Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

CloudTrail userIdentity elemen

AWS Identity and Access Management (IAM) menyediakan berbagai jenis identitas. userIdentityElemen berisi rincian tentang jenis IAM identitas yang membuat permintaan, dan kredensi mana yang digunakan. Jika kredensial sementara digunakan, elemen menunjukkan bagaimana kredensialnya diperoleh.

Contoh

userIdentitydengan kredensi IAM pengguna

Contoh berikut menunjukkan userIdentity elemen permintaan sederhana yang dibuat dengan kredensi IAM pengguna bernama. Alice

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentitydengan kredensi keamanan sementara

Contoh berikut menunjukkan userIdentity elemen untuk permintaan yang dibuat dengan kredenal keamanan sementara yang diperoleh dengan mengasumsikan peran. IAM Elemen berisi rincian tambahan tentang peran yang diasumsikan untuk mendapatkan kredensional.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentityuntuk permintaan yang dibuat atas nama pengguna Pusat IAM Identitas

Contoh berikut menunjukkan userIdentity elemen untuk permintaan yang dibuat atas nama pengguna Pusat IAM Identitas.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Bidang

Bidang berikut dapat muncul dalam userIdentity elemen.

Nilai untuk AWS STS APIs dengan SAML dan federasi identitas web

AWS CloudTrail mendukung logging AWS Security Token Service (AWS STS) API panggilan yang dilakukan dengan Security Assertion Markup Language (SAML) dan federasi identitas web. Saat pengguna melakukan panggilan ke AssumeRoleWithSAMLdan AssumeRoleWithWebIdentityAPIs, CloudTrail merekam panggilan dan mengirimkan acara ke bucket Amazon S3 Anda.

userIdentityElemen untuk ini APIs berisi nilai-nilai berikut.

Berikut ini adalah userIdentity elemen contoh untuk AssumeRoleWithWebIdentity tindakan.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Misalnya log tentang bagaimana userIdentity elemen muncul untuk SAMLUser dan WebIdentityUser jenis, lihat Logging IAM dan AWS STS API panggilan dengan AWS CloudTrail.

AWS STS identitas sumber

IAMAdministrator dapat mengonfigurasi AWS Security Token Service untuk mengharuskan pengguna menentukan identitas mereka ketika mereka menggunakan kredensi sementara untuk mengambil peran. sourceIdentityField terjadi dalam peristiwa ketika pengguna mengambil IAM peran atau melakukan tindakan apa pun dengan peran yang diasumsikan.

sourceIdentityBidang mengidentifikasi identitas pengguna asli yang membuat permintaan, apakah identitas pengguna tersebut adalah pengguna, IAM peran, pengguna yang IAM diautentikasi dengan menggunakan federasi SAML berbasis, atau pengguna yang diautentikasi dengan menggunakan federasi identitas web yang sesuai dengan OpenID Connect OIDC (). Setelah IAM administrator mengonfigurasi AWS STS, CloudTrail mencatat sourceIdentity informasi dalam peristiwa dan lokasi berikut dalam catatan peristiwa:

Untuk informasi selengkapnya tentang cara mengonfigurasi AWS STS untuk mengumpulkan informasi identitas sumber, lihat Memantau dan mengontrol tindakan yang diambil dengan peran yang diasumsikan di Panduan IAM Pengguna. Untuk informasi selengkapnya tentang AWS STS peristiwa yang dicatat CloudTrail, lihat Logging IAM dan AWS STS API panggilan dengan AWS CloudTrail di Panduan IAM Pengguna.

Berikut ini adalah contoh cuplikan peristiwa yang menunjukkan bidang. sourceIdentity

requestParametersBagian contoh

Dalam contoh cuplikan peristiwa berikut, pengguna membuat AWS STS AssumeRole permintaan, dan menetapkan identitas sumber, diwakili di sini oleh. source-identity-value-set Pengguna mengasumsikan peran yang diwakili oleh peran ARN arn:aws:iam::123456789012:role/Assumed_Role tersebut. sourceIdentityBidang berada di requestParameters blok acara.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

responseElementsBagian contoh

Dalam contoh cuplikan peristiwa berikut, pengguna membuat AWS STS AssumeRole permintaan untuk mengambil peran bernamaDeveloper_Role, dan menetapkan identitas sumber,. Admin Pengguna mengasumsikan peran yang diwakili oleh peran ARN arn:aws:iam::111122223333:role/Developer_Role tersebut. sourceIdentityBidang ditampilkan di responseElements blok requestParameters dan blok acara. Kredensi sementara yang digunakan untuk mengambil peran, string token sesi, dan ID peran yang diasumsikan, nama sesi, dan sesi ARN ditampilkan di responseElements blok, bersama dengan identitas sumber.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

sessionContextBagian contoh

Dalam contoh cuplikan peristiwa berikut, pengguna mengasumsikan peran bernama DevRole untuk memanggil layanan. AWS API Pengguna menetapkan identitas sumber, diwakili di sini oleh source-identity-value-set. sourceIdentityBidang ada di sessionContext blok, di dalam userIdentity blok acara.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}