将审计事件流式传输到 SIEM
配置 HTTPS 或 Splunk HEC 接收端，并检查投递与恢复。
连接接收端
以所有者或管理员身份打开“组织 → 互联服务 → SIEM”。添加名称、公开的 HTTPS 接收 URL 和令牌。普通 HTTPS 可选择 JSON 数组或 NDJSON。Splunk 请使用 HEC 令牌和以 /services/collector/event 结尾的事件端点。保存目标并测试投递，在测试被接受后启用流式传输。
了解事件内容
事件流会发送租户治理审计日志中每一条已提交的事件，包括该日志记录的决策、执行结果和管理事件。内容包含标识符和审计元数据，不包含捕获的消息、原始参数或凭据。权限已撤销用户的历史仍然可见。独立的提供商及控制平面审计日志不会自动纳入。
监控投递
检查待处理、已接受、失败和过期数量，最早已分配但仍待处理的事件，以及最近一次接受情况。临时失败会从事件发生时间起重试七天。凭据无效会暂停投递。终态投递记录及计数自分配或重放起保留三十天，以便调查缺漏。源审计日志遵循单独的保留策略。
暂停、更换凭据或重放
暂停会保留恢复窗口内的待处理工作。更换凭据会暂停流式传输，直到新令牌通过测试。使用“恢复与凭据”请求重放指定 UTC 时间段内保留的审计事件。重放保持原始事件 ID，可能重复发送已接收的事件。暂停前已发出的请求仍可能在暂停后完成。
故障排除
投递已暂停或不再推进
检查目标的错误数量和待处理数量。凭据无效时，请更换令牌、测试并重新启用流式传输。临时失败时，请检查接收端是否可用。重放保留的事件，以恢复失败或过期的投递。
常见问题
流式传输会包含启用前的事件吗？
首次启用时会从新的审计事件开始。若需发送较早的事件，请请求重放仍在保留期内的 UTC 时间段。重放保持事件 ID，因此接收端必须处理重复事件。