搬瓦工 Audit Log 功能详解：查看 KiwiVM 登录与 VPS 操作记录

在管理搬瓦工（Bandwagon Host）VPS 时，您可能遇到过这些情况：服务器好像被重启过，但记不清是不是自己操作的；KiwiVM 后台出现过陌生登录；VPS 的 root 密码、系统或机房发生了变化，却不知道具体是什么时间操作的。

搬瓦工 Audit Log 就是用来查看这些记录的功能。它会按照时间顺序保存 KiwiVM 登录、开关机、重装系统、重置密码、迁移机房、管理快照等操作，并显示对应的时间、IP 地址和操作内容。通过这些搬瓦工操作记录，您可以核对某次操作是不是自己完成的，也能及时发现异常登录或未经允许的修改。

一、如何进入搬瓦工 Audit Log？

搬瓦工 Audit Log 位于后台 KiwiVM 控制面板中，每台 VPS 都有各自的日志页面，进入方法如下：

1. 首先，登录搬瓦工 KiwiVM 控制面板。
2. 在左侧菜单中找到“Security & Records”。
3. 点击下面的“Audit log”，即可查看当前 VPS 的 KiwiVM 审计日志。

进入页面后，日志会按照时间倒序排列，最近发生的操作显示在最上方。如果记录较多，可以继续翻页查看以前的搬瓦工登录记录和 VPS 管理操作。

二、如何看懂 KiwiVM Audit Log？

KiwiVM Audit Log 页面主要包含 Time、IP address 和 Action 三列。

搬瓦工 Audit Log 中的时间、IP 地址和操作内容

1. 为什么会出现127.0.0.1？

很多网友在第一次查看搬瓦工 Audit Log 时，会发现部分记录的 IP 地址是 127.0.0.1。这个地址不是陌生用户的公网 IP，而是系统内部使用的本地地址。

例如，从搬瓦工客户中心进入后台 KiwiVM 时，日志中就会连续出现下面两条记录：

• Billing platform requested a single-use login token：搬瓦工客户中心申请了一次性登录令牌，IP 地址是 127.0.0.1。
• Control panel: successful login：用户成功进入 KiwiVM 控制面板，IP 地址会显示当时使用的公网 IP。

这两条记录的时间一般只相差几秒，属于正常的登录过程。

2. Audit Log会记录哪些操作？

从日志来看，KiwiVM 后台 Audit Log 记录的不只是登录和重启，还包括密码修改、系统重装、机房迁移、快照、ISO、VNC 和 API 等操作。

常见记录的含义如下：

日志中出现 OS Reinstall: debian-13-x86_64，表示这台 VPS 曾通过 KiwiVM 重装 Debian 13，系统选择和安装步骤可以查看：搬瓦工 KiwiVM 安装 Debian 13 教程。

三、如何利用搬瓦工操作记录检查账户安全？

查看 Audit Log 时，需要把时间、IP 地址和 Action 内容放在一起进行核对，确认登录和操作记录是否与自己的实际使用情况相符。

1. 检查陌生的登录IP

查看 Control panel: successful login 记录时，先核对登录时间和旁边的公网 IP。更换家庭宽带、手机网络或代理节点后，日志中的 IP 也会变化，因此还要对照当时使用的网络，确认这次登录是不是自己完成的。

核对时可以按下面的顺序进行：

• 先看登录时间，当时是否进入过 KiwiVM；
• 再看 IP 地址，是否与自己当时使用的网络相符；
• 最后查看登录后是否继续发生了密码修改、重装系统、迁移机房等操作。

如果某个公网 IP 完全无法对应自己的使用记录，并且在成功登录后还执行了敏感操作，就需要立即检查账户安全。

2. 重点核对敏感操作

查看 Audit Log 时，登录记录主要用来核对访问时间和来源 IP；下面这些涉及密码、系统和数据的操作，则需要确认是否由自己完成：

• KiwiVM password changed：KiwiVM 独立密码被修改；
• Root password was reset：VPS 的 root 密码已通过 KiwiVM 重新设置。
• OS Reinstall：VPS 被重装系统；
• Migration：VPS 被迁移到其他机房；
• Delete snapshot：已有快照被删除；
• ISO mounted：向 VPS 挂载了 ISO 文件；
• VNC console started：有人打开了 VNC 控制台；
• API: shell command sent to VM：通过 API 向 VPS 发送了命令。

如果这些操作的时间、来源 IP 或具体内容与自己的操作不符，应尽快处理。

如果看到 Root password was reset，应该先核对自己是否在这个时间重置过 root 密码，忘记密码需要重新设置时，可以参考：搬瓦工 KiwiVM 一键重置 VPS root 密码教程。

3. 发现异常记录后怎么处理？

确认搬瓦工登录记录或 VPS 操作存在异常后，可以按照下面的顺序处理：

1. 立即修改搬瓦工客户中心登录密码，不要继续使用与其他网站相同的密码。
2. 如果设置过 KiwiVM 独立登录密码，立即修改 KiwiVM 密码。
3. 进入账户安全设置，开启二次验证（2FA），减少密码泄露后被直接登录的风险。
4. 继续向前查看 KiwiVM 审计日志，检查是否出现系统重装、root 密码重置、快照删除、机房迁移或 API 调用。
5. 登录 VPS 检查网站、文件和服务是否正常。如果已经发生未经允许的系统重装或数据删除，应尽快使用可信备份恢复。

四、搬瓦工 Audit Log 能查看哪些记录？

搬瓦工 Audit Log 记录的是通过 KiwiVM 控制面板、客户中心登录入口或相关 API 产生的管理操作，包括登录、密码修改、开关机、重装系统、机房迁移、快照、ISO、VNC 和部分系统通知。

日志中的 API: shell command sent to VM 表示 KiwiVM API 曾向 VPS 发送命令。API KEY 获取、接口调用和自动化管理方法可以查看：搬瓦工 KiwiVM API 教程。

需要注意的是，它不是 Linux 系统内部的完整日志。SSH 登录、网站访问、程序运行和服务器内部执行的命令，还需要进入 VPS 查看对应的系统日志。Audit Log 更适合用来核对 KiwiVM 后台是否被登录，以及服务器的重要管理操作是否由本人完成。

如果日志中出现 OS Reinstall 或 ISO mounted，说明这台 VPS 进行过系统重装或 ISO 挂载。需要安装 Ubuntu 26.04 LTS 时，可以参考：搬瓦工 Ubuntu 26.04 LTS 重装与 ISO 安装教程。

五、总结

搬瓦工 Audit Log 可以帮助用户查看 KiwiVM 登录和 VPS 管理记录。检查时应先看操作时间，再核对来源 IP，最后查看 Action 中记录了什么内容。

其中，127.0.0.1 代表系统内部操作；Control panel: successful login 才是成功进入 KiwiVM 的登录记录。对于密码修改、root 密码重置、系统重装、机房迁移、快照删除、VNC 和 API 等操作，需要确认是否由自己完成。

平时不需要每天查看日志，但在发现 VPS 异常重启、系统变化或账户登录异常时，可以先进入 KiwiVM Audit Log 核对记录。确认存在陌生登录或未经允许的操作后，应立即修改相关密码、开启二次验证，并继续检查 VPS 中的数据和服务。