As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

CloudTrail userIdentity elemento

AWS Identity and Access Management (IAM) fornece diferentes tipos de identidades. O userIdentity elemento contém detalhes sobre o tipo de IAM identidade que fez a solicitação e quais credenciais foram usadas. Se forem usadas credenciais temporárias, o elemento mostrará como elas foram obtidas.

Exemplos

userIdentity com credenciais de usuário do IAM

O exemplo a seguir mostra o userIdentity elemento de uma solicitação simples feita com as credenciais do IAM usuário nomeadoAlice.

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity com credenciais de segurança temporárias

O exemplo a seguir mostra um userIdentity elemento para uma solicitação feita com credenciais de segurança temporárias obtidas ao assumir uma IAM função. O elemento contém detalhes adicionais sobre a função que foi assumida para obter credenciais.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentitypara uma solicitação feita em nome de um usuário do IAM Identity Center

O exemplo a seguir mostra um userIdentity elemento para uma solicitação feita em nome de um usuário do IAM Identity Center.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Campos

Os campos a seguir podem aparecer em um elemento userIdentity.

Valores para federação de identidade AWS STS APIs com SAML e web

AWS CloudTrail suporta API chamadas logging AWS Security Token Service (AWS STS) feitas com Security Assertion Markup Language (SAML) e federação de identidade da web. Quando um usuário faz uma chamada para o AssumeRoleWithSAMLe AssumeRoleWithWebIdentityAPIs, CloudTrail grava a chamada e entrega o evento em seu bucket do Amazon S3.

O userIdentity elemento para eles APIs contém os seguintes valores.

Veja a seguir um exemplo de elemento userIdentity para a ação AssumeRoleWithWebIdentity.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Por exemplo, registros de como o userIdentity elemento aparece SAMLUser e WebIdentityUser digita, consulte Registro IAM e AWS STS API chamadas com AWS CloudTrail.

AWS STS identidade de origem

Um IAM administrador pode configurar AWS Security Token Service para exigir que os usuários especifiquem sua identidade ao usarem credenciais temporárias para assumir funções. O sourceIdentity campo ocorre em eventos quando os usuários assumem uma IAM função ou realizam qualquer ação com a função assumida.

O sourceIdentity campo identifica a identidade original do usuário que fez a solicitação, seja a identidade desse usuário um usuário, uma IAM função, um IAM usuário autenticado usando a federação SAML baseada ou um usuário autenticado usando a federação de identidade da web compatível com OpenID Connect OIDC (). Depois que o IAM administrador configura AWS STS, CloudTrail registra sourceIdentity as informações nos seguintes eventos e locais no registro do evento:

Para obter mais informações sobre como configurar AWS STS para coletar informações de identidade de origem, consulte Monitorar e controlar ações tomadas com funções assumidas no Guia IAM do Usuário. Para obter mais informações sobre AWS STS eventos registrados CloudTrail, consulte Registro IAM e AWS STS API chamadas AWS CloudTrail no Guia do IAM usuário.

Veja a seguir snippets de exemplo de eventos que mostram o campo sourceIdentity.

Exemplo da seção requestParameters

No exemplo de trecho de evento a seguir, um usuário faz uma AWS STS AssumeRole solicitação e define uma identidade de origem, representada aqui por. source-identity-value-set O usuário assume uma função representada pela função ARNarn:aws:iam::123456789012:role/Assumed_Role. O campo sourceIdentity está no bloco do evento requestParameters.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

Exemplo da seção responseElements

No exemplo de trecho de evento a seguir, um usuário faz uma AWS STS AssumeRole solicitação para assumir uma função chamada Developer_Role e define uma identidade de origem. Admin O usuário assume uma função representada pela função ARNarn:aws:iam::111122223333:role/Developer_Role. O campo sourceIdentity é exibido nos blocos de evento requestParameters e responseElements. As credenciais temporárias usadas para assumir a função, a string do token da sessão e o ID da função assumida, o nome da sessão e a sessão ARN são mostrados no responseElements bloco, junto com a identidade de origem.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

Exemplo da seção sessionContext

No exemplo de trecho de evento a seguir, um usuário está assumindo uma função chamada DevRole para chamar um serviço. AWS API O usuário define uma identidade de origem, representada aqui por source-identity-value-set. O sourceIdentity campo está no sessionContext bloco, dentro do userIdentity bloco do evento.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}