成员行为审计查询事件说明

一、简介

成员行为审计功能支持查询成员在云文档、即时消息、音视频会话、日历、邮箱、账号行为、通讯录、工作台、公司圈、审批等功能模块中的操作行为。

二、说明

Lark 支持对成员在不同功能模块中的具体操作进行查询，详情如下：

云文档

事件Eventname	事件名称	触发条件
set_doc_sec_label	设置文档密级标签	当成员为一个文件设置密级等级。
space_add_comment	添加评论	为一篇云文档增加评论。
space_add_reply	添加回复	对一个文件中的内容进行评论。
space_copy_content	复制文件中内容	复制文件中的内容时会进行记录，主要针对云文档而言，云空间中的 excel、ppt 等其他本地文件不一定能准确进行记录。
space_create_copy	创建副本	创建文件、文件夹的副本时。
space_create_doc	创建云文档	新建云空间中的文档、文件夹。
space_create_spacecopy	创建知识库副本	字面含义，创建知识库副本。
space_delete_doc	删除文件/文件夹	删除云文档。
space_delete_doccurrent	删除文件/文件夹（不影响子文件/文件夹）	删除云文档时会上报此事件，不影响子文件或文件夹。
space_delete_reply	删除回复	删除云文档中某条评论。
space_demoslides	演示幻灯片	在幻灯片文件中点击演示。
space_download_file	下载文件/文件夹	下载云空间中的文件为本地文件时。
space_download_history	下载历史版本	下载云空间中某一文件的历史版本，通常只有云空间的本地文件支持这样的下载行为。
space_edit_doc	编辑文件	编辑一篇云文档时会进行记录，5 分钟内的重复行为会进行聚合。
space_edit_reply	编辑回复	编辑云文档中某条评论。
space_edit_space_member	编辑知识库成员	包括新增和删除知识库的成员。
space_edit_space_member_auth	修改知识库成员权限	目前知识库不能修改单个成员的权限，只能批量改成可阅读或者可编辑，因此本事件不额外记录修改了谁的权限。
space_edit_space_owner	编辑单个知识库管理员	包括新增和删除知识库的管理员。
space_export_doc	导出文件/文件夹	导出云文档。
space_finish_comment	解决评论	解决云文档中某条评论。
space_front_export_csv	移动端以CSV或图片形式导出电子表格	在电子表格的右上角点击下载按钮时选中本地 CSV 文件或者图片。
space_front_export_image	移动端以图片形式导出文档	在移动端的文档右上角点击下载按钮时选择下载为图片。
space_import_doc	上传文件/文件夹	在云空间或者文档中上传一个文件或者文件夹。
space_modfiy_security_setting	修改知识库安全设置	修改知识库相关的配置项。
space_move	移动到文件夹/知识库	移动文件、文件夹或知识库。
space_move_owner	转移所有权	改变文档所有者，管理员转移和离职转移。
space_open_with_3rdApp	移动端使用第三方应用打开文件	点击一个文件并分享到第三方应用。只在移动端生效，由于技术原因，无法记录文档被分享到到哪个第三方应用。
space_print_doc	打印文件	点击云文档中的打印按钮。
space_read_doc	访问文件/文件夹	访问一篇云文档时会进行记录，5 分钟内的重复行为会进行聚合并上报。
space_recover_history	还原历史版本	还原某一历史版本。
space_reopen_comment	恢复评论	恢复云文档中某条评论。
space_save_module	保存为我的模板	将一篇云文档保存为个人模板。
space_share	分享文件/文件夹	一旦点击分享按钮时就会记录，但是仅记录是否成功获取到了分享的手段和内容，是否真的按以下方式对他人进行分享需要另行辩驳。
space_share_to_3rdApp	分享到第三方应用	点击一个文件并分享到第三方应用。只在移动端生效，由于技术原因，无法记录文档被分享到到哪个第三方应用。
space_update_collaborator_auth	修改协作者权限	改变协作者权限，如可编辑变成可阅读。
space_update_collaborator_doc	新增/删除协作者	增加或减少一篇文档的协作者。
space_update_share_setting_doc	更新文档权限设置	从云文档分享按钮进入，修改权限的内容都会触发此事件，如修改谁可以添加协作者、是否互联网全员可见等。
space_update_spaceshare_status	开启/关闭空间链接分享	修改知识库链接分享状态。
space_view_history	查看历史版本	查看云空间中某一文件的历史版本。
turn_down_doc_sec_label	调低密级标签敏感等级	成员调低密级标签敏感等级。
turn_up_doc_sec_label	调高密级标签敏感等级	成员调高密级标签敏感等级。
space_authapprove	申请云文档权限	点击申请没有权限的云文档时立即上报日志，不管申请结果是否通过。
space_set_retlabel	设置保留标签	管理后台设置数据保留策略后，设置被覆盖云文档的保留标签
space_edit_retlabel	修改保留标签	管理后台设置数据保留策略后，修改被覆盖云文档的保留标签
space_delete_retlabel	清除保留标签	管理后台设置数据保留策略后，清除被覆盖云文档的保留标签。

即时消息

事件Eventname	事件名称	触发条件
im_add_chatadmin	添加群管理员	群主或者群管理员主动添加一个或多个群管理员。
im_addtochat	添加群组成员	群主或者群管理员主动添加一个或多个群成员。
im_admin_no_restrict_ctrl	管理免受群聊保密模式限制的成员	在群管理中修改谁可以免受管控时。
im_chat_editimage	编辑图片	在聊天会话框中点击图片的编辑按钮。
im_chat_previewfile	在线预览非图片或视频文件	在聊天会话框中在线预览本地文件，包括图片和视频的预览，不包括云文档的预览。
im_chat_uploadfile	上传文件	在聊天会话框中上传本地文件，包括单聊和群聊。
im_chat_withdraw	撤回	在聊天会话框中撤回图片、视频、消息、文件等，包括群管理者撤回他人的群消息和自己撤回自己发送的消息两种情况，均会被记录在内。
im_copy_image	复制	复制聊天会话中的任意内容，包括图片、视频、消息、文件等。
im_create_chat	创建群组	创建群组。
im_delete_chat	解散群组	解散群组。
im_delete_chatadmin	删除群管理员	群主或者群管理员主动删除一个或多个群管理员。
im_deletefromchat	删除群组成员	群主或者群管理员主动删除一个或多个群成员。
im_download	下载文件	在单聊或群聊中下载文件、文件夹均会触发此事件。下载文件夹时，会表现成下载多个文件，由于技术问题无法记录下载的文件夹的名称。
im_download_file	下载IM会话中的文件	下载单聊或群聊中的文件。
im_download_image	下载图片	在单聊或群聊中下载图片均会触发此事件。
im_download_video	下载视频	在单聊或群聊中下载视频均会触发此事件。
im_forward_chatadmin	转让群主	群主将群主身份转移给其他人员。
im_forward_file	转发	在聊天会话框中转发图片、视频、消息、文件等给其他人（包括群组、应用），转发给多个人的时候会拆分成多个转发记录。
im_join_chat	加入群组	加入群组。
im_load_file_to_local	将服务端文件缓存到本地	将服务端文件缓存到本地。
im_ocr	截图提取文字	点击提取文字按钮。
im_open_link	在聊天中点击 URL	在会话中点击任意 URL，均会触发此事件。记录（包括云文档链接）或发送多个 URL 链接会以逗号隔开。
im_open_with_3rdApp	用第三方应用打开文件	在聊天会话中，点击一个文件并分享到第三方应用。只在移动端生效，由于技术原因，无法记录到用哪个第三方应用打开。
im_quit_chat	退出群组	退出群组。操作员工离职时会将该员工批量移出内部群，此时会记录为该员工大量退出群。
im_read_doc	访问IM会话中的文件	预览单聊或群聊中的文件。
im_savetospace	保存到我的空间	在聊天会话中，点击一个文件上的保存到我的空间按钮。
im_screencap	即时消息录屏	在单聊或群聊场景下，点击录屏按钮。
im_send_link	在聊天中发送 URL	在会话中发送任意 URL 链接，均会触发此事件。记录（包括云文档链接）或发送多个 URL 链接会以逗号隔开。
im_snaphot	即时消息截图	在单聊或群聊场景下，点击截图按钮。
im_start_external_chat	对陌生人发起单聊	当第一次对非同一企业成员发起聊天时。
im_chat_avatar_type	修改群头像	修改群头像。
im_chat_linked_page_create	关联页面与群组	关联页面与群组。
im_chat_linked_page_delete	解除页面与群组的关联	解除页面与群组的关联。
im_chat_pin_show_pin_list	展开置顶看板	/
im_chat_pin_show_in_chat	查看置顶内容	/
im_chat_pin_stick	将置顶内容“固定在首位”	/
im_chat_pin_update_permission	更改置顶管理权限	/
im_chat_pin_update	修改置顶链接的标题	/
im_chat_pin_sidebar_search	点击工具栏中的“搜索”	/
im_chat_pin_click_open_browser	在置顶链接菜单内点击“在浏览器中打开”	/
im_chat_pin_sidebar_file	点击工具栏中的“文件”	/
im_chat_pin_unstick	将置顶内容“取消固定”	/
im_chat_pin_hover_show	PC Hover 查看置顶预览卡片	/
im_chat_pin_reorder	对置顶进行拖拽排序	/
im_chat_pin_create	添加置顶	/
im_chat_pin_click_copy_url	在置顶链接菜单内点击“复制链接”	/
im_chat_pin_sidebar_add_link	点击工具栏中的“添加置顶链接”	/
im_chat_pin_click_back_to_chat	点击置顶消息 “回到原文”	/
im_export_chat_chatter	导出群成员信息	/
im_chat_pin_sidebar_announce	点击工具栏中的“添加/查看群公告”	/
im_chat_pin_click_open_url	点击置顶链接卡片后打开链接	/
im_chat_pin_delete	移除置顶	/

音视频会话

事件Eventname	事件名称	触发条件
vc_download_minutes	下载妙记文件到本地	将妙记文件下载到本地时。
vc_changerange	修改入会权限	在音视频会议中点击安全，修改入会范围。
vc_create_video_meeting	创建视频会议	主动发起一次音频或者视频会议时。
vc_finish_video_meeting	结束视频会议	点击结束会议按钮结束一个音频或者视频会议时。
vc_invite_video_meeting	邀请其他用户进入视频会议	邀请其他成员加入音视频会议时。
vc_join_video_meeting	加入视频会议	加入由他人分享或者日程中的音频或者视频会议时。
vc_quit_video_meeting	退出视频会议	退出一个音频或者视频会议时。
vc_share_video_meeting	分享视频会议	点击音视频会话中的分享按钮，分享一个音频或者视频会议时。
vc_sharescreen_video_meeting	共享屏幕/云文档/白板	在视频会议中点击共享按钮，包含共享屏幕/应用，云文档，白板等行为时。
vc_createclip	创建妙记片段	妙记片段创建成功。
vc_deleteclip	删除妙记片段	妙记片段删除成功。
vc_deletemeta	将某篇妙记移入回收站	妙记删除成功。
vc_deletemetafromtrash	永久删除某篇妙记	妙记永久删除成功。
vc_drivebatchtranscribe	通过导入 Lark 云端文件生成妙记	通过导入 Lark 云端文件创建妙记成功。
vc_exportmeta	导出妙记	妙记导出成功。
vc_revertmeta	从回收站恢复某篇妙记	妙记恢复成功。
vc_setaudiostatus	通过移动端录音生成妙记文件	通过移动端录音创建妙记成功。
vc_share_to_room_video_meeting	会议室投屏	会议室投屏段成功。
vc_sharebychat	通过会话分享妙记	通过会话分享妙记成功。
vc_sharebylink	通过链接修改妙记权限	通过链接修改妙记权限成功。
vc_shareclipbychat	通过会话分享妙记片段	通过会话分享妙记片段成功。
vc_sharecollaborator	管理妙记协作者	增加修改或者删除协作者成功。
vc_uploadbymeeting	通过会中录制生成妙记文件	通过会中录制创建妙记成功。
vc_uploadmeta	通过上传本地文件生成妙记	通过上传本地文件创建妙记成功。
vc_viewclip	访问某篇片段妙记	访问妙记片段成功。
vc_viewmeta	访问某篇妙记	访问妙记成功。
vc_start_transcript	开始会议转录	/
vc_stop_transcript	停止会议转录	/
vc_request_transcript	申请会议转录	/
vc_access_transcript	同意会议转录申请	/
vc_refuse_transcript	拒绝会议转录申请	/
vc_access_local_record	同意会议本地录制申请	/
vc_refuse_local_record	拒绝会议本地录制申请	/
vc_refuse_record	拒绝会议录制申请	/
vc_access_record	同意会议录制申请	/
vc_stop_record	结束会议录制	/
vc_request_record	申请会议录制	/
vc_start_local_record	开始会议本地录制	/
vc_stop_local_record	停止会议本地录制	/
vc_request_local_record	申请会议本地录制	/
vc_manage_stop_local_record	停止参会人本地录制会议	/
vc_start_record	开始会议录制	/
vc_start_screen_control	开启远程屏幕控制	/
vc_finish_screen_control	关闭远程屏幕控制	/

日历

事件 Eventname	事件名称
cal_create_event	创建日程
cal_add_attachment	添加日程附件
cal_remove_attachment	移除日程附件
cal_delete_event	删除日程
cal_add_remove_participants	添加/移除日程参与者
cal_add_remove_meeting_room	添加/移除会议室
cal_mod_event_permission	更改日程参与者权限
cal_create_meeting_group	创建会议群
cal_transfer_event	日程转让
cal_share_event	分享日程至会话
cal_join_event	加入日程
calendar_create_scheduler	创建预约活动
calendar_edit_scheduler	修改预约活动
calendar_del_scheduler	删除预约活动
cal_delete_calendar	新建日历
cal_create_calendar	删除日历
cal_change_def_cal_permissions	更改日历默认权限
cal_add_remove_calendar_sharee	新增/删除日历共享人
cal_modify_sharee_permissions	更改日历共享人权限
cal_add_3party_account	添加第三方日历账号
cal_subscribe_calendar	订阅日历
cal_unsubscribe_calendar	取消订阅日历
cal_share_calendar_to_session	分享日历至会话
cal_remove_3party_account	移除第三方日历账号
cal_edit_event	编辑日程
cal_switch_calendar	更改日程所在日历
cal_create_meetingnote	创建会议纪要
cal_del_meetingnote	删除会议纪要
cal_bind_meetingnote	关联会议纪要
cal_convert_group	将会议群转为普通群组
cal_event_rsvp	回复日程参与状态
cal_edit_calendar	编辑日历信息
cal_export_calendar	导出日历

邮箱

事件Eventname	事件名称	触发条件
email_copy	复制邮件内容	复制邮件正文中的内容。
email_delete	永久删除邮件	在已删除的文件夹中，选择邮件点击永久删除。
email_downloadfile	下载附件	点击并下载邮件中的附件或图片。
email_downloadmail	下载邮件	在邮件的操作中点击下载邮件。
email_editforward	设置自动转发	在邮箱设置中开启自动转发功能则。
email_foawardasatt	将邮件作为附件转发	在邮件的操作中点击作为附件转发。
email_localopen	本地应用打开附件	用本地的应用打开邮件中的附件。
email_login	登录公共邮箱	成功登陆公共邮箱账号。
email_loginthird	登录第三方邮箱客户端	用第三方邮件客户端登录邮箱。
email_move	移动邮件	点击移动按钮，移动邮件。
email_print	打印邮件	点击打印按钮。
email_read	阅读邮件	阅读邮件。
email_reply	回复/转发邮件	点击回复或者转发按钮。
email_send	发送邮件	编辑邮件完成时，点击发送按钮。
email_sharefile	分享附件至会话	分享邮件中的附件、图片至单聊或者群聊。
email_sharemail	分享邮件至会话	点击分享至会话按钮，分享邮件至单聊或者群聊。
email_urlclick	点击邮件正文链接	点击邮件正文中的链接。
email_batchexport	批量导出邮件	批量导出邮件。

账号行为

事件Eventname	事件名称	触发条件
account_login	登录	登录 Lark 账号。
account_passport_changeaccount	切换账号	从当前企业切换到个人或另一个企业账号。
account_passport_logout	登出	登出 Lark 账号。
account_passport_renew_logoncre	登录凭证更新	登录凭证更新。
account_passport_renew_password	登录密码更新	登录密码更新。
user_active_exit_team	注销账号	一般情况下，只有成员主动退出企业时会触发。
account_passport_update_otp	更新动态口令设置	/
account_passport_update_2fa	更新两步验证设置	/
account_passport_updatesparecre	更新备用验证方式设置	/
account_passport_revoke_appauth	管理应用授权	/
account_passport_renew_fidocre	更新通行密钥设置	/

通迅录

事件Eventname	事件名称	触发条件
contact_add_external_friend	添加外部联系人为好友	添加外部联系人为好友。
contact_obtain_mobile	获取手机号	查看他人手机号。
contact_view_department_struct	查看部门组织架构	通常会发生在点击通讯录、查看组织架构时会记录。但是由于技术原因，导致企业员工在切换账号时会同时记录大量此事件。这些同时发生的大量日志可忽略。
contact_view_personal_info	查看个人信息页	点击 Lark 中的头像，会记录这个事件。有时可能会记录两条，提前加载上级的个人信息页面。
contact_personal_avatar_update	更新个人头像	更换头像。
view_mail_user	查看邮箱联系人	用户查看邮箱联系人信息。
addmailuser	新增邮箱联系人	用户添加邮箱联系人信息。
deletemailuser	删除邮箱联系人	用户删除邮箱联系人信息。
modifymailuser	修改邮箱联系人	用户修改邮箱联系人信息。
copy_phone_number	复制电话	用户复制自定义字段里面的电话类型、手机号、分机号。
call_phone_number	呼叫电话	用户呼叫自定义字段里面的电话类型、手机号、分机号。
add_phone_number_to_contacts	将电话增加到通讯录	用户将自定义字段里面的电话类型、手机号、分机号添加到通讯录。

工作台

事件Eventname	事件名称	触发条件
workplace_app_download_doc	下载小程序的文件	在工作台中下载小程序的文件。
workplace_app_open_with_3rdApp	小程序中使用第三方应用打开文件	在工作台的小程序中使用第三方应用打开文件。
workplace_open_app	打开应用	在工作台中打开应用。

公司圈

事件Eventname	事件名称	触发条件
moments_copy_comment	复制评论	在公司圈复制评论。
moments_copy_image	复制图片	在公司圈复制图片。
moments_copy_link	复制链接	在公司圈复制帖子的链接。
moments_copy_post	复制动态	在公司圈复制动态。
moments_create_comment	发布评论	在公司圈发布评论。
moments_create_official	创建官方号	创建官方号。
moments_create_post	发布动态	在公司圈发布动态。
moments_create_reaction	表情回复	在公司圈用表情回复帖子。
moments_delete_comment	删除评论	删除评论。
moments_delete_post	删除帖子	删除帖子。
moments_delete_reaction	取消表情回复	在公司圈取消表情回复。
moments_download_image	下载图片	在公司圈下载图片。
moments_edit_official	修改官方号	修改官方号。
moments_enter_post_detail	点击动态详情页	在公司圈点击动态详情页查看。
moments_forward_post	转发动态	在公司圈转发动态。
moments_login_official	登录官方号	登录官方号。
moments_preview_image	预览图片	在公司圈预览图片。
moments_preview_video	预览视频	在公司圈预览视频。
moments_view_feed_post	浏览动态	在公司圈浏览动态。
moments_viewmoment	查看动态	在公司圈查看动态。注：此事件已于2023年10月8日停用，此日期之后的查看动态日志可参考“浏览动态”事件。

审批

事件Eventname	事件名称	触发条件
officeapprove_operate_clear	操作删除	删除审批。
officeapprove_add_submanager	管理后台添加子管理员	在管理后台添加子管理员。
officeapprove_process_intervene	流程干预	流程干预。
officeapprove_hand_over	审批交接	审批交接。
officeapprove_operate_save	操作保存	点击保存。
officeapprove_bitable_add_data	添加审批数据	添加审批数据。
officeapprove_admin_export_data	管理后台导出数据	在管理后台导出数据。
officeapprove_create_approval_group	新建审批流程分组	新建审批流程分组。
officeapprove_enable_approval	启用审批流程	启用审批流程。
officeapprove_update_approval_group	更新审批流程分组	更新审批流程分组。
officeapprove_update_approval	修改审批流程	修改审批流程。
officeapprove_delete_approval	删除审批流程	删除审批流程。
officeapprove_delete_approval_group	删除审批流程分组	删除审批流程分组。
officeapprove_disable_approval	停用审批流程	停用审批流程。
officeapprove_export_data	客户端导出数据	在客户端导出数据。
officeapprove_create_approval	新建审批流程	新建审批流程。
officeapprove_export_efficiency_task_detail	导出任务明细	导出任务明细。
officeapprove_process_diagnosis	查看流程诊断	查看流程诊断。
officeapprove_export_efficiency_process_detail	导出流程明细	导出流程明细。
officeapprove_efficiency	查看个人效率	查看个人效率。
officeapprove_share_approval	分享流程提交入口	分享流程提交入口。
officeapprove_operate_submit_again	操作重新提交	操作重新提交。
officeapprove_operate_recall	操作撤回	操作撤回。
officeapprove_operate_upload_attachment	上传附件	上传附件。
officeapprove_operate_upload_image	上传图片	上传图片。
officeapprove_operate_share	分享审批单	分享审批单。
officeapprove_operate_urgent	催办	催办。
officeapprove_operate_discuss	操作讨论	操作讨论。
officeapprove_operate_addsign	操作加签	操作加签。
officeapprove_operate_rollback	操作退回	操作退回。
officeapprove_operate_removesign	操作减签	操作减签。
officeapprove_operate_comment	操作评论	操作评论。
officeapprove_operate_cc	操作抄送	操作抄送。
officeapprove_operate_reject	操作拒绝	操作拒绝。
officeapprove_operate_forward	操作转交	操作转交。
officeapprove_operate_approve	操作同意	操作同意。
officeapprove_modify_instance	修改审批单	修改审批单。
officeapprove_create_instance	发起审批单	发起审批单。
officeapprove_detail_instance	查看审批单	查看审批单。

URL

事件Eventname	事件名称	触发条件
links_access_external	成员点击 URL	成员点击云文档、即时消息、邮箱等产品中的 URL 链接。
im_extract_url	以预览形式插入涉及三方采集网页内容的 URL	用户在 Lark 部分场景插入URL，服务端收到采集 URL 信息用于预览的请求，并且该链接不在免审计上报白名单内。