# Rastreamento de tarefas privilegiadas no AWS CloudTrail
<a name="cloudtrail-track-privileged-tasks"></a>

A conta de gerenciamento do AWS Organizations ou uma conta de administrador delegado do IAM pode realizar algumas tarefas de usuário-raiz em contas-membro usando acesso raiz de curto prazo. Sessões privilegiadas de curto prazo fornecem credenciais temporárias que podem ser usadas para [realizar ações privilegiadas](id_root-user-privileged-task.md) em uma conta-membro em sua organização. É possível usar as etapas a seguir para identificar as ações realizadas pela conta de gerenciamento ou por um administrador delegado durante a sessão de [https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoot.html](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoot.html).

**nota**  
Não há suporte para o endpoint global em `sts:AssumeRoot`. O CloudTrail registra eventos de `ConsoleLogin` na região especificada para o endpoint. 

**Para rastrear ações realizadas por uma sessão privilegiada nos logs do CloudTrail**

1. Encontre o evento `AssumeRoot` nos seus logs do CloudTrail. Esse evento é gerado quando sua conta de gerenciamento ou o administrador delegado do IAM obtém um conjunto de credenciais de curto prazo de `sts:AssumeRoot`.

   No exemplo a seguir, o evento CloudTrail para AssumeRoot é registrado em log no campo `eventName`.

   ```
   {
       "eventVersion": "1.08",
       "userIdentity": {
           "type": "AssumedRole",
           "principalId": "AIDACKCEVSQ6C2EXAMPLE:JohnRole1",
           "arn": "arn:aws:sts::111111111111:assumed-role/John/JohnRole1",
           "accountId": "111111111111",
           "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
           "sessionContext": {
               "sessionIssuer": {
                   "type": "Role",
                   "principalId": "AIDACKCEVSQ6C2EXAMPLE",
                   "arn": "arn:aws:iam::111111111111:role/John",
                   "accountId": "111111111111",
                   "userName": "Admin2"
               },
               "webIdFederationData": {},
               "attributes": {
                   "creationDate": "2024-10-25T20:45:28Z",
                   "mfaAuthenticated": "false"
               },
               "assumedRoot": "true"
           }
       },
       "eventTime": "2024-10-25T20:52:11Z",
       "eventSource": "sts.amazonaws.com",
       "eventName": "AssumeRoot",
       "awsRegion": "us-west-2",
       "sourceIPAddress": "192.0.2.1",    
       "requestParameters": {
           "targetPrincipal": "222222222222",
           "taskPolicyArn": {
               "arn": "arn:aws:iam::aws:policy/root-task/S3UnlockBucketPolicy"
           }
       },
       "responseElements": {
           "credentials": {
               "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
               "sessionToken": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
               "expiration": "Oct 25, 2024, 9:07:11 PM"
           }
       }
   }
   ```

   Para obter as etapas para acessar seus logs do CloudTrail, consulte [Obtenção e visualização de seus arquivos de log do CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html) no *Guia do usuário do AWS CloudTrail*.

1. No log de eventos do CloudTrail, localize o `targetPrincipal` o que especifica as ações da conta-membro que foram realizadas e o `accessKeyId` que é exclusivo da sessão de `AssumeRoot`. 

   No exemplo a seguir, o `targetPrincipal` é 222222222222 e o `accessKeyId` é ASIAIOSFODNN7EXAMPLE.

   ```
   "eventTime": "2024-10-25T20:52:11Z",
       "eventSource": "sts.amazonaws.com",
       "eventName": "AssumeRoot",
       "awsRegion": "us-west-2",
       "sourceIPAddress": "192.0.2.1",    
       "requestParameters": {
           "targetPrincipal": "222222222222",
           "taskPolicyArn": {
               "arn": "arn:aws:iam::aws:policy/root-task/S3UnlockBucketPolicy"
           }
       },
       "responseElements": {
           "credentials": {
               "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
               "sessionToken": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
               "expiration": "Oct 25, 2024, 9:07:11 PM"
       }
   }
   ```

1. Nos logs do CloudTrail para a entidade principal alvo, pesquise o ID da chave de acesso que corresponde ao valor `accessKeyId` do evento `AssumeRoot`. Use os valores do campo `eventName` para determinar as tarefas privilegiadas realizadas durante a sessão de `AssumeRoot`. Pode haver várias tarefas privilegiadas executadas em uma única sessão. A duração máxima de sessão para `AssumeRoot` é de 900 segundos (15 minutos).

   No exemplo a seguir, a conta de gerenciamento ou o administrador delegado excluiu a política baseada em recursos para um bucket do Amazon S3.

   ```
   {
       "eventVersion": "1.10",
       "userIdentity": {
           "type": "Root",
           "principalId": "222222222222",
           "arn": "arn:aws:iam::222222222222:root",
           "accountId": "222222222222",
           "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
           "sessionContext": {
               "attributes": {
                   "creationDate": "2024-10-25T20:52:11Z",
                   "mfaAuthenticated": "false"
               }
           }
       },
       "eventTime": "2024-10-25T20:53:47Z",
       "eventSource": "s3.amazonaws.com",
       "eventName": "DeleteBucketPolicy",
       "awsRegion": "us-west-2",
       "sourceIPAddress": "192.0.2.1",
       "requestParameters": {
           "bucketName": "resource-policy-John",
           "Host": "resource-policy-John.s3.amazonaws.com",
           "policy": ""
       },
       "responseElements": null,
       "requestID": "1234567890abcdef0",
       "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
       "readOnly": false,
       "resources": [
           {
               "accountId": "222222222222",
               "type": "AWS::S3::Bucket",
               "ARN": "arn:aws:s3:::resource-policy-John"
           }
       ],
       "eventType": "AwsApiCall",
       "managementEvent": true,
       "recipientAccountId": "222222222222",
       "eventCategory": "Management",
       "tlsDetails": {
           "tlsVersion": "TLSv1.3",
           "cipherSuite": "TLS_AES_128_GCM_SHA256",
           "clientProvidedHostHeader": "resource-policy-John.s3.amazonaws.com"
       }
   }
   ```