Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Registro AWS Autoridad de certificación privada Llamadas a la API mediante AWS CloudTrail

AWS Autoridad de certificación privada está integrado con AWS CloudTrail un servicio que proporciona un registro de las acciones realizadas por un usuario, un rol o un AWS servicio en AWS Privada CA. CloudTrail captura las llamadas a la API y las operaciones de firma para AWS Privada CA convertirlas en eventos. Las llamadas capturadas incluyen llamadas desde la AWS Privada CA consola y llamadas de código a las operaciones de la AWS Privada CA API. Si crea un registro, puede habilitar la entrega continua de CloudTrail eventos a un bucket de Amazon S3, incluidos los eventos para AWS Privada CA. Si no configuras un registro, puedes seguir viendo los eventos más recientes en la CloudTrail consola, en el Historial de eventos. Con la información recopilada por CloudTrail, puedes determinar la solicitud a la que se hizo AWS Privada CA, la dirección IP desde la que se hizo la solicitud, quién la hizo, cuándo se hizo y otros detalles.

Para obtener más información CloudTrail, consulta la Guía AWS CloudTrail del usuario.

AWS Privada CA información en CloudTrail

CloudTrail está activado en tu Cuenta de AWS momento de crear la cuenta. Cuando se produce una actividad AWS Privada CA, esa actividad se registra en un CloudTrail evento junto con otros eventos de AWS servicio en el historial de eventos. Puedes ver, buscar y descargar los eventos recientes en tu Cuenta de AWS. Para obtener más información, consulta Visualización de eventos con el historial de CloudTrail eventos.

Para obtener un registro continuo de los eventos de tu Cuenta de AWS cuenta, incluidos los eventos de AWS Privada CA, crea una ruta. Un registro permite CloudTrail enviar archivos de registro a un bucket de Amazon S3. De forma predeterminada, cuando se crea un registro de seguimiento en la consola, el registro de seguimiento se aplica a todas las Regiones de AWS. El registro registra los eventos de todas las regiones de la AWS partición y envía los archivos de registro al bucket de Amazon S3 que usted especifique. Además, puede configurar otros AWS servicios para analizar más a fondo los datos de eventos recopilados en los CloudTrail registros y actuar en función de ellos. Para más información, consulte los siguientes temas:

Todas AWS Privada CA las acciones se registran CloudTrail y se documentan en la referencia de la AWS Privada CA API. Por ejemplo, las llamadas a la ImportCACertificate IssueCertificate y CreateAuditReport las acciones generan entradas en los archivos de CloudTrail registro.

Cada entrada de registro o evento contiene información sobre quién generó la solicitud. La información de identidad del usuario le ayuda a determinar lo siguiente:

Para obtener más información, consulte el elemento userIdentity de CloudTrail .

Para obtener información sobre cómo se CloudTrail distribuyen los eventos (incluidos los plazos de entrega, la durabilidad y la integración con otros AWS servicios), consulte Cómo obtener y ver los archivos de CloudTrail registro y el acuerdo de nivel de AWS CloudTrail servicio.

AWS Privada CA eventos de administración

AWS Privada CA se integra CloudTrail para registrar las acciones de la API realizadas por un usuario, un rol o un AWS servicio en AWS Privada CA. Se puede utilizar CloudTrail para supervisar las solicitudes de AWS Privada CA API en tiempo real y almacenar los registros en Amazon Simple Storage Service, Amazon CloudWatch Logs y Amazon CloudWatch Events. AWS Privada CA permite registrar las siguientes acciones y operaciones como eventos en archivos de CloudTrail registro:

Identificar al solicitante original

Cuando un servicio intermedio llama IssueCertificate en nombre de los usuarios finales o las cargas de trabajo, el CloudTrail evento registra la identidad de IAM del servicio intermedio en el userIdentity campo, no la del solicitante original.

Para rastrear la emisión del certificado hasta el solicitante original, el servicio intermedio puede propagar la información de identidad mediante los mecanismos de IAM estándar:

Estos atributos de identidad se registran en CloudTrail los eventos de todas las llamadas AWS de servicio, incluidas las operaciones de AWS Privada CA API.

AWS Privada CA eventos de servicio

Además de los eventos de administración registrados en las llamadas a la API, AWS Privada CA genera eventos de servicio que proporcionan visibilidad de las operaciones internas realizadas en su nombre. Estos eventos tienen un eventType registro AwsServiceEvent y se registran automáticamente en su CloudTrail ruta.

IssueCertificateDetails event

AWS Privada CA genera un IssueCertificateDetails evento cuando finaliza un intento de emisión de un certificado. El evento registra el resultado (si el certificado se emitió correctamente o no) y describe el proceso de emisión del certificado, incluyendo detalles como:

Cuando se emite un certificado desde una CA compartida, el evento se entrega tanto a la cuenta del propietario de la CA como a la del solicitante. En el caso de los intentos de emisión fallidos, el evento puede incluir el statusReason campo que explica la causa del error.

Ejemplo: emisión exitosa del certificado

El siguiente ejemplo muestra un IssueCertificateDetails evento para un certificado emitido correctamente.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "acm-pca.amazonaws.com"
    },
    "eventTime": "2026-08-10T15:27:20Z",
    "eventSource": "acm-pca.amazonaws.com",
    "eventName": "IssueCertificateDetails",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "acm-pca.amazonaws.com",
    "userAgent": "acm-pca.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "83fecbfe-7e3a-4a14-8968-c99ad2d30d39",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::CertificateAuthority",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::Certificate",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01/certificate/1a98eb0323009660dff81ac79ab4539e"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "serviceEventDetails": {
        "tbsCertificate": "MIIBZaADAgECAhAamOsDIwCWYN...",
        "issuerAuthorityKeyIdentifier": "16:E9:CC:B3:8A:DE:98:0F:10:BB:48:53:A4:1D:FD:A5:F2:EC:FE:5D",
        "issuerSerialNumber": "01",
        "issuerName": "CN=Example Intermediate CA",
        "subject": "CN=www.example.com",
        "serialNumber": "1A:98:EB:03:23:00:96:60:DF:F8:1A:C7:9A:B4:53:9E",
        "notBefore": "2026-08-10T14:27:20Z",
        "notAfter": "2026-08-17T15:27:20Z",
        "issuedAt": "2026-08-10T15:27:20Z",
        "templateArn": "arn:aws:acm-pca:::template/EndEntityCertificate/V1",
        "signingAlgorithm": "ECDSAWITHSHA256",
        "status": "ISSUED"
    },
    "eventCategory": "Management"
}

Ejemplo: error en la emisión del certificado

El siguiente ejemplo muestra un IssueCertificateDetails evento relacionado con un error en la emisión de un certificado. Cuando se produce un error en la emisión, el status campo es FAILED y el statusReason campo describe la causa. Los campos de validez (notBefore, ynotAfter) issuedAt se omiten porque no se emitió ningún certificado. Los campos derivados del certificado de TBS (tbsCertificate, subject issuerNameserialNumber, yissuerAuthorityKeyIdentifier) solo están presentes cuando el error se produjo después de AWS Privada CA generar el certificado de TBS.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "acm-pca.amazonaws.com"
    },
    "eventTime": "2026-08-10T15:27:20Z",
    "eventSource": "acm-pca.amazonaws.com",
    "eventName": "IssueCertificateDetails",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "acm-pca.amazonaws.com",
    "userAgent": "acm-pca.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "fedcba98-7654-3210-fedc-ba9876543210",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::CertificateAuthority",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::Certificate",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01/certificate/d6b81f1bf0563e97c29584a55c3ea553"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "serviceEventDetails": {
        "tbsCertificate": "MIIBZaADAgECAhAamOsDIwCWYN...",
        "issuerAuthorityKeyIdentifier": "16:E9:CC:B3:8A:DE:98:0F:10:BB:48:53:A4:1D:FD:A5:F2:EC:FE:5D",
        "issuerSerialNumber": "01",
        "issuerName": "CN=Example Intermediate CA",
        "subject": "CN=www.example.com",
        "serialNumber": "D6:B8:1F:1B:F0:56:3E:97:C2:95:84:A5:5C:3E:A5:53",
        "templateArn": "arn:aws:acm-pca:::template/EndEntityCertificate/V1",
        "signingAlgorithm": "ECDSAWITHSHA256",
        "status": "FAILED",
        "statusReason": "Name Constraints violation: DNS name not found in a permitted subtree."
    },
    "eventCategory": "Management"
}

En la siguiente tabla se describen los campos del serviceEventDetails objeto.

Ejemplo AWS Privada CA eventos

Un registro es una configuración que permite la entrega de eventos como archivos de registro a un bucket de Amazon S3 que usted especifique. CloudTrail Los archivos de registro contienen una o más entradas de registro. Un evento representa una única solicitud de cualquier fuente e incluye información sobre la acción solicitada, la fecha y la hora de la acción, los parámetros de la solicitud, etc. CloudTrail los archivos de registro no son un seguimiento ordenado de las llamadas a la API pública, por lo que no aparecen en ningún orden específico.

Los siguientes son ejemplos de AWS Privada CA CloudTrail eventos.

Ejemplo 1: evento de gestión, IssueCertificate

El siguiente ejemplo muestra una entrada de CloudTrail registro que demuestra la IssueCertificate acción.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Certificate Issuance",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:57:46Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "arn:aws:acm-pca:region:account:certificate-authority/CA_ID/certificate/certificate_ID"
   ],
   "detail":{
      "result":"success"
   }
}

Ejemplo 2: evento de administración, ImportCertificateAuthorityCertificate

El siguiente ejemplo muestra una entrada de CloudTrail registro que demuestra la ImportCertificateAuthorityCertificate acción.

{
   "eventVersion":"1.05",
   "userIdentity":{
      "type":"IAMUser",
      "principalId":"account",
      "arn":"arn:aws:iam::account:user/name",
      "accountId":"account",
      "accessKeyId":"key_ID"
   },
   "eventTime":"2018-01-26T21:53:28Z",
   "eventSource":"acm-pca.amazonaws.com",
   "eventName":"ImportCertificateAuthorityCertificate",
   "awsRegion":"region",
   "sourceIPAddress":"IP_address",
   "userAgent":"agent",
   "requestParameters":{
      "certificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "certificate":{
         "hb":[
            45,
            45,
            ...10
         ],
         "offset":0,
         "isReadOnly":false,
         "bigEndian":true,
         "nativeByteOrder":false,
         "mark":-1,
         "position":1257,
         "limit":1257,
         "capacity":1257,
         "address":0
      },
      "certificateChain":{
         "hb":[
            45,
            45,
            ...10
         ],
         "offset":0,
         "isReadOnly":false,
         "bigEndian":true,
         "nativeByteOrder":false,
         "mark":-1,
         "position":1139,
         "limit":1139,
         "capacity":1139,
         "address":0
      }
   },
   "responseElements":null,
   "requestID":"request_ID",
   "eventID":"event_ID",
   "eventType":"AwsApiCall",
   "recipientAccountId":"account"
}