用途
本技能面向火山引擎操作审计（CloudTrail）场景，用于查询审计事件、调查登录或资源操作、解析事件名，以及管理操作审计 Trail 和历史补投任务。当用户提到操作审计、审计日志、CloudTrail、登录记录、资源变更记录、失败事件、RequestID / EventID 对应事件，或需要确认某个火山资源由谁创建、删除、修改时适用；也适用于创建、更新、启停、删除 Trail，以及查看、创建、停止历史补投任务。
主要能力
- 审计事件查询：支持按登录行为、资源 ID、读写属性、时间范围（相对
--lookback-days1..90 天或绝对时间）等条件查询，输出摘要；使用events lookup --raw输出带注释的完整日志（JSONC 格式）。 - 事件名解析：根据服务、关键词、资源 ID 和读写属性判断 EventSource / EventName 候选。
- Trail 管理：列出、创建、更新、启停、删除操作审计 Trail。创建时必须显式指定 EventRW=All|Read|Write，并至少配置一个完整 TOS 或 TLS 投递目标；确认后默认执行创建、校验、开启日志、再校验的流程。
- 历史补投：列出、查看、创建、停止补投任务；创建前分页检查账号内全部任务，存在 PENDING / RUNNING 活跃任务时停止创建；补投窗口需满足 EndTime < now、EndTime > StartTime、StartTime 在近 90 天内、单任务跨度不超过 90 天。
使用方式
所有动作通过 scripts/cloud_trail.py 完成，该脚本封装 ve cloudtrail <Action>，版本固定 2021-09-01。示例：
python3 scripts/cloud_trail.py events lookup --signin-action login --lookback-days 3python3 scripts/cloud_trail.py events resolve --service vpc --keyword Delete --resource-id vpc-<id> --operation writepython3 scripts/cloud_trail.py trails listpython3 scripts/cloud_trail.py backfill list默认输出 JSON；--format为全局参数，需放在events/trails/backfill之前，可输出 table 或 md。写操作先 dry-run 展示操作摘要与下一步动作，用户确认后以同一参数加确认标记执行。删除 Trail 前须严格分页检查补投任务，确认无 PENDING / RUNNING 任务后再删除。
前置条件与限制
需要 ve CLI 与 python3 可用，并已通过 ve configure 或环境变量完成鉴权；鉴权、profile、CLI 安装或会话问题交由 volcengine-cli skill 处理。每个会话首次签名调用、重新鉴权或 profile 改变后，先只读确认调用账号；仅当用户明确指定时才传 --profile 或 --region。补投创建能力需运营开白，账号内已有任一补投任务记录可视为已开白。单次事件查询最多 50 条，下一页仅在用户明确要求时携带原查询指纹取一页；接近 90 天边界时预留 60 秒安全余量。写入成功后以 StateVerified=true 表述为已生效，WriteAccepted=true 仅表示控制面受理。空结果表述为“账号 X 在当前地域与时间范围内无记录”。