Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

CloudTrail userIdentity elemento

AWS Identity and Access Management (IAM) fornisce diversi tipi di identità. L'userIdentityelemento contiene dettagli sul tipo di IAM identità che ha effettuato la richiesta e quali credenziali sono state utilizzate. Se sono state utilizzate credenziali temporanee, l'elemento mostra il modo in cui tali credenziali sono state ottenute.

Esempi

userIdentity con credenziali utente IAM

L'esempio seguente mostra l'userIdentityelemento di una richiesta semplice effettuata con le credenziali dell'IAMutente denominato. Alice

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity con credenziali di sicurezza temporanee

L'esempio seguente mostra un userIdentity elemento per una richiesta effettuata con credenziali di sicurezza temporanee ottenute assumendo un ruolo. IAM L'elemento contiene ulteriori dettagli sul ruolo assunto per ottenere le credenziali.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentityper una richiesta effettuata per conto di un utente dell'IAMIdentity Center

L'esempio seguente mostra un userIdentity elemento per una richiesta effettuata per conto di un utente di IAM Identity Center.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Campi

In un elemento userIdentity possono essere visualizzati i seguenti campi.

Valori per AWS STS APIs with SAML e web identity federation

AWS CloudTrail supporta le API chiamate logging AWS Security Token Service (AWS STS) effettuate con Security Assertion Markup Language (SAML) e la federazione delle identità web. Quando un utente effettua una chiamata verso la rete AssumeRoleWithSAMLAssumeRoleWithWebIdentityAPIs, CloudTrail registra la chiamata e invia l'evento al tuo bucket Amazon S3.

L'userIdentityelemento corrispondente APIs contiene i seguenti valori.

Di seguito è illustrato un elemento userIdentity di esempio per l'operazione AssumeRoleWithWebIdentity.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Ad esempio, i registri di come l'userIdentityelemento appare SAMLUser e i WebIdentityUser tipi, vedi Registrazione IAM e AWS STS API chiamate con. AWS CloudTrail

AWS STS identità di origine

Un IAM amministratore può configurare la configurazione AWS Security Token Service in modo da richiedere agli utenti di specificare la propria identità quando utilizzano credenziali temporanee per assumere ruoli. Il sourceIdentity campo si verifica negli eventi in cui gli utenti assumono un IAM ruolo o eseguono azioni con il ruolo assunto.

Il sourceIdentity campo identifica l'identità originale dell'utente che effettua la richiesta, indipendentemente dal fatto che l'identità dell'IAMutente sia un utente, un IAM ruolo, un utente autenticato utilizzando la federazione SAML basata sulla federazione di identità web conforme a OpenID Connect OIDC (). Dopo la configurazione, l'IAMamministratore CloudTrail registra le sourceIdentity informazioni nei AWS STS seguenti eventi e luoghi all'interno del record dell'evento:

Per ulteriori informazioni su come configurare AWS STS la raccolta delle informazioni sull'identità di origine, consulta Monitoraggio e controllo delle azioni intraprese con i ruoli assunti nella Guida per l'IAMutente. Per ulteriori informazioni sugli AWS STS eventi registrati CloudTrail, vedere Registrazione IAM e AWS STS API chiamate con AWS CloudTrail nella Guida per l'IAMutente.

Di seguito sono riportati frammenti di esempio di eventi che mostrano il campo sourceIdentity.

Sezione di esempio requestParameters

Nel frammento di evento di esempio seguente, un utente effettua una AWS STS AssumeRole richiesta e imposta un'identità di origine, qui rappresentata da. source-identity-value-set L'utente assume un ruolo rappresentato dal ruolo. ARN arn:aws:iam::123456789012:role/Assumed_Role Il campo sourceIdentity è presente nel blocco requestParameters dell'evento.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

Sezione di esempio responseElements

Nel frammento di evento di esempio seguente, un utente AWS STS AssumeRole richiede di assumere un ruolo denominato e imposta un'identità di origineDeveloper_Role,. Admin L'utente assume un ruolo rappresentato dal ruolo. ARN arn:aws:iam::111122223333:role/Developer_Role Il campo sourceIdentity è presente nel blocco requestParameters e responseElements dell'evento. Le credenziali temporanee utilizzate per assumere il ruolo, la stringa del token di sessione e l'ID del ruolo, il nome della sessione e la sessione assunti ARN vengono visualizzati nel responseElements blocco, insieme all'identità di origine.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

Sezione di esempio sessionContext

Nel frammento di evento di esempio seguente, un utente assume un ruolo denominato DevRole per chiamare un servizio. AWS API L'utente imposta un'identità di origine, qui rappresentata da source-identity-value-set. Il sourceIdentity campo si trova nel sessionContext blocco, all'interno del userIdentity blocco dell'evento.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}