> ## Documentation Index
> Fetch the complete documentation index at: https://docs.cloudthinker.io/llms.txt
> Use this file to discover all available pages before exploring further.

# Audit Logs

> Tìm ra ai đã thay đổi gì trong tổ chức của bạn, lọc sự kiện theo tác nhân, danh mục, mức độ nghiêm trọng và ngày, rồi xuất ra CSV.

Audit Logs là một dòng thời gian duy nhất ghi lại mọi hành động của người dùng, agent và hệ thống trên tất cả workspace trong tổ chức của bạn. Dùng Audit Logs để trả lời câu hỏi "ai đã làm việc này, khi nào và từ đâu" trong một đợt rà soát bảo mật, một buổi postmortem sự cố hoặc một cuộc điều tra thay đổi.

## Những gì được và không được ghi lại

* **Được ghi lại:** các thay đổi do người và agent thực hiện, chẳng hạn cập nhật kết nối, quyết định phê duyệt, thay đổi thành viên, các lệnh chạy qua CloudThinker cùng kết quả của chúng, và thay đổi cài đặt bảo mật (bật hoặc tắt MFA, kết nối SSO và tên miền đã xác minh).
* **Không được ghi lại:** đăng nhập và đăng xuất. Lượt xem trang và dữ liệu nhìn chung cũng không được ghi lại.

## Điều kiện tiên quyết

* Vai trò **Owner** hoặc **Admin** của tổ chức. Developer và Viewer không thấy trang này. Xem [Vai trò](https://docs.cloudthinker.io/vi/guide/security/roles.md).
* Gói **Scale**, **Scale Plus** hoặc **Enterprise**. Ở các gói khác, trang hiển thị lời nhắc **Unlock Audit Logs with the Scale plan** và nút **Upgrade Plan** thay vì dòng thời gian. Xem [Gói đăng ký](https://docs.cloudthinker.io/vi/guide/billing/subscription.md).

Trên các triển khai tự host không bật thanh toán, không có kiểm tra gói: Owner và Admin luôn thấy dòng thời gian. Xem [Triển khai](https://docs.cloudthinker.io/vi/guide/deployment/overview.md).

## Thuật ngữ chính

| Thuật ngữ | Ý nghĩa |
| - | - |
| **Event** | Một hành động được ghi lại, chẳng hạn một lần cập nhật kết nối hoặc một quyết định phê duyệt. Hiển thị thành một hàng. |
| **Actor** | Ai đã thực hiện hành động. **User** là một người trong tổ chức của bạn, **Agent** là một AI agent hoạt động trong một workspace, **System** là chính nền tảng CloudThinker. |
| **Category** | Khu vực của sản phẩm nơi sự kiện phát sinh, chẳng hạn **Connection**, **Approval** hoặc **Billing**. |
| **Severity** | Mức độ quan trọng của hành động: **Low**, **Medium**, **High** hoặc **Critical**. CloudThinker đặt giá trị này khi ghi sự kiện, và bạn không thể thay đổi. Ví dụ, bật MFA là Medium, tắt MFA là High, và một lần ghi đè khẩn cấp (break-glass) đối với một Rule đã từ chối là Critical. Hầu hết hành động thường ngày là Low. |
| **Outcome** | Hành động có hoàn tất hay không: **Success**, **Failure** hoặc **Pending**. Trong ứng dụng, giá trị này cung cấp số liệu cho các ô **Success** và **Failures**. Với từng sự kiện, giá trị nằm trong cột `outcome` của CSV. |

Dòng thời gian ở chế độ chỉ đọc. Audit Logs không có thao tác sửa hay xóa, trong ứng dụng hay API của nó, với bất kỳ ai kể cả Owner. Sự kiện chỉ bị xóa qua quy trình dọn dẹp theo thời hạn lưu giữ được mô tả trong [Thời hạn lưu giữ](#thời-hạn-lưu-giữ).

## Mở dòng thời gian

**1. Vào Audit Logs**

Nhấn avatar để mở menu người dùng, rồi chọn **Admin settings → Audit Logs**.

**Trạng thái thành công:** bốn ô tóm tắt (**Total Events**, **Success**, **Failures**, **Agent Actions**) xuất hiện phía trên bảng sự kiện, mới nhất ở đầu.

**2. Đọc các ô tóm tắt**

Các ô đếm số sự kiện khớp với bộ lọc hiện tại. **Failures** hiển thị **Needs attention** khi số đếm lớn hơn 0 và **All clear** khi bằng 0. **Agent Actions** đếm các sự kiện do agent thực hiện.

Bảng hiển thị 10 sự kiện mỗi trang. Dùng các điều khiển phân trang dưới bảng để xem các sự kiện cũ hơn.

Mỗi hàng hiển thị các cột sau:

| Cột | Nội dung |
| - | - |
| **Timestamp** | Thời gian tương đối, chẳng hạn "5 minutes ago". Di chuột lên để xem ngày giờ chính xác (`MM/dd/yyyy, HH:mm`, định dạng 24 giờ, theo múi giờ của trình duyệt). |
| **Actor** | Tên người dùng hoặc agent. Hành động của agent mang huy hiệu bot với tên agent. |
| **Category** | Khu vực sản phẩm, chẳng hạn **Connection**, **Review** hoặc **Optimize**. |
| **Event** | Hành động đã thực hiện, chẳng hạn **Connection Updated** (hành động gốc `connection.updated`). Hành động gốc theo mẫu `category.action`, chẳng hạn `security.mfa_disabled`. |
| **Severity** | **Low**, **Medium**, **High** hoặc **Critical**. |
| **Summary** | Mô tả một dòng về điều đã xảy ra. |
| **Workspace** | Workspace nơi hành động chạy, hoặc `-` cho các sự kiện cấp tổ chức. |

## Tìm một sự kiện cụ thể

Mọi bộ lọc đồng thời thu hẹp bảng, các ô tóm tắt và tệp CSV xuất ra. Không có bộ lọc workspace hay outcome. Để rà soát một workspace, hãy đọc cột **Workspace**. Để liệt kê các sự kiện thất bại, xuất ra CSV và lọc cột `outcome`. Các bộ lọc kết hợp với nhau, nên **Actor Type: Agent** cộng với **Severity: High** chỉ hiển thị hành động của agent có mức độ nghiêm trọng cao.

**1. Tìm kiếm**

Nhập vào **Search**. Ô này khớp văn bản trong phần tóm tắt sự kiện, tên tài nguyên và tên tác nhân. Tìm kiếm chạy ngay khi bạn gõ.

**2. Lọc theo tác nhân, danh mục hoặc mức độ nghiêm trọng**

Chọn giá trị trong **Actor Type**, **Category** và **Severity**. Mỗi bộ lọc nhận nhiều giá trị cùng lúc.

**3. Đặt khoảng ngày**

Chọn một mốc đặt sẵn (**Last 7 days**, **Last 30 days** hoặc **Last 90 days**), hoặc chọn ngày bắt đầu và ngày kết thúc. Ngày kết thúc bao gồm cả ngày, đến 23:59:59.

**Trạng thái thành công:** các ô tóm tắt và bảng cập nhật để chỉ hiển thị các sự kiện khớp.

Các danh mục có sẵn: Agent, Agent Policy, Alert, Approval, Artifact, Assessment, Billing, Chat, Command, Connection, Cyber, Incident, Keepers, Knowledge, Notification, Optimize, Plan, Recommendation, Resource, Review, Security, Skill, Task, Topology, User Mgmt, Webhook và Workspace.

### Các tra cứu thường gặp

| Câu hỏi | Bộ lọc |
| - | - |
| Agent đã thay đổi gì trong tuần này? | **Actor Type:** Agent, khoảng ngày: **Last 7 days** |
| Ai đã thay đổi một kết nối? | **Category:** Connection, rồi tìm theo tên kết nối |
| Ai đã phê duyệt hoặc từ chối một hành động của agent? | **Category:** Approval |
| Gần đây có gì thất bại? | Khoảng ngày: **Last 7 days**, rồi xem ô **Failures**. Để liệt kê các sự kiện thất bại, xuất ra CSV và lọc `outcome` thành `FAILURE`. |
| Những hành động quan trọng nhất là gì? | **Severity:** High và Critical. Mức độ nghiêm trọng cho biết hành động quan trọng thế nào, không cho biết hành động có thất bại hay không. |
| Ai đã thêm hoặc xóa một thành viên? | **Category:** User Mgmt |

## Kiểm tra một sự kiện

Nhấn vào bất kỳ hàng nào để mở bảng chi tiết của hàng đó. Bảng hiển thị:

| Trường | Nội dung |
| - | - |
| **Actor**, **Severity**, **Timestamp**, **Workspace**, **Summary** | Giống như trên hàng, với ngày giờ đầy đủ. |
| **Resource Type**, **Resource Name**, **Resource ID** | Đối tượng mà hành động tác động. |
| **Incident ID** | Sự cố [Resolve](https://docs.cloudthinker.io/vi/guide/incident/overview.md) liên quan, nếu có. |
| **IP Address** | Nơi phát sinh một hành động của người dùng. |
| **Resource Changes** | Bảng **Field / Before / After** chỉ liệt kê các trường đã thay đổi. |
| **Metadata** | Ngữ cảnh bổ sung cho sự kiện, dưới dạng JSON. Các khóa phụ thuộc vào sự kiện. Ví dụ, một sự kiện **Command** bao gồm `conversation_id`, `exit_code` và `duration_ms`. |

Các trường không có giá trị sẽ bị ẩn, nên sự kiện hệ thống thường không hiển thị địa chỉ IP.

## Xuất ra CSV

**1. Lọc trước**

Thu hẹp dòng thời gian theo những gì người rà soát cần, ví dụ **Category:** Connection trong **Last 30 days**. Tệp xuất dùng chính xác các bộ lọc trên màn hình. CSV không có cột workspace, nên hãy ghi lại workspace từ bảng nếu người rà soát cần.

**2. Nhấn Export CSV**

Nhấn **Export CSV** cạnh các bộ lọc. Nút hiển thị **Exporting...** trong khi tệp đang được tạo.

**Trạng thái thành công:** trình duyệt tải xuống `audit-trail.csv` và thông báo **Audit trail exported successfully** xuất hiện. Mọi tệp xuất đều có cùng tên, vì vậy hãy đổi tên từng tệp theo khoảng ngày ngay sau khi tải xuống.

Tệp có một hàng cho mỗi sự kiện với các cột: `timestamp`, `actor_type`, `actor_name`, `agent_name`, `action_category`, `action`, `severity`, `resource_type`, `resource_id`, `resource_name`, `summary`, `ip_address`, `changes`, `outcome`, `metadata`. Các cột `changes` và `metadata` chứa JSON. `timestamp` theo ISO 8601 kèm độ lệch múi giờ.

> [!WARNING]
>
> Mỗi lần xuất chứa tối đa 10.000 sự kiện khớp gần nhất. Với khoảng thời gian dài hơn, hãy xuất theo các khoảng ngày nhỏ hơn để không bị cắt mất dữ liệu.

## Thời hạn lưu giữ

Sự kiện được lưu giữ trong 90 ngày, sau đó tự động bị xóa. Thời hạn này giống nhau trên mọi gói. Audit Logs không có luồng tích hợp sẵn đến SIEM, vì vậy để có bản ghi dài hơn, hãy xuất ra CSV theo lịch định kỳ (hằng tháng là phù hợp) và lưu tệp trong hệ thống của riêng bạn.

Trên các triển khai tự host, thời hạn lưu giữ là cài đặt **Audit Trail Retention Days**, mặc định là 90. Quản trị viên của bản cài đặt thay đổi giá trị này từ menu người dùng trong **Instance configuration**. Xem [Triển khai](https://docs.cloudthinker.io/vi/guide/deployment/overview.md).

## Khắc phục sự cố

> **Tôi không thấy Audit Logs trong Admin Settings**
>
> **Nguyên nhân:** vai trò tổ chức của bạn là Developer hoặc Viewer.
> **Cách sửa:** đề nghị Owner của tổ chức cấp cho bạn vai trò Admin. Xem [Vai trò](https://docs.cloudthinker.io/vi/guide/security/roles.md).

> **Trang hiển thị lời nhắc nâng cấp thay vì sự kiện**
>
> **Nguyên nhân:** tổ chức của bạn đang dùng gói không có Audit Logs.
> **Cách sửa:** nhấn **Upgrade Plan** và chuyển sang Scale, Scale Plus hoặc Enterprise. Xem [Gói đăng ký](https://docs.cloudthinker.io/vi/guide/billing/subscription.md).

> **Thiếu một sự kiện tôi mong đợi**
>
> **Kiểm tra:** xóa mọi bộ lọc và khoảng ngày, rồi tìm kiếm lại. Tìm kiếm chỉ khớp phần tóm tắt, tên tài nguyên và tên tác nhân, không khớp tên sự kiện hay workspace.
> **Kiểm tra:** sự kiện có thể đã cũ hơn 90 ngày và đã bị xóa.

> **Tệp CSV có ít hàng hơn ô Total Events**
>
> **Nguyên nhân:** mỗi lần xuất dừng lại ở 10.000 sự kiện khớp gần nhất.
> **Cách sửa:** chia tệp xuất thành các khoảng ngày ngắn hơn.

> **Failed to export audit trail**
>
> **Cách sửa:** kiểm tra kết nối mạng và nhấn **Export CSV** lại. Nếu vẫn thất bại, hãy thu hẹp khoảng ngày để tệp nhỏ hơn.

## Bước tiếp theo

> **[Vai trò](https://docs.cloudthinker.io/vi/guide/security/roles.md)**
>
> Kiểm soát ai là Owner hoặc Admin và có thể đọc dòng thời gian kiểm toán.

> **[Single sign-on](https://docs.cloudthinker.io/vi/guide/security/sso.md)**
>
> Cho người dùng đăng nhập qua nhà cung cấp danh tính của bạn.

> **[Approvals](https://docs.cloudthinker.io/vi/guide/approvals/overview.md)**
>
> Quyết định hành động nào của agent cần con người đồng ý trước khi chạy.

> **[Tổng quan bảo mật](https://docs.cloudthinker.io/vi/guide/security/overview.md)**
>
> Xem cách CloudThinker bảo vệ quyền truy cập, dữ liệu và hành động của agent.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.