Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connexion à Amazon Cognito AWS CloudTrail

Amazon Cognito est intégré à AWS CloudTrail un service qui fournit un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service dans Amazon Cognito. CloudTrail capture un sous-ensemble d'appels d'API pour Amazon Cognito sous forme d'événements, y compris les appels depuis la console Amazon Cognito et les appels de code vers les opérations d'API Amazon Cognito. Si vous créez un historique, vous pouvez choisir de diffuser des CloudTrail événements dans un compartiment Amazon S3, y compris des événements pour Amazon Cognito. Si vous ne configurez pas de suivi, vous pouvez toujours consulter les événements les plus récents sur la CloudTrail console dans l'historique des événements. À l'aide des informations collectées par CloudTrail, vous pouvez déterminer la demande qui a été faite à Amazon Cognito, l'adresse IP à partir de laquelle la demande a été faite, qui a effectué la demande, quand elle a été faite et des informations supplémentaires.

Pour en savoir plus CloudTrail, notamment sur la manière de le configurer et de l'activer, consultez le Guide de AWS CloudTrail l'utilisateur.

Vous pouvez également créer des CloudWatch alarmes Amazon pour des CloudTrail événements spécifiques. Par exemple, vous pouvez configurer CloudWatch pour déclencher une alarme si la configuration d'un groupe d'identités a changé. Pour plus d'informations, voir Création d' CloudWatch alarmes pour CloudTrail des événements : exemples.

Informations qu'Amazon Cognito envoie à CloudTrail

CloudTrail est activé lorsque vous créez votre Compte AWS. Lorsqu'une activité liée à un événement pris en charge se produit dans Amazon Cognito, cette activité est enregistrée dans un CloudTrail événement avec d'autres événements de AWS service dans l'historique des événements. Vous pouvez consulter, rechercher et télécharger les événements récents sur votre AWS compte. Pour plus d'informations, voir Affichage des événements avec l'historique des CloudTrail événements.

Pour un enregistrement permanent des événements de votre AWS compte, y compris des événements pour Amazon Cognito, créez un historique. Un CloudTrail journal transmet les fichiers journaux à un compartiment Amazon S3. Par défaut, lorsque vous créez un journal de suivi dans la console, il s’applique à toutes les régions . Le journal enregistre les événements de toutes les régions de la AWS partition et transmet les fichiers journaux au compartiment Amazon S3 que vous spécifiez. En outre, vous pouvez configurer d'autres AWS services pour analyser plus en profondeur les données d'événements collectées dans les CloudTrail journaux et y donner suite. Pour en savoir plus, consultez :

Chaque événement ou entrée de journal contient des informations sur la personne ayant initié la demande. Les informations relatives à l’identité permettent de déterminer les éléments suivants :

Pour de plus amples informations, veuillez consulter l'élément userIdentity CloudTrail .

Données confidentielles dans AWS CloudTrail

Étant donné que les groupes d'utilisateurs et les groupes d'identités traitent les données des utilisateurs, Amazon Cognito masque certains champs privés de vos CloudTrail événements avec cette valeur. HIDDEN_DUE_TO_SECURITY_REASONS Pour des exemples de champs qu’Amazon Cognito ne renseigne pas pour les événements, consultez Exemples d'événements Amazon Cognito. Amazon Cognito masque uniquement certains champs qui contiennent généralement des informations utilisateur, tels que les mots de passe et les jetons. Amazon Cognito n’effectue aucune détection ni aucun masquage automatiques des informations d’identification personnelle que vous renseignez dans des champs non privés, dans vos demandes d’API.

Événements du pool d'utilisateurs

Amazon Cognito prend en charge la journalisation de toutes les actions répertoriées sur la page Actions du pool d'utilisateurs en tant qu'événements dans les fichiers CloudTrail journaux. Amazon Cognito enregistre les événements du groupe d'utilisateurs en CloudTrail tant qu'événements de gestion.

Le eventType champ d'une CloudTrail entrée de groupes d'utilisateurs Amazon Cognito vous indique si votre application a envoyé la demande à l'API des groupes d'utilisateurs Amazon Cognito ou à un point de terminaison qui fournit des ressources pour OpenID Connect, SAML 2.0 ou des pages de connexion gérées. Les demandes d’API ont un eventType de AwsApiCall et les demandes de point de terminaison ont un eventType deAwsServiceEvent.

Amazon Cognito enregistre les demandes suivantes à vos services de connexion gérés sous forme d'événements dans CloudTrail.

Hosted UI (classic) events

Événements d'interface utilisateur (classiques) hébergés dans CloudTrail

Opération	Description
Login_GET, CognitoAuthentication	Un utilisateur consulte ou soumet des informations d’identification à votre Point de terminaison de connexion.
OAuth2_Authorize_GET, Beta_Authorize_GET	Un utilisateur consulte votre Point de terminaison d’autorisation.
OAuth2Response_GET, OAuth2Response_POST	Un utilisateur soumet un jeton du fournisseur d’identité à votre point de terminaison /oauth2/idpresponse.
SAML2Response_POST, Beta_SAML2Response_POST	Un utilisateur soumet une assertion SAML du fournisseur d’identité à votre point de terminaison /saml2/idpresponse.
Login_OIDC_SAML_POST	Un utilisateur saisit un nom d’utilisateur dans votre Point de terminaison de connexion et met en relation à un Identifiant IdP.
Token_POST, Beta_Token_POST	Un utilisateur soumet un code d’autorisation à votre Point de terminaison de jeton.
Signup_GET, Signup_POST	Un utilisateur soumet des informations d’inscription à votre point de terminaison /signup.
Confirm_GET, Confirm_POST	Un utilisateur soumet un code de confirmation dans l’interface utilisateur hébergée.
ResendCode_POST	Un utilisateur envoie une demande pour renvoyer un code de confirmation dans l’interface utilisateur hébergée.
ForgotPassword_GET, ForgotPassword_POST	Un utilisateur envoie une demande pour réinitialiser son mot de passe à votre point de terminaison /forgotPassword.
ConfirmForgotPassword_GET, ConfirmForgotPassword_POST	Un utilisateur soumet un code à votre point de terminaison /confirmForgotPassword qui confirme sa demande ForgotPassword.
ResetPassword_GET, ResetPassword_POST	Un utilisateur soumet un nouveau mot de passe dans l’interface utilisateur hébergée.
Mfa_GET, Mfa_POST	Un utilisateur soumet un code d’authentification multifactorielle (MFA) dans l’interface utilisateur hébergée.
MfaOption_GET, MfaOption_POST	L’utilisateur choisit sa méthode préférée pour MFA dans l’interface utilisateur hébergée.
MfaRegister_GET, MfaRegister_POST	Un utilisateur soumet un code d’authentification multifactorielle (MFA) dans l’interface utilisateur hébergée lors de l’enregistrement de la MFA.
Logout	Un utilisateur se déconnecte sur votre point de terminaison /logout.
SAML2Logout_POST	Un utilisateur se déconnecte sur votre point de terminaison /saml2/logout.
Error_GET	Un utilisateur affiche une page d’erreur dans l’interface utilisateur hébergée.
UserInfo_GET, UserInfo_POST	Un utilisateur ou un fournisseur d’identité échange des informations avec votre Point de terminaison UserInfo.
Confirm_With_Link_GET	Un utilisateur soumet une confirmation basée sur un lien envoyé par Amazon Cognito dans un message électronique.
Event_Feedback_GET	Un utilisateur envoie des commentaires à Amazon Cognito concernant un événement de protection contre les menaces.

Managed login events

Événements de connexion gérés dans CloudTrail

Opération	Description
login_POST	Un utilisateur soumet ses informations d'identification à votrePoint de terminaison de connexion.
login_continue_POST	Un utilisateur qui s'est déjà connecté une fois choisit de se reconnecter.
forgotPassword_POST	Un utilisateur réinitialise son mot de passe.
selectChallenge_POST	Un utilisateur répond à un défi d'authentification après avoir soumis son nom d'utilisateur ou ses informations d'identification.
confirmUser_GET	Un utilisateur ouvre le lien dans un e-mail de confirmation ou de vérification.
mfa_back_POST	Un utilisateur clique sur le bouton Retour après une invite MFA.
mfa_options_POST	Un utilisateur sélectionne une option MFA.
mfa_phone_register_POST	Un utilisateur soumet un numéro de téléphone pour s'enregistrer en tant que facteur MFA. Cette opération amène Amazon Cognito à envoyer un code MFA à son numéro de téléphone.
mfa_phone_verify_POST	Un utilisateur soumet un code MFA envoyé à son numéro de téléphone.
mfa_phone_resendCode_POST	Un utilisateur soumet une demande pour renvoyer un code MFA à son numéro de téléphone.
mfa_totp_POST	Un utilisateur soumet un code MFA TOTP.
signup_POST	Un utilisateur soumet des informations à votre page de connexion /signup gérée.
signup_confirm_POST	Un utilisateur soumet un code de confirmation à partir d'un e-mail ou d'un SMS.
verifyCode_POST	Un utilisateur soumet un mot de passe à usage unique (OTP) pour une authentification sans mot de passe.
passkeys_add_POST	Un utilisateur soumet une demande d'enregistrement d'un nouveau code d'accès.
passkeys_add_GET	Un utilisateur accède à la page où il peut enregistrer une clé d'accès.
login_passkey_POST	Un utilisateur se connecte à l'aide d'une clé d'accès.

Événements liés aux pools d'identités

Événements de données

Amazon Cognito enregistre les événements Amazon Cognito Identity suivants en CloudTrail tant qu'événements de données. https://docs.aws.amazon.com/awscloudtrail/latest/userguide/logging-data-events-with-cloudtrail.html#logging-data-eventsLes événements de données sont des opérations d'API de plan de données à volume élevé qui CloudTrail ne sont pas enregistrées par défaut. Des frais supplémentaires s’appliquent pour les événements de données.

Pour générer des CloudTrail journaux pour ces opérations d'API, vous devez activer les événements de données dans votre historique et choisir des sélecteurs d'événements pour les pools d'identités Cognito. Pour plus d’informations, veuillez consulter Consignation d’événements de données pour les journaux d’activité dans le Guide de l’utilisateur AWS CloudTrail .

Vous pouvez également ajouter des sélecteurs d’événements de groupes d’identités dans votre journal de suivi à l’aide de la commande CLI suivante.

aws cloudtrail put-event-selectors --trail-name <trail name> --advanced-event-selectors \
"{\
   \"Name\": \"Cognito Selector\",\
   \"FieldSelectors\": [\
      {\
         \"Field\": \"eventCategory\",\
         \"Equals\": [\
            \"Data\"\
         ]\
      },\
      {\
         \"Field\": \"resources.type\",\
         \"Equals\": [\
            \"AWS::Cognito::IdentityPool\"\
         ]\
      }\
   ]\
}"

Événements de gestion

Amazon Cognito enregistre le reste des opérations d'API des pools d'identités Amazon Cognito en tant qu'événements de gestion. CloudTrail enregistre les opérations de l'API des événements de gestion par défaut.

Pour obtenir la liste des opérations d'API des pools d'identités Amazon Cognito auxquelles Amazon Cognito se connecte CloudTrail, consultez la référence de l'API des pools d'identités Amazon Cognito.

Amazon Cognito Sync

Amazon Cognito consigne toutes les opérations d’API de synchronisation Amazon Cognito en tant qu’événements de gestion. Pour obtenir la liste des opérations d'API Amazon Cognito Sync auxquelles Amazon Cognito se connecte CloudTrail, consultez le manuel Amazon Cognito Sync API Reference.

Analyse des CloudTrail événements Amazon Cognito avec Amazon CloudWatch Logs Insights

Vous pouvez rechercher et analyser vos CloudTrail événements Amazon Cognito avec Amazon CloudWatch Logs Insights. Lorsque vous configurez votre parcours pour envoyer des événements aux CloudWatch journaux, seuls les événements correspondant à vos paramètres de parcours sont CloudTrail envoyés.

Pour interroger ou rechercher vos CloudTrail événements Amazon Cognito, dans la CloudTrail console, assurez-vous de sélectionner l'option Gestion des événements dans vos paramètres de suivi afin de pouvoir suivre les opérations de gestion effectuées sur vos AWS ressources. Lorsque vous souhaitez identifier des erreurs, une activité inhabituelle ou un comportement inhabituel de l’utilisateur dans votre compte, vous pouvez éventuellement sélectionner l’option Événements Insights dans les paramètres de votre journal d’activité.

Exemples de requêtes Amazon Cognito

Vous pouvez utiliser les requêtes suivantes dans la CloudWatch console Amazon.

Requêtes générales

Rechercher les 25 derniers événements ajoutés au journal.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com"

Consultez la liste des 25 derniers événements de journal ajoutés qui incluent des exceptions.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and @message like /Exception/

Exception et requêtes d’erreur

Recherchez les 25 derniers événements de journal ajoutés avec un code d’erreur NotAuthorizedException avec le groupe d’utilisateurs Amazon Cognito sub.

fields @timestamp, additionalEventData.sub as user | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"

Recherchez le nombre d’enregistrements avec la sourceIPAddress et l’eventName correspondant.

filter eventSource = "cognito-idp.amazonaws.com"
| stats count(*) by sourceIPAddress, eventName

Recherchez les 25 premières adresses IP qui ont déclenché une erreur NotAuthorizedException.

filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"
| stats count(*) as count by sourceIPAddress, eventName
| sort count desc | limit 25

Recherchez les 25 premières adresses IP qui ont appelé l’API ForgotPassword.

filter eventSource = "cognito-idp.amazonaws.com" and eventName = 'ForgotPassword'
| stats count(*) as count by sourceIPAddress
| sort count desc | limit 25