Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Grundlegendes zu IAM Identity Center-Anmeldeereignissen
AWS CloudTrail zeichnet erfolgreiche und erfolglose Anmeldeereignisse für alle IAM Identity Center-Identitätsquellen auf. Identitäten aus IAM Identity Center und Active Directory (AD Connector und AWS Managed Microsoft AD) enthalten zusätzliche Anmeldeereignisse, die jedes Mal erfasst werden, wenn ein Benutzer aufgefordert wird, eine bestimmte Herausforderung oder einen bestimmten Faktor zu lösen, zusätzlich zum Status dieser speziellen Anforderung zur Überprüfung der Anmeldeinformationen. Erst wenn ein Benutzer alle erforderlichen Anforderungen an die Anmeldeinformationen abgeschlossen hat, wird er angemeldet, was dazu führt, dass ein Ereignis protokolliert wird. UserAuthentication
In der folgenden Tabelle sind die Namen der einzelnen IAM Identity CloudTrail Center-Anmeldeereignisse, ihr Zweck und ihre Anwendbarkeit auf verschiedene Identitätsquellen aufgeführt.
| Ereignisname | Zweck des Ereignisses | Anwendbarkeit der Identitätsquelle |
|---|---|---|
CredentialChallenge |
Wird verwendet, um zu benachrichtigen, dass IAM Identity Center den Benutzer aufgefordert hat, eine bestimmte Herausforderung bei den Anmeldeinformationen zu lösen, und gibt anCredentialType, welche Anforderung erforderlich war (z. B. PASSWORD oder TOTP). |
Systemeigene IAM Identity Center-Benutzer, AD Connector und AWS Managed Microsoft AD |
CredentialVerification |
Wird verwendet, um zu benachrichtigen, dass der Benutzer versucht hat, eine bestimmte CredentialChallenge Anfrage zu lösen, und gibt an, ob die Anmeldeinformationen erfolgreich waren oder fehlgeschlagen sind. |
Systemeigene IAM Identity Center-Benutzer, AD Connector und AWS Managed Microsoft AD |
UserAuthentication |
Wird verwendet, um zu benachrichtigen, dass alle Authentifizierungsanforderungen, mit denen der Benutzer konfrontiert wurde, erfolgreich erfüllt wurden und dass der Benutzer erfolgreich angemeldet wurde. Wenn Benutzer die erforderlichen Anmeldeinformationsanforderungen nicht erfolgreich abschließen, wird kein UserAuthentication Ereignis protokolliert. |
Alle Identitätsquellen |
In der folgenden Tabelle sind zusätzliche nützliche Ereignisdatenfelder aufgeführt, die in bestimmten CloudTrail Anmeldeereignissen enthalten sind.
| Feld | Zweck des Ereignisses | Sign-in Anwendbarkeit von Ereignissen | Beispielwerte |
|---|---|---|---|
AuthWorkflowID |
Wird verwendet, um alle Ereignisse zu korrelieren, die über eine gesamte Anmeldesequenz ausgegeben wurden. Bei jeder Benutzeranmeldung können mehrere Ereignisse vom IAM Identity Center ausgelöst werden. | CredentialChallenge, CredentialVerification,
UserAuthentication |
„AuthWorkflowID“: „9de74b32-8362-4a01-a524-de21df59fd83" |
CredentialType |
Wird verwendet, um die Anmeldeinformationen oder Faktoren anzugeben, die angefochten wurden. UserAuthenticationEreignisse umfassen alle CredentialType Werte, die in der Anmeldesequenz des Benutzers erfolgreich verifiziert wurden. |
CredentialChallenge, CredentialVerification,
UserAuthentication |
CredentialType„: „PASSWORD“ oder "„: CredentialType „PASSWORD, TOTP“ (zu den möglichen Werten gehören: PASSWORD, TOTP, WEBAUTHN, EXTERNAL_IDP, RESYNC_TOTP, EMAIL_OTP) |
DeviceEnrollmentRequired |
Wird verwendet, um anzugeben, dass der Benutzer bei der Anmeldung ein MFA-Gerät registrieren musste und dass der Benutzer diese Anfrage erfolgreich abgeschlossen hat. | UserAuthentication |
"DeviceEnrollmentRequired„: „wahr“ |
LoginTo |
Wird verwendet, um den Ort der Weiterleitung nach einer erfolgreichen Anmeldesequenz anzugeben. | UserAuthentication |
"LoginTo": "https://mydirectory.awsapps.com/start/....." |
CloudTrail Ereignisse in den Anmeldeabläufen von IAM Identity Center
Das folgende Diagramm beschreibt den Anmeldeablauf und die ausgehenden CloudTrail Ereignisse. Sign-in
Das Diagramm zeigt einen Kennwortanmeldeablauf und einen Verbundanmeldeablauf.
Der Ablauf der Passwortanmeldung, der aus den Schritten 1—8 besteht, veranschaulicht die Schritte bei der Anmeldung mit Benutzername und Passwort. IAM Identity Center wird userIdentity.additionalEventData.CredentialType auf "PASSWORD" gesetzt, und IAM Identity Center durchläuft den Abfrage-Antwort-Zyklus für Anmeldeinformationen und versucht es bei Bedarf erneut.
Die Anzahl der Schritte hängt von der Art der Anmeldung und dem Vorhandensein der Multifaktor-Authentifizierung (MFA) ab. Der anfängliche Vorgang führt zu drei oder fünf CloudTrail Ereignissen, bei denen die Sequenz für eine erfolgreiche Authentifizierung UserAuthentication beendet wird. Erfolglose Versuche zur Kennwortauthentifizierung führen zu weiteren CloudTrail Ereignissen, da das IAM Identity Center erneut CredentialChallenge eine reguläre Authentifizierung oder, falls aktiviert, eine MFA-Authentifizierung durchführt.
Der Ablauf der Passwortanmeldung deckt auch das Szenario ab, in dem sich ein IAM Identity Center-Benutzer, der mit einem CreateUser API-Aufruf neu erstellt wurde, mit einem Einmalkennwort (OTP) anmeldet. Der Anmeldeinformationstyp in diesem Szenario ist „“. EMAIL_OTP
Der Verbundanmeldeablauf, der aus den Schritten 1a, 2a und 8 besteht, veranschaulicht die wichtigsten Schritte während des Verbundauthentifizierungsprozesses, bei dem eine SAML-Assertion von einem Identitätsanbieter bereitgestellt, vom IAM Identity Center validiert wird und im Erfolgsfall zu folgenden Ergebnissen führt. UserAuthentication IAM Identity Center ruft die interne MFA-Authentifizierungssequenz in den Schritten 3 bis 7 nicht auf, da ein externer, verbundener Identitätsanbieter für die gesamte Authentifizierung der Benutzeranmeldeinformationen verantwortlich ist.
