Temukan alias di log AWS CloudTrail

Anda dapat menggunakan alias untuk mewakili AWS KMS key dalam operasi AWS KMS API. Ketika Anda melakukannya, alias dan kunci ARN dari kunci KMS dicatat dalam entri log AWS CloudTrail untuk acara tersebut. Alias muncul dalam bidang requestParameters. ARN kunci muncul dalam bidang resources. Hal ini berlaku bahkan ketika AWS layanan menggunakan Kunci yang dikelola AWS di akun Anda.

Misalnya, GenerateDataKeypermintaan berikut menggunakan project-key alias untuk mewakili kunci KMS.

$ aws kms generate-data-key --key-id alias/project-key --key-spec AES_256

Ketika permintaan ini dicatat dalam CloudTrail log, entri log mencakup alias dan ARN kunci dari kunci KMS aktual yang digunakan.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "ABCDE",
        "arn": "arn:aws:iam::111122223333:role/ProjectDev",
        "accountId": "111122223333",
        "accessKeyId": "FFHIJ",
        "userName": "example-dev"
    },
    "eventTime": "2020-06-29T23:36:41Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "205.205.123.000",
    "userAgent": "aws-cli/1.18.89 Python/3.6.10 Linux/4.9.217-0.1.ac.205.84.332.metal1.x86_64 botocore/1.17.12",
    "requestParameters": {
        "keyId": "alias/project-key",
        "keySpec": "AES_256"
    },
    "responseElements": null,
    "requestID": "d93f57f5-d4c5-4bab-8139-5a1f7824a363",
    "eventID": "d63001e2-dbc6-4aae-90cb-e5370aca7125",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}

Untuk detail tentang AWS KMS operasi pencatatan di CloudTrail log, lihatPencatatan panggilan AWS KMS API dengan AWS CloudTrail.