制台](https://console.volcengine.com/cloudtrail/event)。 2）在左侧导航栏，选择**事件 \> 高级检索**。 3）在**检索范围 ** 选择已创建的目标TLS跟踪。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_211bea90eb0316d1fd99842017801bb9.png) 4）在**检索范围**区域的模板库页签，选择目标系统模板，点击搜索 **。** ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_0fc28bbade0e711b306a9a1863129655.png) 5）系统默认查询近5分钟的操作事件，可点击时间控件选择查询事件的时间窗![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_05beb9c6045a95896f0ee63b78a8f364.png) ### 2.2 自定义查询审计事件 #### 2.2.1 前置条件请确保您的当前账号已创建跟踪，且将事件投递到日志服务TLS中。 #### 2.2.2 操作步骤 1）登录[操作审计控制台](https://console.volcengine.com/cloudtrail/event)。 2）在左侧导航栏，选择**事件 \> 高级检索**。 3）在**检索范围 ** 选择已创建的目标TLS跟踪。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_256a752303a7a992222281dc2e102237.png) 4）在右侧查询编辑器中输入拟查询的检索语句，点击搜索。 > 检索语法详见[日志服务TLS检索语法](https://www.volcengine.com/docs/6470/1206705)

**5）说明** 您可以对系统模板默认的SQL语句进行修改，然后单击收藏或复制检索语句添加到自定义检索模版，将其另存为自定义模板，进行二次应用。 * 收藏语句并另存为自定义模版 * 第一步：点击收藏![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_c983e8ed88cdfb2ddd53053741b2bb56.png) * 第二步：输入模版名称![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_86be2a3287a4ed030638cd559eec0455.png) * 第三步：点击确定，添加成功![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_dda50831d9767b783aba6d876d79b923.png) * 添加自定义模版 * 第一步：点击添加自定义模版![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bd903e7f6f642b133efc7b9a5c8fd4d9.png) * 第二步：输入模版名称和检索SQL![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_6084597b4f7cb3d01f53d94995568d6b.png) * 第三步：点击确定，添加成功![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_71802da911d4992322fd06bbade09f5f.png) ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_7e374ae61e706ea50ae2c74c47d0456e.png) 3. ## 查看事件查询结果 ### 3.1 设置显示模式 #### 3.1.1 原始模式系统默认以JSON格式展示全部操作审计字段![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bde27daeeae8e3e202c39e777ead5ec2.png) #### 3.1.2 表格模式通过切换为表格展示，可以将全部审计日志字段以表格的形式展示![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_bfa17117e4f8a6862754f1405a798596.png) ### 3.2 设置显示字段可以通过点击索引字段下方的眼睛，将索引字段添加到展示区，以在结果列表展示。![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f98d99f8d2aa80c1c363621af3790d92.png =3840x) ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_6ed16a143aa8d0e74c2ec3b148bb7890.png =3840x) #### 3.2.1 原始模式原始模式下，选中的展示字段将以JSON形式展示![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_d4b5144f7fc37f1c6744b35bfff4bab4.png =3840x) #### 3.2.2 表格模式点击表格模式，选中的展示字段将以表格形式展示![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_7eb5de3b684abd81669f8b023ff7fd66.png) 4. ## 检索语法详见[日志服务TLS检索语法](https://www.volcengine.com/docs/6470/1206705)