用途
该技能从 Datadog Audit Trail 生成可供审计人员使用的合规证据，面向 SOC 2 与 PCI DSS 控制要求。它把框架控制项映射到具体的查询模式，并产出结构化的证据报告。
主要能力
- 支持 SOC 2 与 PCI DSS 两类框架的控制项证据生成。
- 内置控制项到查询的映射，参考 references/control-mapping.md 可查看完整的控制→查询映射表及各框架的保留期要求。
- 先执行保留期检查：PCI 要求 12 个月，Datadog 默认保留 90 天；若请求时间窗口超过 90 天且未确认归档配置，会在报告头部提示该缺口。
- 按控制项运行查询并输出证据报告模板。
使用方式
前置认证：
pup auth login # OAuth2 (recommended)
# or set DD_API_KEY + DD_APP_KEY with audit_logs_read scope
工作流程：
- 确认框架（SOC 2 / PCI DSS）、时间窗口、组织范围。
- 运行保留期检查。
- 运行每个相关控制项查询。
- 使用证据报告模板格式化输出。
保留期检查示例：
pup audit-logs search --query "@evt.name:\"Audit Trail\" @action:modified" --from 90d -o json \
| jq '[.data[] | {
timestamp: .attributes.timestamp,
user: .attributes.attributes.usr.email,
action: .attributes.attributes.action,
resource: .attributes.attributes.asset.type
}]'
SOC 2 查询覆盖：
- CC6.2 — 用户开通/注销
- CC6.3 — 角色与权限变更
- CC6.6 — 失败登录与可疑访问
- CC7.2 — 特权/支持用户操作
PCI DSS 查询覆盖：
- PCI 10.2.2 — 特权用户操作（同 CC7.2，并包含组织级管理操作）
- PCI 10.2.3 — 对审计日志自身的访问
- PCI 10.2.4 — 无效访问尝试（同 CC6.6 失败登录）
- PCI 10.2.5 — 全部认证事件
- PCI 10.2.7 — 对象创建与删除
证据报告模板包含：框架、组织、周期、生成日期、范围边界、保留期状态，以及按控制项列出的事件表格（时间戳、操作者、动作、资源类型、资源 ID、IP、国家），最后列出数据不可用或不完整的缺口。
适用场景
- 需要为 SOC 2 或 PCI DSS 审计准备 Datadog 平台管理操作证据的团队。
- 需要按控制项系统化提取审计日志并整理成报告的场景。
限制
- 范围边界：报告仅覆盖 Datadog 平台内的管理操作，不覆盖 Datadog 所监控系统内的操作。
- 对 PCI 而言，这是监控平台访问控制正常运行的证据，而非持卡人数据环境（CDE）本身的直接证据，审计人员应理解该范围边界。
- PCI 要求 12 个月保留，而 Datadog 默认保留 90 天；若未配置归档，超出默认保留期的窗口将存在数据缺口。
- 需具备 audit_logs_read 权限。
参考
- Audit Trail events reference
- PCI DSS Requirement 10
- SOC 2 Trust Services Criteria