기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

CloudTrail userIdentity 요소

AWS Identity and Access Management (IAM) 는 다양한 유형의 ID를 제공합니다. userIdentity요소에는 요청한 IAM ID 유형과 사용된 자격 증명에 대한 세부 정보가 포함됩니다. 임시 자격 증명을 사용하는 경우, 요소는 자격 증명을 획득하는 방법을 보여 줍니다.

예

userIdentity IAM 사용자 자격 증명을 사용하는

다음 예제는 이름이 지정된 IAM 사용자의 자격 증명으로 이루어진 단순 요청의 userIdentity 요소를 보여줍니다Alice.

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

임시 보안 자격 증명을 사용하는 userIdentity

다음 예제는 IAM 역할을 위임하여 얻은 임시 보안 자격 증명으로 이루어진 요청의 userIdentity 요소를 보여줍니다. 요소에는 자격 증명을 획득한 것으로 간주하는 역할에 대한 추가 세부 정보가 포함됩니다.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentityIAMIdentity Center 사용자를 대신하여 요청한 경우

다음 예에서는 IAM Identity Center 사용자를 대신하여 이루어진 요청에 대한 userIdentity 요소를 보여 줍니다.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

필드

userIdentity 요소에 보일 수 있는 필드는 다음과 같습니다.

AWS STS APIswith SAML 및 웹 ID 페더레이션의 값

AWS CloudTrail 보안 어설션 마크업 언어 AWS Security Token Service (AWS STS) 및 웹 ID 페더레이션을 사용한 logging (SAML) API 호출을 지원합니다. 사용자가 AssumeRoleWithSAML및 AssumeRoleWithWebIdentityAPIs를 호출하면 통화를 CloudTrail 녹음하고 Amazon S3 버킷으로 이벤트를 전송합니다.

이러한 userIdentity APIs 요소에는 다음 값이 포함됩니다.

다음은 AssumeRoleWithWebIdentity 작업에 대한 예제 userIdentity 요소입니다.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

userIdentity요소가 표시되는 방식과 WebIdentityUser 유형에 대한 로그의 예는 로깅 SAMLUser IAM 및 AWS STS API 호출을 참조하십시오. AWS CloudTrail

AWS STS 소스 아이덴티티

IAM관리자는 사용자가 임시 자격 증명을 사용하여 역할을 수임할 때 ID를 AWS Security Token Service 지정하도록 요구하도록 구성할 수 있습니다. 이 sourceIdentity 필드는 사용자가 역할을 맡거나 위임된 IAM 역할을 가진 작업을 수행하는 이벤트에서 나타납니다.

이 sourceIdentity 필드는 사용자의 ID가 사용자, IAM 역할, SAML 기반 페더레이션을 사용하여 인증된 사용자 또는 OpenID Connect OIDC () 호환 웹 ID 페더레이션을 사용하여 인증된 사용자인지 여부에 관계없이 요청을 하는 원래 사용자 ID를 식별합니다. IAM IAM관리자가 구성한 후에는 이벤트 레코드 내의 다음 AWS STS이벤트 및 sourceIdentity 위치에 정보를 CloudTrail 기록합니다.

소스 ID 정보를 AWS STS 수집하도록 구성하는 방법에 대한 자세한 내용은 IAM사용 설명서의 수임된 역할로 수행된 작업 모니터링 및 제어를 참조하십시오. 기록되는 AWS STS 이벤트에 대한 자세한 내용은 IAM사용 설명서의 로깅 IAM 및 AWS STS API 통화를 참조하십시오. CloudTrail AWS CloudTrail

다음은 sourceIdentity 필드를 표시하는 이벤트의 코드 조각 예입니다.

requestParameters 섹션 예

다음 예제 이벤트 스니펫에서 사용자는 AWS STS AssumeRole 요청을 보내고 소스 ID (여기서는 로 표시됨) 를 설정합니다. source-identity-value-set 사용자는 역할이 나타내는 역할을 맡습니다. ARN arn:aws:iam::123456789012:role/Assumed_Role sourceIdentity 필드는 이벤트의 requestParameters 블록에 있습니다.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

responseElements 섹션 예

다음 예제 이벤트 스니펫에서 사용자는 라는 Developer_Role 역할을 수임하도록 AWS STS AssumeRole 요청하고 소스 ID를 설정합니다. Admin 사용자는 역할이 나타내는 역할을 맡습니다. ARN arn:aws:iam::111122223333:role/Developer_Role sourceIdentity 필드는 이벤트의 requestParameters 및 responseElements 블록 모두에 나와 있습니다. 역할을 수임하는 데 사용된 임시 자격 증명, 세션 토큰 문자열, 위임된 역할 ID, 세션 이름, ARN 세션이 소스 ID와 함께 responseElements 블록에 표시됩니다.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

sessionContext 섹션 예

다음 예제 이벤트 스니펫에서 사용자는 서비스를 DevRole 호출하기 위해 이름이 지정된 역할을 맡고 있습니다. AWS API 사용자는 소스 ID를 설정합니다. 여기서는 다음과 같이 표시됩니다.source-identity-value-set. sourceIdentity필드는 이벤트 sessionContext 블록 내 userIdentity 블록 내에 있습니다.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}