View a markdown version of this page

CloudTrail - AWS Identitäts- und Zugriffsverwaltung
CloudTrail Struktur der Veranstaltung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

CloudTrail

Alle Aktionen, die von Produktanbietern mit temporärem delegiertem Zugriff ausgeführt werden, werden automatisch protokolliert. AWS CloudTrail Dies bietet eine vollständige Sichtbarkeit und Überprüfbarkeit der Aktivitäten des Produktanbieters in Ihrem AWS Konto. Sie können feststellen, welche Maßnahmen von Produktanbietern ergriffen wurden, wann sie stattgefunden haben und welches Konto des Produktanbieters sie ausgeführt hat.

Damit Sie leichter zwischen den Aktionen Ihrer eigenen IAM-Prinzipale und denen von Produktanbietern mit delegiertem Zugriff unterscheiden können, enthalten CloudTrail Ereignisse ein neues Feld, das invokedByDelegate unter dem Element steht. userIdentity Dieses Feld enthält die AWS Konto-ID des Produktanbieters, sodass Sie alle delegierten Aktionen einfach filtern und überprüfen können.

CloudTrail Struktur der Veranstaltung

Das folgende Beispiel zeigt ein CloudTrail Ereignis für eine Aktion, die von einem Produktanbieter mit temporärem delegiertem Zugriff ausgeführt wird:

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AIDACKCEVSQ6C2EXAMPLE:Role-Session-Name",
        "arn": "arn:aws:sts::111122223333:assumed-role/Role-Name/Role-Session-Name",
        "accountId": "111122223333",
        "accessKeyId": "[REDACTED:AWS_ACCESS_KEY]",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AIDACKCEVSQ6C2EXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/Admin",
                "accountId": "111122223333",
                "userName": "Admin"
            },
            "attributes": {
                "creationDate": "2024-09-09T17:50:16Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedByDelegate": {
            "accountId": "444455556666"
        }
    },
    "eventTime": "2024-09-09T17:51:44Z",
    "eventSource": "iam.amazonaws.com",
    "eventName": "GetUserPolicy",
    "awsRegion": "us-east-1",
    "requestParameters": {
        "userName": "ExampleIAMUserName",
        "policyName": "ExamplePolicyName"
    },
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}

Das invokedByDelegate Feld enthält die AWS Konto-ID des Produktanbieters, der die Aktion mithilfe des delegierten Zugriffs ausgeführt hat. In diesem Beispiel hat das Konto 444455556666 (der Produktanbieter) eine Aktion im Konto 111122223333 (das Kundenkonto) ausgeführt.