Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
CloudTrail Anwendungsfälle für IAM Identity Center
Die CloudTrail Ereignisse, die IAM Identity Center ausgibt, können für eine Vielzahl von Anwendungsfällen wertvoll sein. Unternehmen können diese Ereignisprotokolle verwenden, um den Benutzerzugriff und die Benutzeraktivitäten in ihrer AWS Umgebung zu überwachen und zu überprüfen. Dies kann bei der Einhaltung von Vorschriften helfen, da in den Protokollen Details darüber erfasst werden, wer wann auf welche Ressourcen zugreift. Sie können die CloudTrail Daten auch für die Untersuchung von Vorfällen verwenden, sodass Teams Benutzeraktionen analysieren und verdächtiges Verhalten verfolgen können. Darüber hinaus kann der Ereignisverlauf bei der Problembehebung helfen, da er einen Überblick über Änderungen bietet, die im Laufe der Zeit an Benutzerberechtigungen und Konfigurationen vorgenommen wurden.
In den folgenden Abschnitten werden die grundlegenden Anwendungsfälle beschrieben, die Ihre Arbeitsabläufe beeinflussen, wie z. B. Audit, Untersuchung von Vorfällen und Problembehebung.
Identifizierung des Benutzers in benutzerinitiierten Ereignissen von IAM Identity Center CloudTrail
IAM Identity Center gibt zwei CloudTrail Felder aus, anhand derer Sie den IAM Identity Center-Benutzer identifizieren können, der hinter den CloudTrail Ereignissen steht, z. B. bei der Anmeldung bei IAM Identity Center oder bei der Nutzung des AWS Zugriffsportals AWS CLI, einschließlich der Verwaltung von MFA-Geräten:
-
userId— Die eindeutige und unveränderliche Benutzerkennung aus dem Identity Store einer IAM Identity Center-Instanz. -
identityStoreArn— Der Amazon-Ressourcenname (ARN) des Identity Stores, der den Benutzer enthält.
Die identityStoreArn Felder userID und werden in dem onBehalfOf Element angezeigt, das innerhalb des userIdentity Elements verschachtelt ist, wie im folgenden Beispiel für ein CloudTrail Ereignisprotokoll dargestellt. Dieses Ereignisprotokoll zeigt diese beiden Felder bei einem Ereignis mit dem userIdentity Typ "IdentityCenterUser“. Sie finden diese Felder auch bei Ereignissen für authentifizierte IAM Identity Center-Benutzer, deren userIdentity Typ "" Unknown ist. Ihre Workflows sollten beide Typwerte akzeptieren.
"userIdentity":{ "type":"IdentityCenterUser", "accountId":"111122223333", "onBehalfOf": { "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1", "identityStoreArn": "arn:aws:identitystore::111122223333:identitystore/d-1234567890" }, "credentialId" : "90e292de-5eb8-446e-9602-90f7c45044f7" }
Tipp
Wir empfehlen Ihnen, userId und identityStoreArn zur Identifizierung des Benutzers zu verwenden, der hinter IAM Identity CloudTrail Center-Ereignissen steht. Die principalId Felder userName und unter dem userIdentity Element sind nicht mehr verfügbar. Wenn Ihre Workflows, wie z. B. Audit oder Incident-Response, davon abhängen, dass Sie Zugriff auf die habenusername, haben Sie zwei Möglichkeiten:
-
Rufen Sie den Benutzernamen aus dem IAM Identity Center-Verzeichnis ab, wie unter beschriebenBenutzername bei Anmeldeereignissen CloudTrail.
-
Ruft den Wert
UserNameab, den IAM Identity Center unter demadditionalEventDataElement in ausgibt. Sign-in Für diese Option ist kein Zugriff auf das IAM Identity Center-Verzeichnis erforderlich. Weitere Informationen finden Sie unter Benutzername bei Anmeldeereignissen CloudTrail.
Um die Details eines Benutzers einschließlich des username Felds abzurufen, fragen Sie den Identity Store mit Benutzer-ID und Identity Store-ID als Parametern ab. Sie können diese Aktion über die DescribeUser API-Anforderung oder über die CLI ausführen. Im Folgenden finden Sie ein Beispiel für einen CLI-Befehl. Sie können den region Parameter weglassen, wenn sich Ihre IAM Identity Center-Instanz in der CLI-Standardregion befindet.
aws identitystore describe-user \ --identity-store-id d-1234567890 \ --user-id 544894e8-80c1-707f-60e3-3ba6510dfac1 \ --regionyour-region-id
Um den Identity Store-ID-Wert für den CLI-Befehl im vorherigen Beispiel zu ermitteln, können Sie die Identity Store-ID aus dem identityStoreArn Wert extrahieren. Im Beispiel-ARN lautet arn:aws:identitystore::111122223333:identitystore/d-1234567890 die Identity Store-IDd-1234567890. Sie können die Identity Store-ID auch finden, indem Sie in der IAM Identity Center-Konsole im Abschnitt „Einstellungen“ zur Registerkarte „Identitätsspeicher“ navigieren.
Wenn Sie die Suche nach Benutzern im IAM Identity Center-Verzeichnis automatisieren, empfehlen wir Ihnen, die Häufigkeit von Benutzersuchen abzuschätzen und das IAM Identity Center-Drosselungslimit für die Identity Store API zu berücksichtigen. Durch das Zwischenspeichern von abgerufenen Benutzerattributen können Sie das Drossellimit einhalten.
Korrelieren von Benutzerereignissen innerhalb derselben Benutzersitzung
Das bei Anmeldeereignissen ausgegebene AuthWorkflowID Feld ermöglicht die Verfolgung aller CloudTrail Ereignisse, die mit einer Anmeldesequenz vor Beginn einer IAM Identity Center-Benutzersitzung verknüpft sind.
Für Benutzeraktionen innerhalb des AWS Access Portals wird der credentialId Wert auf die ID der Sitzung des IAM Identity Center-Benutzers gesetzt, mit der die Aktion angefordert wurde. Sie können diesen Wert verwenden, um CloudTrail Ereignisse zu identifizieren, die innerhalb derselben authentifizierten IAM Identity Center-Benutzersitzung im AWS Access Portal ausgelöst wurden.
Anmerkung
Sie können ihn nicht verwendencredentialId, um Anmeldeereignisse mit nachfolgenden Ereignissen zu korrelieren, z. B. der Nutzung des Access Portals. AWS Der Wert des credentialId Feldes, der bei Anmeldeereignissen ausgegeben wird, ist von interner Bedeutung, und es wird empfohlen, sich nicht darauf zu verlassen. Der Wert des credentialId Feldes, das für AWS Access Portal-Ereignisse ausgegeben wird, die mit OIDC aufgerufen werden, entspricht der ID des Zugriffstokens.
Identifizierung der Hintergrundsitzungsdetails von Benutzern in benutzerinitiierten IAM Identity Center-Ereignissen CloudTrail
Das folgende CloudTrail Ereignis erfasst den Prozess des OAuth 2.0-Tokenaustauschs, bei dem ein vorhandenes Zugriffstoken (dassubjectToken), das die interaktive Sitzung des Benutzers darstellt, gegen ein Aktualisierungstoken (das) ausgetauscht wird. requestedTokenType Mit dem Aktualisierungstoken können alle vom Benutzer initiierten Jobs mit langer Laufzeit mit den Benutzerberechtigungen weiterlaufen, auch wenn sich der Benutzer abmeldet.
Bei Hintergrundsitzungen von IAM Identity Center-Benutzern enthält das CloudTrail Ereignis ein zusätzliches Element, das resource requestParameters im Element genannt wird. Der resource Parameter enthält den Amazon-Ressourcennamen (ARN) des Jobs, der im Hintergrund ausgeführt wird. Dieses Element ist nur in CloudTrail Ereignisdatensätzen vorhanden und nicht in den CreateTokenWithIAM API- oder SDK-Antworten von IAM Identity Center enthalten.
{ "clientId": "EXAMPLE-CLIENT-ID", "grantType": "urn:ietf:params:oauth:grant-type:token-exchange", "code": "HIDDEN_DUE_TO_SECURITY_REASONS", "redirectUri": "https://example.com/callback", "assertion": "HIDDEN_DUE_TO_SECURITY_REASONS", "subjectToken": "HIDDEN_DUE_TO_SECURITY_REASONS", "subjectTokenType": "urn:ietf:params:oauth:token-type:access_token", "requestedTokenType": "urn:ietf:params:oauth:token-type:refresh_token", "resource": "arn:aws:sagemaker:us-west-2:123456789012:training-job/my-job" }
Korrelieren von Benutzern zwischen IAM Identity Center und externen Verzeichnissen
IAM Identity Center bietet zwei Benutzerattribute, mit denen Sie einen Benutzer in seinem Verzeichnis mit demselben Benutzer in einem externen Verzeichnis korrelieren können (z. B. und). Microsoft Active Directory Okta Universal Directory
-
externalId— Die externe ID eines IAM Identity Center-Benutzers. Wir empfehlen, diese Kennung einer unveränderlichen Benutzerkennung im externen Verzeichnis zuzuordnen. Beachten Sie, dass IAM Identity Center diesen Wert nicht ausgibt in. CloudTrail -
username— Ein vom Kunden bereitgestellter Wert, mit dem sich Benutzer normalerweise anmelden. Der Wert kann sich ändern (z. B. bei einem SCIM-Update). Beachten Sie, dass bei Angabe der Identitätsquelle der Benutzername Directory Service, den IAM Identity Center ausgibt, mit dem Benutzernamen CloudTrail übereinstimmt, den Sie zur Authentifizierung eingeben. Der Benutzername muss nicht exakt mit dem Benutzernamen im IAM Identity Center-Verzeichnis übereinstimmen.Wenn Sie Zugriff auf die CloudTrail Ereignisse haben, aber nicht auf das IAM Identity Center-Verzeichnis, können Sie den Benutzernamen verwenden, der bei der Anmeldung unter dem
additionalEventDataElement angegeben wurde. Weitere Informationen zum Benutzernamen in finden SieadditionalEventDataunter. Benutzername bei Anmeldeereignissen CloudTrail
Die Zuordnung dieser beiden Benutzerattribute zu den entsprechenden Benutzerattributen in einem externen Verzeichnis wird im IAM Identity Center definiert, wenn die Identitätsquelle der Directory Service ist. Weitere Informationen finden Sie unter. Attributzuordnungen zwischen dem IAM Identity Center und dem Verzeichnis externer Identitätsanbieter Externe Benutzer IdPs , die Benutzern SCIM zur Verfügung stellen, haben ihre eigene Zuordnung. Auch wenn Sie das IAM Identity Center-Verzeichnis als Identitätsquelle verwenden, können Sie das externalId Attribut verwenden, um Sicherheitsprinzipale mit Ihrem externen Verzeichnis abzugleichen.
Im folgenden Abschnitt wird erläutert, wie Sie anhand des Benutzernamens und nach einem IAM Identity Center-Benutzer suchen können. username externalId
Einen IAM Identity Center-Benutzer anhand seines Benutzernamens und seiner externen ID anzeigen
Sie können Benutzerattribute für einen bekannten Benutzernamen aus dem IAM Identity Center-Verzeichnis abrufen, indem Sie zunächst userId mithilfe der GetUserId API-Anforderung einen entsprechenden Benutzernamen anfordern und dann eine DescribeUser API-Anfrage stellen, wie im vorherigen Beispiel gezeigt. Das folgende Beispiel zeigt, wie Sie eine userId aus dem Identity Store für einen bestimmten Benutzernamen abrufen können. Sie können den region Parameter weglassen, wenn sich Ihre IAM Identity Center-Instanz mit der CLI in der Standardregion befindet.
aws identitystore get-user-id \ --identity-store d-9876543210 \ --alternate-identifier '{ "UniqueAttribute": { "AttributePath": "username", "AttributeValue": "anyuser@example.com" } }' \ --region your-region-id
Ebenso können Sie den gleichen Mechanismus verwenden, wenn Sie den kennenexternalId. Aktualisieren Sie den Attributpfad im vorherigen Beispiel mit dem externalId Wert und den Attributwert mit dem spezifischenexternalId, nach dem Sie suchen.
Den Secure Identifier (SID) eines Benutzers in Microsoft Active Directory (AD) und die ExternalID anzeigen
In bestimmten Fällen gibt IAM Identity Center die SID eines Benutzers im principalId Feld der CloudTrail Ereignisse aus, z. B. bei Ereignissen, die das AWS Zugriffsportal und die OIDC-APIs ausgeben. Diese Fälle werden schrittweise eingestellt. Wir empfehlen, dass Ihre Workflows das AD-Attribut verwendenobjectguid, wenn Sie eine eindeutige Benutzerkennung von AD benötigen. Sie finden diesen Wert im externalId Attribut im IAM Identity Center-Verzeichnis. Wenn Ihre Workflows jedoch die Verwendung von SID erfordern, rufen Sie den Wert aus AD ab, da er nicht über die IAM Identity Center-APIs verfügbar ist.
Korrelieren von Benutzerereignissen innerhalb derselben Benutzersitzungbeschreibt, wie Sie mithilfe der username Felder externalId und einen IAM Identity Center-Benutzer einem entsprechenden Benutzer in einem externen Verzeichnis zuordnen können. Standardmäßig wird IAM Identity Center dem objectguid Attribut in AD externalId zugeordnet, und diese Zuordnung ist behoben. IAM Identity Center bietet Administratoren die Flexibilität, andere Zuordnungen username als bei der Standardzuordnung userprincipalname in AD vorzunehmen.
Sie können diese Zuordnungen in der IAM Identity Center-Konsole anzeigen. Navigieren Sie in den Einstellungen zur Registerkarte „Identitätsquelle“ und wählen Sie im Menü „Aktionen“ die Option Synchronisierung verwalten aus. Wählen Sie im Abschnitt „Synchronisation verwalten“ die Schaltfläche „Attributzuordnungen anzeigen“.
Sie können zwar jede eindeutige AD-Benutzerkennung verwenden, die im IAM Identity Center verfügbar ist, um einen Benutzer in AD zu suchen, wir empfehlen jedoch, die objectguid in Ihren Abfragen zu verwenden, da es sich um eine unveränderliche Kennung handelt. Das folgende Beispiel zeigt, wie Microsoft AD mit Powershell abgefragt wird, um einen Benutzer mithilfe des objectguid Benutzerwerts von abzurufen. 16809ecc-7225-4c20-ad98-30094aefdbca Eine erfolgreiche Antwort auf diese Abfrage beinhaltet die SID des Benutzers.
Install-WindowsFeature -Name RSAT-AD-PowerShell Get-ADUser ` -Filter {objectGUID -eq [GUID]::Parse("16809ecc-7225-4c20-ad98-30094aefdbca")} ` -Properties *
