AWS CloudTrail
用户指南 (版本 1.0)
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 Amazon AWS 入门

CloudTrailuserIdentity 元素

AWS Identity and Access Management (IAM) 提供不同类型的身份。userIdentity 元素包含有关发出请求的 IAM 身份的类型的详细信息,以及使用了哪些凭证。如果使用的是临时证书,则该元素显示证书是如何获取的。

示例

使用 IAM 用户凭证的 userIdentity

以下示例显示使用名为 Alice 的 IAM 用户的证书发出的简单请求的 userIdentity 元素。

"userIdentity": { "type": "IAMUser", "principalId": "AIDAJ45Q7YFFAREXAMPLE", "arn": "arn:aws:iam::123456789012:user/Alice", "accountId": "123456789012", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "userName": "Alice" }

使用临时安全证书的 userIdentity

以下示例显示使用通过担任 IAM 角色获取的临时安全凭证发出的请求的 userIdentity 元素。该元素包含有关为获取证书而担任的角色的其他详细信息。

"userIdentity": { "type": "AssumedRole", "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName", "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName", "accountId": "123456789012", "accessKeyId": "AKIAIOSFODNN7EXAMPLE", "sessionContext": { "attributes": { "mfaAuthenticated": "false", "creationDate": "20131102T010628Z" }, "sessionIssuer": { "type": "Role", "principalId": "AROAIDPPEZS35WEXAMPLE", "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed", "accountId": "123456789012", "userName": "RoleToBeAssumed" } } }

字段

以下字段可显示在 userIdentity 元素中。

type

身份的类型。以下是可能的值:

  • Root – 已使用您的 AWS 账户凭证发出请求。如果 userIdentity 类型为 Root,并且您为账户设置了别名,则 userName 字段包含您的账户别名。有关更多信息,请参阅 AWS 账户 ID 及其别名

  • IAMUser – 已使用 IAM 用户的凭证发出请求。

  • AssumedRole – 已使用通过角色调用 AWS Security Token Service (AWS STS) AssumeRole API 获取的临时安全凭证发出请求。这可包括适用于 Amazon EC2 的角色跨账户 API 访问

  • FederatedUser – 已使用通过调用 AWS STS GetFederationToken API 获取的临时安全凭证发出请求。sessionIssuer 元素指示是使用根还是 IAM 用户凭证调用了该 API。

    有关临时安全凭证的更多信息,请参阅 IAM 用户指南 中的临时安全凭证

  • AWSAccount – 请求已由另一个 AWS 账户发出。

  • AWSService – 请求已由属于 AWS 服务的 AWS 账户发出。例如,AWS Elastic Beanstalk 代入您的账户中的 IAM 角色来代表您调用其他 AWS 服务。

当使用您拥有的 IAM 角色进行跨账户访问时,日志中将显示 typeAWSAccountAWSService

示例:由另一个 AWS 账户启动的跨账户访问

  1. 您在自己的账户中拥有一个 IAM 角色。

  2. 另一个 AWS 账户将切换到该角色以代入您的账户的角色。

  3. 由于您拥有 IAM 角色,因此您将收到一个显示已代入此角色的其他账户的日志。typeAWSAccount。有关示例日志条目,请参阅 CloudTrail 日志文件中的 AWS STS API 事件

示例:由 AWS 服务启动的跨账户访问

  1. 您在自己的账户中拥有一个 IAM 角色。

  2. AWS 服务拥有的 AWS 账户将代入此角色。

  3. 由于您拥有 IAM 角色,因此您将收到一个显示已代入此角色的 AWS 服务的日志。typeAWSService

userName

已发出调用的身份的友好名称。userName 中显示的值基于 type 中的值。下表显示 typeuserName 之间的关系:

type userName 描述
Root(未设置别名) 不存在 如果您没有为 AWS 账户设置别名,则 userName 字段不会出现。有关账户别名的更多信息,请参阅 AWS 账户 ID 及其别名。请注意,userName 字段绝不包含 RootRoot,因为 是身份类型而不是用户名称。
Root(已设置别名) 账户别名 有关 AWS 账户别名的更多信息,请参阅 AWS 账户 ID 及其别名
IAMUser IAM 用户的用户名

AssumedRole

不存在 对于 AssumedRole 类型,您可在 sessionContext 中找到 userName 字段,它是 sessionIssuer 元素的组成部分。有关示例条目,请参阅示例
FederatedUser 不存在 sessionContextsessionIssuer 部分包含有关已发出联合身份用户会话的身份的信息。
AWSService 不存在
AWSAccount 不存在

注意

当记录的事件为由错误用户名称输入导致的控制台登录失败时,userName 字段包含字符串 HIDDEN_DUE_TO_SECURITY_REASONS。在此情况下,CloudTrail 不记录内容,因为文本可能包含敏感信息,如以下示例所示:

  • 用户不小心在用户名称字段中键入了密码。

  • 用户单击一个 AWS 账户的登录页面链接,但键入了另一账户的账户号。

  • 用户意外键入了个人电子邮件账户的账户名称、银行登录标识符或某个其他私有 ID。

principalId

已发出调用的实体的唯一标识符。对于使用临时安全证书发出的请求,此值包括将传递到 AssumeRoleAssumeRoleWithWebIdentityGetFederationToken API 调用的会话名称。

arn

已发出调用的委托人的亚马逊资源名称 (ARN)。arn 的最后一个部分包含已发出调用的用户或角色。

accountId

拥有已授予请求权限的实体的账户。如果已使用临时安全凭证发出请求,则该账户为拥有已用于获取凭证的 IAM 用户或角色的账户。

accessKeyId

已用于对请求签名的访问密钥 ID。如果已使用临时安全证书发出请求,则为临时证书的访问密钥 ID。

sessionContext

如果已使用临时安全证书发出请求,则为提供有关已为这些证书创建的会话的信息的元素。在调用任何返回临时证书的 API 时创建会话。此外,当用户在控制台中工作以及当用户使用包括多重验证的 API 发出请求时创建会话。此元素的属性为:

  • creationDate – 颁发临时安全凭证时的日期和时间。用 ISO 8601 基本表示法表示。

  • mfaAuthenticated – 如果其凭证用于请求的根用户或 IAM 用户还通过 MFA 设备进行身份验证,则值为 true,否则为 false

invokedBy

发出请求的 AWS 服务的名称,如 Amazon EC2 Auto Scaling 或 AWS Elastic Beanstalk。

sessionIssuer

如果已使用临时安全证书发出请求,则为提供有关证书获取方式的信息的元素。例如,如果已通过代入角色来获取临时安全证书,则此元素提供有关代入的角色的信息。如果已通过使用根或 IAM 用户凭证调用 AWS STS GetFederationToken 来获取凭证,则此元素提供有关根账户或 IAM 用户的信息。此元素的属性为:

  • type – 临时安全凭证的源,例如 RootIAMUserRole

  • userName – 已发布会话的用户或角色的友好名称。显示的值取决于 sessionIssuer 身份 type。下表显示 sessionIssuer typeuserName 之间的关系:

    sessionIssuer type userName 描述
    Root(未设置别名) 不存在 如果您未为账户设置别名,则 userName 字段不会出现。有关 AWS 账户别名的更多信息,请参阅 AWS 账户 ID 及其别名。请注意,userName 字段绝不包含 RootRoot,因为 是身份类型而不是用户名称。
    Root(已设置别名) 账户别名 有关 AWS 账户别名的更多信息,请参阅 AWS 账户 ID 及其别名
    IAMUser IAM 用户的用户名 这在联合身份用户使用由 IAMUser 发布的会话时也适用。
    Role 角色名称 由角色会话中的 IAM 用户、AWS 服务或 Web 联合身份用户担任的角色。
  • principalId – 已用于获取凭证的实体的内部 ID。

  • arn – 已用于获取临时安全凭证的源(账户、IAM 用户或角色)的 ARN。

  • accountId – 拥有已用于获取证书的实体的账户。

webIdFederationData

如果已使用通过 Web 联合身份验证获取的临时安全证书发出请求,则为列出有关身份提供商的信息的元素。此元素的属性为:

  • federatedProvider – 身份提供商的委托人名称(例如,适用于 Login with Amazon 的 www.amazon.com 或适用于 Google 的 accounts.google.com)。

  • attributes – 提供商报告的应用程序 ID 和用户 ID(例如,适用于 Login with Amazon 的 www.amazon.com:app_idwww.amazon.com:user_id)。有关更多信息,请参阅 IAM 用户指南 中的 Web 联合身份验证的可用密钥

用于 SAML 和 Web 联合身份验证的 AWS STS API 的值

AWS CloudTrail 支持记录用安全断言标记语言 (SAML) 和 Web 联合身份验证进行的 AWS Security Token Service (AWS STS) API 调用。在调用 AssumeRoleWithSAMLAssumeRoleWithWebIdentity API 时,CloudTrail 记录该调用并将相应事件提交到您的 Amazon S3 存储桶。

这些 API 的 userIdentity 元素包含以下值。

type

身份类型。

  • SAMLUser – 已使用 SAML 断言发出请求。

  • WebIdentityUser – 已通过 Web 联合身份验证提供商发出请求。

principalId

已发出调用的实体的唯一标识符。

  • 对于 SAMLUser,这是 saml:namequalifiersaml:sub 密钥的组合。

  • 对于 WebIdentityUser,这是发布者、应用程序 ID 和用户 ID 的组合。

userName

已发出调用的身份的名称。

identityProvider

外部身份提供商的委托人名称。只有 SAMLUserWebIdentityUser 类型才显示此字段。

  • 对于 SAMLUser,这是 SAML 断言的 saml:namequalifier 密钥。

  • 对于 WebIdentityUser,这是 Web 联合身份验证提供商的发布者名称。它可以是您配置的提供商,如下所示:

    • Amazon Cognito 的 cognito-identity.amazon.com

    • Login with Amazon 的 www.amazon.com

    • Google 的 accounts.google.com

    • Facebook 的 graph.facebook.com

下面是 AssumeRoleWithWebIdentity 操作的示例 userIdentity 元素。

"userIdentity": { "type": "WebIdentityUser", "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id", "userName": "user-id", "identityProvider": "accounts.google.com" }

有关 SAMLUserWebIdentityUser 类型的 userIdentity 元素如何显示的示例日志,请参阅使用 AWS CloudTrail 记录 IAM 事件