Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

CloudTrail userIdentity elemento

AWS Identity and Access Management (IAM) proporciona diferentes tipos de identidades. El elemento userIdentity contiene información sobre el tipo de identidad de IAM que ha realizado la solicitud y las credenciales que se han usado. Si se utilizaron credenciales temporales, el elemento muestra cómo se obtuvieron las credenciales.

Ejemplos

userIdentity con credenciales de usuario de IAM

El ejemplo siguiente muestra el elemento userIdentity de una solicitud sencilla realizada con las credenciales de la usuaria de IAM llamada Alice.

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity con credenciales de seguridad temporales

El ejemplo siguiente muestra un elemento userIdentity de una solicitud realizada con credenciales de seguridad temporales obtenidas mediante la adopción de un rol de IAM. El elemento contiene detalles adicionales sobre el rol que se asumió para obtener las credenciales.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }    
    }
}

userIdentitypara una solicitud realizada en nombre de un usuario del Centro de IAM Identidad

El siguiente ejemplo muestra un userIdentity elemento de una solicitud realizada en nombre de un usuario de IAM Identity Center.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Para obtener más información sobre cómo utilizaruserId, y identityStoreArncredentialId, consulte Identificar el usuario y la sesión en los eventos iniciados por los usuarios CloudTrail de IAM Identity Center en la Guía del usuario de IAM Identity Center.

Campos

Los siguientes campos pueden aparecer en un elemento userIdentity.

Valores para « AWS STS APIscon identidad federada» SAML y «web»

AWS CloudTrail admite las API llamadas logging AWS Security Token Service (AWS STS) realizadas con el lenguaje de marcado de aserciones de seguridad (SAML) y la federación de identidades web. Cuando un usuario hace una llamada a AssumeRoleWithSAMLand AssumeRoleWithWebIdentityAPIs, CloudTrail graba la llamada y envía el evento a tu bucket de Amazon S3.

El userIdentity elemento correspondiente APIs contiene los siguientes valores.

A continuación se incluye un elemento userIdentity de ejemplo para la acción AssumeRoleWithWebIdentity.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Para ver un ejemplo de cómo se muestra el userIdentity elemento SAMLUser y cómo se WebIdentityUser escribe, consulte Registrar IAM y AWS STS API llamar con AWS CloudTrail.

AWS STS identidad de origen

Un IAM administrador puede AWS Security Token Service configurarlo para exigir que los usuarios especifiquen su identidad cuando usen credenciales temporales para asumir funciones. El sourceIdentity campo aparece en los eventos en los que los usuarios asumen un IAM rol o realizan cualquier acción con el rol asumido.

El sourceIdentity campo identifica la identidad del usuario original que realiza la solicitud, ya sea que la identidad del usuario sea un IAM usuario, un IAM rol, un usuario autenticado mediante una federación SAML basada o un usuario autenticado mediante una federación de identidades web compatible con OpenID Connect (OIDC). Una vez que el IAM administrador realiza la configuración AWS STS, CloudTrail registra la sourceIdentity información en los siguientes eventos y ubicaciones dentro del registro de eventos:

Para obtener más información sobre cómo configurar AWS STS la recopilación de la información de identidad de origen, consulte Supervisar y controlar las acciones que se toman con las funciones asumidas en la Guía del IAM usuario. Para obtener más información sobre AWS STS los eventos que se registran CloudTrail, consulte Registros IAM y AWS STS API llamadas AWS CloudTrail en la Guía del IAM usuario.

Los siguientes son fragmentos de ejemplo de eventos que muestran el campo sourceIdentity.

Ejemplo de sección de requestParameters

En el siguiente fragmento de eventos de ejemplo, un usuario realiza una AWS STS AssumeRole solicitud y establece una identidad de origen, representada aquí por. source-identity-value-set El usuario asume un rol representado por el rol. ARN arn:aws:iam::123456789012:role/Assumed_Role El campo sourceIdentity está en el bloque requestParameters del evento.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

Ejemplo de sección de responseElements

En el siguiente fragmento de evento de ejemplo, un usuario realiza una AWS STS AssumeRole solicitud para asumir un rol denominado Developer_Role y establece una identidad de origen. Admin El usuario asume un rol representado por el rol. ARN arn:aws:iam::111122223333:role/Developer_Role El campo sourceIdentity se muestra en los bloques requestParameters y responseElements del evento. Las credenciales temporales utilizadas para asumir el rol, la cadena de símbolos de sesión y el identificador del rol asumido, el nombre de la sesión y la sesión se ARN muestran en el responseElements bloque, junto con la identidad de origen.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

Ejemplo de sección de sessionContext

En el siguiente fragmento de evento de ejemplo, un usuario asume un rol denominado DevRole para llamar a un AWS servicio. API El usuario establece una identidad de origen, representada aquí por. source-identity-value-set El campo sourceIdentity está en el bloque sessionContext, dentro del bloque userIdentity del evento.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}