本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

CloudTrail userIdentity 元素

AWS Identity and Access Management （IAM）提供不同類型的身份。userIdentity元素包含發出要求的IAM識別類型，以及使用哪些認證的詳細資料。如果使用暫時性登入資料，此元素會說明登入資料的取得方式。

範例

使用 IAM 使用者登入資料的 userIdentity

下列範例會顯示IAM使用名為之使用者的認證所發出的簡單要求userIdentity元素Alice。

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

使用暫時性安全登入資料的 userIdentity

下列範例顯示使用假設角色所取得之臨時安全性認證所發出之要求的userIdentity元IAM素。此元素包含為取得登入資料所擔任之角色的其他詳細資訊。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentity代表IAM身分識別中心使用者提出的要求

下列範例顯示代表IAM身分識別中心使用者發出之要求的userIdentity元素。

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

欄位

userIdentity 元素中可能會顯示下列欄位。

AWS STS APIs使用SAML和 Web 身分同盟的值

AWS CloudTrail 支持使用安全斷言標記語言 AWS Security Token Service （AWS STS）和 Web 身份聯合進行的 log（SAML）API調用。當使用者呼叫和時，會 CloudTrail 記錄呼叫 AssumeRoleWithWebIdentityAPIs，AssumeRoleWithSAML並將事件傳送到您的 Amazon S3 儲存貯體。

這些userIdentity元素APIs包含以下值。

以下是 AssumeRoleWithWebIdentity 動作的範例 userIdentity 元素。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

有關userIdentity元素如何顯示SAMLUser和WebIdentityUser類型的示例日誌，請參閱使用記錄IAM和 AWS STS API呼叫 AWS CloudTrail。

AWS STS 來源身分

IAM系統管理員可以設定 AWS Security Token Service 為在使用臨時認證擔任角色時，要求使用者指定其身分識別。當使用sourceIdentity者擔任IAM角色或使用假定角色執行任何動作時，會在事件中發生這種情況。

此sourceIdentity欄位可識別提出要求的原始使用者身分識別，無論該使用者的身分是使用IAM者、IAM角色、使用SAML基礎聯合驗證的使用者，還是使用 OpenID Connect (OIDC) 相容 Web 身分聯盟驗證的使用者。IAM管理員設定完成後 AWS STS，會在事件 CloudTrail 記錄中的下列事件和位置記錄sourceIdentity資訊：

如需有關如何設定為收集 AWS STS 來源身分識別資訊的詳細資訊，請參閱《IAM使用者指南》中的監視和控制對假定角色所採取的動作。如需有關記錄到的 AWS STS 事件的詳細資訊 CloudTrail，請參閱IAM使用者指南 AWS CloudTrail中的記錄IAM和 AWS STS API呼叫。

以下是事件的範例片段，其中顯示 sourceIdentity 欄位。

範例 requestParameters 區段

在下列範例事件片段中，使用者 AWS STS AssumeRole提出要求，並設定來源識別，此處以表示source-identity-value-set。使用者會擔任角色所代表的角色ARNarn:aws:iam::123456789012:role/Assumed_Role。sourceIdentity 欄位位於事件的 requestParameters 區塊。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

範例 responseElements 區段

在下列範例事件片段中，使用者 AWS STS AssumeRole提出要求假設名為的角色Developer_Role，並設定來源身分識別Admin。使用者會擔任角色所代表的角色ARNarn:aws:iam::111122223333:role/Developer_Role。sourceIdentity 欄位會顯示在事件的 requestParameters 和 responseElements 區塊。responseElements區塊中會顯示用來假設角色、工作階段 Token 字串以及假設的角色 ID、工作階段名稱和工作階段ARN的暫時認證，以及來源識別。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

範例 sessionContext 區段

在下列範例事件片段中，使用者假設名DevRole為呼叫 AWS 服務的角色API。使用者設定來源身分，以下列方式表示 source-identity-value-set。 sourceIdentity欄位位於sessionContext區塊中，位於事件userIdentity區塊內。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}