Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

CloudTrail userIdentity 元素

Amazon Identity and Access Management (IAM) 提供不同类型的身份。userIdentity 元素包含有关发出请求的 IAM 身份的类型的详细信息，以及使用了哪些凭证。如果使用的是临时证书，则该元素显示证书是如何获取的。

示例

userIdentity 与 IAM 用户凭证

以下示例显示使用名为 Alice 的 IAM 用户的证书发出的简单请求的 userIdentity 元素。

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity使用临时安全证书的

以下示例显示使用通过代入 IAM 角色获取的临时安全凭证发出的请求的 userIdentity 元素。该元素包含有关为获取证书而担任的角色的其他详细信息。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }    
    }
}

代表 IAM Identity Center 用户发出的请求的 userIdentity

以下示例显示代表 IAM Identity Center 用户发出的请求的 userIdentity 元素。

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

要详细了解如何使用 userId、identityStoreArn 和 credentialId，请参阅《IAM Identity Center 用户指南》中的 Identifying the user and session in IAM Identity Center user-initiated CloudTrail events。

Fields

以下字段可显示在 userIdentity 元素中。

用于 SAML 和 Web 联合身份验证的 Amazon STS API 的值

Amazon CloudTrail 支持记录用安全断言标记语言 (SAML) 和 Web 联合身份验证进行的 Amazon Security Token Service (Amazon STS) API 调用。在用户调用 AssumeRoleWithSAML 和 AssumeRoleWithWebIdentity API 时，CloudTrail 会记录该调用并将相应事件提交到您的 Amazon S3 存储桶。

这些 API 的 userIdentity 元素包含以下值。

下面是 userIdentity 操作的示例 AssumeRoleWithWebIdentity 元素。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

有关 SAMLUser 和 WebIdentityUser 类型的 userIdentity 元素如何显示的日志示例，请参阅使用 Amazon CloudTrail 记录 IAM 和 Amazon STS API 调用。

Amazon STS 源身份

IAM 管理员可以配置 Amazon Security Token Service，要求用户在使用临时凭证代入角色时指定其身份。sourceIdentity 字段出现在用户代入 IAM 角色或使用代入的角色执行任何操作的事件中。

sourceIdentity 字段识别发出请求的原始用户身份，无论该用户的身份是 IAM 用户、IAM 角色、使用基于 SAML 的联合身份进行身份验证的用户，还是使用符合 OpenID Connect (OIDC) 的 Web 联合身份进行身份验证的用户。在 IAM 管理员配置 Amazon STS 后，CloudTrail 在事件记录内的以下事件和位置记录 sourceIdentity 信息：

有关如何配置 Amazon STS 以收集源身份信息的详细说明，请参阅 IAM 用户指南中的监测和控制使用所代入角色执行的操作。有关记录到 CloudTrail 的 Amazon STS 事件的更多信息，请参阅 IAM 用户指南中的使用 Amazon CloudTrail 记录 IAM 和 Amazon STS API 调用。

下面是事件的示例代码段，其中显示了 sourceIdentity 字段。

示例 requestParameters 部分

在以下示例事件代码段中，用户发出 Amazon STS AssumeRole 请求，并设置源身份，此处由 source-identity-value-set 表示。用户代入由角色 ARN arn:aws:iam::123456789012:role/Assumed_Role 表示的角色。sourceIdentity 字段位于事件的 requestParameters 数据块中。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

示例 responseElements 部分

在以下示例事件代码段中，用户创建 Amazon STS AssumeRole 请求以代入名为 Developer_Role 的角色，并设置源身份 Admin。用户代入由角色 ARN arn:aws:iam::111122223333:role/Developer_Role 表示的角色。sourceIdentity 字段显示在事件的 responseElements 和 requestParameters 数据块中。用于代入角色的临时证书、会话令牌字符串以及代入的角色 ID、会话名称和会话 ARN 与源身份一起显示在 responseElements 数据块中。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

示例 sessionContext 部分

在以下示例事件代码段中，用户代入名为 DevRole 的角色以调用 Amazon 服务 API。用户设置源身份，此处由 source-identity-value-set 表示。sourceIdentity 字段位于 userIdentity 数据块中，处在事件的 sessionContext 数据块内。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}