Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

CloudTrail userIdentity Element

AWS Identity and Access Management (IAM) bietet verschiedene Arten von Identitäten. Das userIdentity Element enthält Informationen über den IAM Identitätstyp, der die Anfrage gestellt hat, und darüber, welche Anmeldeinformationen verwendet wurden. Wenn temporäre Anmeldeinformationen verwendet wurden, zeigt das Element, wie die Anmeldeinformationen erhalten wurden.

Beispiele

userIdentity mit IAM-Anmeldeinformationen

Das folgende Beispiel zeigt das userIdentity Element einer einfachen Anfrage, die mit den Anmeldeinformationen des angegebenen IAM Benutzers gestellt wurdeAlice.

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity mit temporären Sicherheitsanmeldeinformationen

Das folgende Beispiel zeigt ein userIdentity Element für eine Anfrage, die mit temporären Sicherheitsanmeldedaten gestellt wurde, die durch die Übernahme einer IAM Rolle abgerufen wurden. Das Element enthält weitere Informationen über die Rolle, die angenommen wurde, um Anmeldeinformationen zu erhalten.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentityfür eine Anfrage, die im Namen eines IAM Identity Center-Benutzers gestellt wurde

Das folgende Beispiel zeigt ein userIdentity Element für eine Anfrage, die im Namen eines IAM Identity Center-Benutzers gestellt wurde.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Felder

Die folgenden Felder können in einem userIdentity Element erscheinen.

Werte für „with“ SAML und „Web AWS STS APIs Identity Federation“

AWS CloudTrail unterstützt Logging AWS Security Token Service (AWS STS) API -Aufrufe, die mit Security Assertion Markup Language (SAML) und Web Identity Federation getätigt wurden. Wenn ein Benutzer das AssumeRoleWithSAMLund anruft AssumeRoleWithWebIdentityAPIs, CloudTrail zeichnet er den Anruf auf und übermittelt das Ereignis an Ihren Amazon S3 S3-Bucket.

Das userIdentity Element für diese APIs enthält die folgenden Werte.

Nachstehend finden Sie ein Beispiel eines userIdentity-Elements (Benutzeridentität) für die AssumeRoleWithWebIdentity-Aktion (Übernahme einer Rolle mit der Web-Identität).

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Logs zum Beispiel darüber, wie das userIdentity Element erscheint SAMLUser und welche WebIdentityUser Typen es hat, finden Sie unter Protokollierung IAM und AWS STS API Aufrufe mit AWS CloudTrail.

AWS STS Quellidentität

Ein IAM Administrator kann so konfigurieren AWS Security Token Service , dass Benutzer ihre Identität angeben müssen, wenn sie temporäre Anmeldeinformationen verwenden, um Rollen zu übernehmen. Das sourceIdentity Feld tritt bei Ereignissen auf, wenn Benutzer eine IAM Rolle übernehmen oder Aktionen mit der angenommenen Rolle ausführen.

Das sourceIdentity Feld identifiziert die ursprüngliche Benutzeridentität, die die Anfrage gestellt hat, unabhängig davon, ob es sich bei der Identität dieses IAM Benutzers um einen Benutzer, eine IAM Rolle, einen Benutzer, der mithilfe eines SAML basierten Verbunds authentifiziert wurde, oder um einen Benutzer handelt, der mithilfe eines OpenID Connect (OIDC) -kompatiblen Web-Identitätsverbunds authentifiziert wurde. Nach der Konfiguration durch den IAM Administrator werden sourceIdentity Informationen zu den folgenden Ereignissen und Orten im Ereignisdatensatz CloudTrail protokolliert: AWS STS

Weitere Informationen AWS STS zur Konfiguration der Erfassung von Quellidentitätsinformationen finden Sie im IAMBenutzerhandbuch unter Überwachen und Steuern von Aktionen, die mit übernommenen Rollen durchgeführt werden. Weitere Informationen zu AWS STS Ereignissen, die protokolliert werden CloudTrail, finden Sie unter Protokollierung IAM und AWS STS API Aufrufe mit AWS CloudTrail im IAMBenutzerhandbuch.

Im Folgenden finden Sie Beispielausschnitte von Ereignissen, die das sourceIdentity-Feld anzeigen.

Beispiel Abschnitt requestParameters

Im folgenden Beispiel-Event-Snippet stellt ein Benutzer eine AWS STS AssumeRole Anfrage und legt eine Quellidentität fest, hier dargestellt durch. source-identity-value-set Der Benutzer nimmt eine Rolle an, die durch die Rolle repräsentiert wird. ARN arn:aws:iam::123456789012:role/Assumed_Role Das sourceIdentity-Feld befindet sich im requestParameters-Block des Ereignisses.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

Beispiel Abschnitt responseElements

Im folgenden Beispiel-Event-Snippet stellt ein Benutzer eine AWS STS AssumeRole Anfrage zur Übernahme einer Rolle mit dem Namen Developer_Role und legt eine Quellidentität fest. Admin Der Benutzer nimmt eine Rolle an, die durch die Rolle repräsentiert wird. ARN arn:aws:iam::111122223333:role/Developer_Role Das sourceIdentity-Feld befindet sich in den requestParameters- und responseElements-Blöcken des Ereignisses. Die temporären Anmeldeinformationen, die zur Übernahme der Rolle verwendet wurden, die Zeichenfolge für das Sitzungstoken und die angenommene Rollen-ID, der Sitzungsname und die Sitzung ARN werden zusammen mit der Quellidentität im responseElements Block angezeigt.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

Beispiel Abschnitt sessionContext

Im folgenden Beispiel-Event-Snippet nimmt ein Benutzer eine Rolle mit dem Namen Call a DevRole Service an AWS . API Der Benutzer legt eine Quellidentität fest, die hier dargestellt wird durch source-identity-value-set. Das sourceIdentity Feld befindet sich im sessionContext Block, innerhalb des userIdentity Blocks des Ereignisses.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}