CloudTrail elemen userIdentity

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

AWS Identity and Access Management (IAM) menyediakan berbagai jenis identitas. userIdentityElemen berisi rincian tentang jenis identitas IAM yang membuat permintaan, dan kredensi mana yang digunakan. Jika kredensil sementara digunakan, elemen menunjukkan bagaimana kredensil diperoleh.

Contoh

userIdentitydengan kredensi pengguna IAM

Contoh berikut menunjukkan userIdentity elemen permintaan sederhana yang dibuat dengan kredensil dari pengguna IAM bernama. Alice

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentitydengan kredensil keamanan sementara

Contoh berikut menunjukkan userIdentity elemen untuk permintaan yang dibuat dengan kredensil keamanan sementara yang diperoleh dengan mengasumsikan peran IAM. Elemen berisi rincian tambahan tentang peran yang diasumsikan untuk mendapatkan kredensil.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }    
    }
}

userIdentityuntuk permintaan yang dibuat atas nama pengguna IAM Identity Center

Contoh berikut menunjukkan userIdentity elemen untuk permintaan yang dibuat atas nama pengguna IAM Identity Center.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Untuk mempelajari selengkapnya tentang cara Anda dapat menggunakanuserId,, dan identityStoreArncredentialId, lihat Mengidentifikasi pengguna dan sesi dalam peristiwa yang dimulai oleh pengguna CloudTrail Pusat Identitas IAM di Panduan Pengguna Pusat Identitas IAM.

Bidang

Bidang berikut dapat muncul dalam userIdentity elemen.

Nilai untuk AWS STS APIs dengan SAFL dan federasi identitas web

AWS CloudTrail mendukung logging AWS Security Token Service (AWS STS) panggilan API yang dilakukan dengan Security Assertion Markup Language (SAMB) dan federasi identitas web. Saat pengguna melakukan panggilan ke AssumeRoleWithSAMLdan AssumeRoleWithWebIdentity APIs, CloudTrail merekam panggilan dan mengirimkan acara ke bucket Amazon S3 Anda.

userIdentityElemen untuk ini APIs berisi nilai-nilai berikut.

Berikut ini adalah userIdentity elemen contoh untuk AssumeRoleWithWebIdentity tindakan.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Misalnya log tentang bagaimana userIdentity elemen muncul SAMLUser dan WebIdentityUser tipe, lihat Logging IAM dan panggilan AWS STS API dengan AWS CloudTrail.

AWS STS identitas sumber

Administrator IAM dapat mengonfigurasi AWS Security Token Service untuk mengharuskan pengguna menentukan identitas mereka ketika mereka menggunakan kredensi sementara untuk mengambil peran. sourceIdentityField terjadi dalam peristiwa ketika pengguna mengambil peran IAM atau melakukan tindakan apa pun dengan peran yang diasumsikan.

sourceIdentityBidang mengidentifikasi identitas pengguna asli yang membuat permintaan, apakah identitas pengguna tersebut adalah pengguna IAM, peran IAM, pengguna yang diautentikasi dengan menggunakan federasi berbasis SAML, atau pengguna yang diautentikasi dengan menggunakan federasi identitas web yang sesuai dengan OpenID Connect (OIDC). Setelah administrator IAM mengonfigurasi AWS STS, CloudTrail mencatat sourceIdentity informasi dalam peristiwa dan lokasi berikut dalam catatan peristiwa:

Untuk informasi selengkapnya tentang cara mengonfigurasi AWS STS untuk mengumpulkan informasi identitas sumber, lihat Memantau dan mengontrol tindakan yang diambil dengan peran yang diasumsikan dalam Panduan Pengguna IAM. Untuk informasi selengkapnya tentang AWS STS peristiwa yang dicatat CloudTrail, lihat Pencatatan panggilan IAM dan AWS STS API AWS CloudTrail di Panduan Pengguna IAM.

Berikut ini adalah contoh cuplikan peristiwa yang menunjukkan bidang. sourceIdentity

requestParametersBagian contoh

Dalam contoh cuplikan peristiwa berikut, pengguna membuat AWS STS AssumeRole permintaan, dan menetapkan identitas sumber, diwakili di sini oleh. source-identity-value-set Pengguna mengasumsikan peran yang diwakili oleh peran ARNarn:aws:iam::123456789012:role/Assumed_Role. sourceIdentityBidang berada di requestParameters blok acara.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

responseElementsBagian contoh

Dalam contoh cuplikan peristiwa berikut, pengguna membuat AWS STS AssumeRole permintaan untuk mengambil peran bernamaDeveloper_Role, dan menetapkan identitas sumber,. Admin Pengguna mengasumsikan peran yang diwakili oleh peran ARNarn:aws:iam::111122223333:role/Developer_Role. sourceIdentityBidang ditampilkan di responseElements blok requestParameters dan blok acara. Kredensi sementara yang digunakan untuk mengambil peran, string token sesi, dan ID peran yang diasumsikan, nama sesi, dan ARN sesi ditampilkan di responseElements blok, bersama dengan identitas sumber.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

sessionContextBagian contoh

Dalam contoh cuplikan peristiwa berikut, pengguna mengasumsikan peran bernama DevRole untuk memanggil API layanan. AWS Pengguna menetapkan identitas sumber, diwakili di sini olehsource-identity-value-set. sourceIdentityBidang ada di sessionContext blok, di dalam userIdentity blok acara.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}