Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

CloudTrail userIdentity 元素

Amazon Identity and Access Management (IAM) 提供不同类型的身份。该userIdentity元素包含有关发出请求的IAM身份类型以及使用了哪些凭据的详细信息。如果使用的是临时证书，则该元素显示证书是如何获取的。

示例

使用 IAM 用户凭证的 userIdentity

以下示例显示了使用名为的IAM用户的凭据发出的简单请求的userIdentity元素Alice。

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

使用临时安全证书的 userIdentity

以下示例显示了使用通过担任IAM角色获得的临时安全证书发出的请求的userIdentity元素。该元素包含有关为获取证书而担任的角色的其他详细信息。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

userIdentity代表IAM身份中心用户提出的请求

以下示例显示了代表IAM身份中心用户提出的请求的userIdentity元素。

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

字段

以下字段可显示在 userIdentity 元素中。

with Amazon STS APIs SAML 和 Web 联合身份验证的值

Amazon CloudTrail 支持使用安全断言标记语言 Amazon Security Token Service (Amazon STS) 和 Web 联合身份验证进行的 logging (SAML) API 调用。当用户调用和时 AssumeRoleWithWebIdentityAPIs，会 CloudTrail 记录该呼叫AssumeRoleWithSAML并将事件传送到您的 Amazon S3 存储桶。

这些userIdentity元素APIs包含以下值。

下面是 AssumeRoleWithWebIdentity 操作的示例 userIdentity 元素。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

有关userIdentity元素的显示方式SAMLUser和WebIdentityUser类型的日志示例，请参阅使用记录IAM和 Amazon STS API调用 Amazon CloudTrail。

Amazon STS 来源身份

IAM管理员可以配置 Amazon Security Token Service 为要求用户在使用临时证书担任角色时指定其身份。当用户扮演IAM角色或使用代入的角色执行任何操作时，该sourceIdentity字段就会出现。

该sourceIdentity字段标识发出请求的原始用户身份，该用户的身份是用户、IAM角色、使用SAML基于联合身份IAM验证的用户，还是使用符合 OpenID Connect (OIDC) 的 Web 联合身份验证进行身份验证的用户。IAM管理员配置后 Amazon STS，在事件 CloudTrail 记录中的以下事件和位置中记录sourceIdentity信息：

有关如何进行配置 Amazon STS 以收集源身份信息的更多信息，请参阅《IAM用户指南》中的监控和控制以代入角色执行的操作。有关记录到 Amazon STS 的事件的更多信息 CloudTrail，请参阅《IAM用户指南》 Amazon CloudTrail中的使用记录IAM和 Amazon STS API呼叫。

下面是事件的示例代码段，其中显示了 sourceIdentity 字段。

示例 requestParameters 部分

在以下示例事件片段中，用户发出 Amazon STS AssumeRole请求并设置源身份，此处用source-identity-value-set表示。用户扮演由该角色所代表的角色ARNarn:aws:iam::123456789012:role/Assumed_Role。sourceIdentity 字段位于事件的 requestParameters 数据块中。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

示例 responseElements 部分

在以下示例事件片段中，用户 Amazon STS AssumeRole请求代入名为Developer_Role的角色并设置源身份。Admin用户扮演由该角色所代表的角色ARNarn:aws:iam::111122223333:role/Developer_Role。sourceIdentity 字段显示在事件的 responseElements 和 requestParameters 数据块中。用于代入角色的临时证书、会话令牌字符串以及代入的角色 ID、会话名称和会话以及源身份ARN都显示在responseElements区块中。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

示例 sessionContext 部分

在以下示例事件片段中，用户扮演一个名为的角色DevRole来调用 Amazon 服务API。用户设置源身份，此处表示为 source-identity-value-set。 该sourceIdentity字段位于方sessionContext块中，位于事件userIdentity区块内。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}