Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

CloudTrail 用户身份元素

Amazon Identity and Access Management (IAM) 提供不同类型的身份。userIdentity 元素包含有关发出请求的 IAM 身份的类型的详细信息，以及使用了哪些凭证。如果使用的是临时证书，则该元素显示证书是如何获取的。

示例

userIdentity 与 IAM 用户凭证

以下示例显示使用名为 Alice 的 IAM 用户的证书发出的简单请求的 userIdentity 元素。

"userIdentity": {
  "type": "IAMUser",
  "principalId": "AIDAJ45Q7YFFAREXAMPLE",
  "arn": "arn:aws:iam::123456789012:user/Alice",
  "accountId": "123456789012",
  "accessKeyId": "",
  "userName": "Alice"
}

使用临时安全证书的 userIdentity

以下示例显示使用通过代入 IAM 角色获取的临时安全凭证发出的请求的 userIdentity 元素。该元素包含有关为获取证书而担任的角色的其他详细信息。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "20131102T010628Z"
      },
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAIDPPEZS35WEXAMPLE",
        "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
        "accountId": "123456789012",
        "userName": "RoleToBeAssumed"
      }
    }
}

代表 IAM Identity Center 用户发出的请求的 userIdentity

以下示例显示代表 IAM Identity Center 用户发出的请求的 userIdentity 元素。

"userIdentity": {
	"type": "IdentityCenterUser",
	"accountId": "123456789012",
	"onBehalfOf": {
		"userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
		"identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
	},
	"credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

字段

以下字段可显示在 userIdentity 元素中。

具有 SAML 和网络联合身份验证 Amazon STS 的 API 的值

Amazon CloudTrail 支持使用安全断言标记语言 Amazon Security Token Service (SAML Amazon STS) 和 Web 联合身份验证进行的 logging () API 调用。当用户调用AssumeRoleWithSAML和 AssumeRoleWithWebIdentityAPI 时，会 CloudTrail 记录该调用并将事件传送到您的 Amazon S3 存储桶。

这些 API 的 userIdentity 元素包含以下值。

下面是 AssumeRoleWithWebIdentity 操作的示例 userIdentity 元素。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

有关userIdentity元素的显示方式SAMLUser和WebIdentityUser类型的日志示例，请参阅使用记录 IAM 和 Amazon STS API 调用 Amazon CloudTrail。

Amazon STS 来源身份

IAM 管理员可以配置 Amazon Security Token Service 为要求用户在使用临时证书代入角色时指定其身份。sourceIdentity 字段出现在用户代入 IAM 角色或使用代入的角色执行任何操作的事件中。

sourceIdentity 字段识别发出请求的原始用户身份，无论该用户的身份是 IAM 用户、IAM 角色、使用基于 SAML 的联合身份进行身份验证的用户，还是使用符合 OpenID Connect (OIDC) 的 Web 联合身份进行身份验证的用户。IAM 管理员配置后 Amazon STS，在事件 CloudTrail 记录中的以下事件和位置中记录sourceIdentity信息：

有关如何进行配置 Amazon STS 以收集源身份信息的更多信息，请参阅 IAM 用户指南中的监控和控制使用代入角色执行的操作。有关记录到 Amazon STS 的事件的更多信息 CloudTrail，请参阅 IAM 用户指南 Amazon CloudTrail中的使用记录 IAM 和 Amazon STS API 调用。

下面是事件的示例代码段，其中显示了 sourceIdentity 字段。

示例 requestParameters 部分

在以下示例事件片段中，用户发出 Amazon STS AssumeRole请求并设置源身份，此处用source-identity-value-set表示。用户代入由角色 ARN arn:aws:iam::123456789012:role/Assumed_Role 表示的角色。sourceIdentity 字段位于事件的 requestParameters 数据块中。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

示例 responseElements 部分

在以下示例事件片段中，用户 Amazon STS AssumeRole请求代入名为Developer_Role的角色并设置源身份。Admin用户代入由角色 ARN arn:aws:iam::111122223333:role/Developer_Role 表示的角色。sourceIdentity 字段显示在事件的 responseElements 和 requestParameters 数据块中。用于代入角色的临时证书、会话令牌字符串以及代入的角色 ID、会话名称和会话 ARN 与源身份一起显示在 responseElements 数据块中。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

示例 sessionContext 部分

在以下示例事件片段中，用户扮演一个名为的角色DevRole来调用 Amazon 服务 API。用户设置源身份，此处用表示source-identity-value-set。sourceIdentity 字段位于 userIdentity 数据块中，处在事件的 sessionContext 数据块内。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}