翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudTrail userIdentity 要素

AWS Identity and Access Management （IAM) は、さまざまなタイプの ID を提供します。userIdentity 要素には、リクエストを行った IAM ID のタイプと、使用された認証情報に関する詳細が含まれます。一時的認証情報が使用された場合、エレメントは、認証情報がどのように取得されたかを示します。

例

IAMユーザー認証情報を使用する userIdentity

次の例は、 という名前のIAMユーザーの認証情報を使用して行われたシンプルなリクエストの userIdentity要素を示していますAlice。

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

一時的セキュリティ認証情報を使用する userIdentity

次の例は、 IAMロールを引き受けることによって取得した一時的なセキュリティ認証情報を使用して行われたリクエストの userIdentity要素を示しています。エレメントには、認証情報を取得するために引き受けられたロールに関する追加の情報の詳細が含まれています。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentity IAM Identity Center ユーザーに代わって行われたリクエスト

次の例は、IAMIdentity Center ユーザーに代わって行われたリクエストの userIdentity要素を示しています。

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

フィールド

以下のフィールドは userIdentity エレメントに表示されます。

SAML とウェブ ID フェデレーションを使用した の値 AWS STS APIs

AWS CloudTrail は、Security Assertion Markup Language AWS Security Token Service （AWS STS) とウェブ ID フェデレーションを使用して行われた (SAML) API呼び出しのログ記録をサポートします。ユーザーが AssumeRoleWithSAMLと を呼び出すとAPIs、 AssumeRoleWithWebIdentity は呼び出し CloudTrail を記録し、Amazon S3 バケットにイベントを配信します。

これらの userIdentity要素には、次の値APIsが含まれます。

AssumeRoleWithWebIdentity アクションの userIdentity エレメントの例を次に示します。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

SAMLUser および WebIdentityUserタイプの userIdentity要素がどのように表示されるかを示すログの例については、「 を使用したログ記録IAMと AWS STS API呼び出し AWS CloudTrail」を参照してください。

AWS STS ソース ID

IAM 管理者は、 AWS Security Token Service ユーザーが一時的な認証情報を使用してロールを引き受けるときに ID を指定するように を設定できます。sourceIdentity フィールドは、ユーザーが IAMロールを引き受けたり、引き受けたロールでアクションを実行したりするイベントで発生します。

sourceIdentity フィールドは、リクエストを行う元のユーザー ID を識別します。ユーザーの ID が IAM ユーザー、 IAMロール、 SAMLベースのフェデレーションを使用して認証されたユーザー、OpenID Connect (OIDC) 準拠のウェブ ID フェデレーションを使用して認証されたユーザーのいずれであるかを示します。IAM 管理者が を設定すると AWS STS、 はイベントレコード内の次のイベントと場所にsourceIdentity情報を CloudTrail ログに記録します。

ソース ID 情報を収集するように を設定する方法の詳細については、「 ユーザーガイド AWS STS 」の「引き受けたロールで実行されたアクションのモニタリングと制御IAM」を参照してください。にログ記録される AWS STS イベントの詳細については CloudTrail、「 ユーザーガイド」の「 でのログ記録IAMと AWS STS API呼び出し AWS CloudTrailIAM」を参照してください。

以下は、sourceIdentity フィールドを表示するイベントのスニペットの例です。

requestParameters セクションの例

次のイベントスニペットの例では、ユーザーは AWS STS AssumeRole リクエストを行い、ここで で表されるソース ID を設定しますsource-identity-value-set。ユーザーは、ロール で表されるロールARNを引き受けますarn:aws:iam::123456789012:role/Assumed_Role。sourceIdentity フィールドが requestParameters イベントのブロックです。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

responseElements セクションの例

次のイベントスニペットの例では、ユーザーは という名前の AWS STS AssumeRoleロールを引き受けるリクエストを行いDeveloper_Role、ソース ID を設定しますAdmin。ユーザーは、ロール で表されるロールARNを引き受けますarn:aws:iam::111122223333:role/Developer_Role。sourceIdentity フィールドは、イベントの requestParameters および responseElements 両方のブロックで表示されます。ロール、セッショントークン文字列、引き受けたロール ID、セッション名、セッションを引き受けるために使用される一時的な認証情報ARNは、ソース ID とともに responseElementsブロックに表示されます。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

sessionContext セクションの例

次のイベントスニペットの例では、ユーザーは という名前のロールを引き受けDevRoleて AWS サービスを呼び出しますAPI。ユーザーはソース ID を設定します。ここでは で表されます。source-identity-value-set。 sourceIdentity フィールドは、イベントの sessionContextブロック内の userIdentityブロックにあります。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}