翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

CloudTrail userIdentity 要素

AWS Identity and Access Management （IAM) は、さまざまなタイプの ID を提供します。userIdentity エレメントには、リクエストを行った IAM ID のタイプとどの認証情報が使用されたかに関する詳細が含まれます。一時的認証情報が使用された場合、エレメントは、認証情報がどのように取得されたかを示します。

例

IAMユーザー認証情報を使用する userIdentity

次の例は、Alice という名前の IAM ユーザー認証情報で行われた単純なリクエストの userIdentity エレメントを示しています。

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

一時的セキュリティ認証情報を使用する userIdentity

次の例は、IAM ロールを引き受けることにより取得した一時的セキュリティ認証情報を使用して行われたリクエストの userIdentity エレメントを示しています。エレメントには、認証情報を取得するために引き受けられたロールに関する追加の情報の詳細が含まれています。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentity IAM Identity Center ユーザーに代わって行われたリクエストの

次の例は、IAMIdentity Center ユーザーに代わって行われたリクエストの userIdentity要素を示しています。

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

userId、identityStoreArn、および の使用方法の詳細についてはcredentialId、IAM「Identity Center ユーザー主導 CloudTrail イベントでのユーザーとセッションの識別」を参照してください。
 IAM 「 Identity Center ユーザーガイド」の「」を参照してください。

[フィールド]

以下のフィールドは userIdentity エレメントに表示されます。

SAML とウェブ ID フェデレーションを使用した の値 AWS STS APIs

AWS CloudTrail は AWS Security Token Service 、Security Assertion Markup Language (AWS STS) とウェブ ID フェデレーションを使用して行われた (SAML) API呼び出しのログ記録をサポートします。ユーザーが AssumeRoleWithSAMLと AssumeRoleWithWebIdentity を呼び出すとAPIs、 は呼び出し CloudTrail を記録し、Amazon S3 バケットにイベントを配信します。

これらの userIdentity要素には、次の値APIsが含まれます。

AssumeRoleWithWebIdentity アクションの userIdentity エレメントの例を次に示します。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

SAMLUser および WebIdentityUserタイプの userIdentity要素がどのように表示されるかを示すログの例については、「 を使用した のログ記録IAMと AWS STS API呼び出し AWS CloudTrail」を参照してください。

AWS STS ソース ID

IAM 管理者は、ユーザーが一時的な認証情報を使用してロールを引き受けるときに ID を指定するように AWS Security Token Service を設定できます。sourceIdentity フィールドは、ユーザーが IAMロールを引き受けるか、引き受けたロールでアクションを実行したときにイベントで発生します。

sourceIdentity フィールドは、リクエスト元のユーザー ID を識別します。ユーザーの ID が IAM ユーザー、 IAMロール、 SAMLベースのフェデレーションを使用して認証されたユーザー、OpenID Connect (OIDC) 準拠のウェブ ID フェデレーションを使用して認証されたユーザーのいずれであるかを示します。IAM 管理者が設定すると AWS STS、 はイベントレコード内の以下のイベントと場所にsourceIdentity情報を CloudTrail ログに記録します。

ソース ID 情報を収集 AWS STS するように を設定する方法の詳細については、IAM「 ユーザーガイド」の「引き受けたロールで実行されたアクションのモニタリングと制御」を参照してください。にログ記録される AWS STS イベントの詳細については CloudTrail、「 IAMユーザーガイド」の「 を使用したログ記録IAMと AWS STS API呼び出し AWS CloudTrail」を参照してください。

以下は、sourceIdentity フィールドを表示するイベントのスニペットの例です。

requestParameters セクションの例

次のイベントスニペットの例では、ユーザーは リクエストを行い AWS STS AssumeRole、ここで で表されるソース ID を設定しますsource-identity-value-set。ユーザーは、ロール で表されるロールARNを引き受けますarn:aws:iam::123456789012:role/Assumed_Role。sourceIdentity フィールドが requestParameters イベントのブロックです。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

responseElements セクションの例

次のイベントスニペットの例では、ユーザーは という名前のロールを引き受けるための リクエストを行い AWS STS AssumeRoleDeveloper_Role、ソース ID を設定しますAdmin。ユーザーは、ロール で表されるロールARNを引き受けますarn:aws:iam::111122223333:role/Developer_Role。sourceIdentity フィールドは、イベントの requestParameters および responseElements 両方のブロックで表示されます。ロール、セッショントークン文字列、引き受けたロール ID、セッション名、セッションを引き受けるために使用される一時的な認証情報ARNは、ソース ID とともに responseElementsブロックに表示されます。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

sessionContext セクションの例

次のイベントスニペットの例では、ユーザーは という名前のロールを引き受けDevRoleて AWS サービス を呼び出しますAPI。ユーザーは、ここで で表されるソース ID を設定しますsource-identity-value-set。sourceIdentity フィールドはイベントの userIdentity ブロック内では sessionContext ブロックにあります。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}