Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

CloudTrail Élément UserIdentity

AWS Identity and Access Management (IAM) fournit différents types d'identités. L'élément userIdentity contient des détails sur le type d'identité IAM ayant effectué la demande, ainsi que les informations d'identification qui ont été utilisées. Si des informations d'identification temporaires ont été utilisées, l'élément montre comment ces informations d'identification ont été obtenues.

Exemples

userIdentity avec les informations d'identification d'utilisateur IAM

L'exemple suivant montre l'élément userIdentity d'une demande simple faite avec les informations d'identification de l'utilisateur IAM nommé Alice.

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity avec des informations d'identification de sécurité temporaires

L'exemple suivant présente un élément userIdentity pour une demande faite avec des informations d'identification de sécurité temporaires obtenues en assumant un rôle IAM. L'élément contient des détails supplémentaires concernant le rôle qui a été assumé pour obtenir des informations d'identification.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }    
    }
}

userIdentity pour une demande effectuée au nom d'un utilisateur IAM Identity Center

L'exemple suivant présente un élément userIdentity pour une demande faite au nom d'un utilisateur IAM Identity Center.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Pour en savoir plus sur la manière dont vous pouvez utiliseruserId, et identityStoreArncredentialId, voir Identification de l'utilisateur et de la session dans les événements initiés par CloudTrail l'utilisateur d'IAM Identity Center dans le guide de l'utilisateur d'IAM Identity Center.

Champs

Les champs suivants peuvent apparaître dans un élément userIdentity.

Valeurs AWS STS APIs associées à SAML et à la fédération d'identité Web

AWS CloudTrail prend en charge les appels d'API logging AWS Security Token Service (AWS STS) effectués avec le langage SAML (Security Assertion Markup Language) et la fédération d'identité Web. Lorsqu'un utilisateur appelle le AssumeRoleWithSAMLet AssumeRoleWithWebIdentity APIs, CloudTrail enregistre l'appel et transmet l'événement à votre compartiment Amazon S3.

L'userIdentityélément correspondant APIs contient les valeurs suivantes.

Voici un exemple d'élément userIdentity pour l'action AssumeRoleWithWebIdentity.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Par exemple, des journaux indiquant la façon dont l'userIdentityélément apparaît SAMLUser et ses WebIdentityUser types, consultez la section Journalisation des appels IAM et AWS STS API avec AWS CloudTrail.

AWS STS identité de la source

Un administrateur IAM peut configurer AWS Security Token Service pour exiger que les utilisateurs spécifient leur identité lorsqu'ils utilisent des informations d'identification temporaires pour assumer des rôles. Le champ sourceIdentity apparait dans les événements lorsque les utilisateurs assument un rôle IAM ou exécutent des actions avec le rôle assumé.

Le sourceIdentity identifie l'identité de l'utilisateur d'origine qui effectue la demande, si l'identité de cet utilisateur est un utilisateur IAM, un rôle IAM, un utilisateur authentifié à l'aide de la fédération basée sur SAML ou un utilisateur authentifié à l'aide de la fédération d'identités Web compatible OpenID Connect (OIDC). Une fois que l'administrateur IAM a configuré AWS STS, CloudTrail enregistre les sourceIdentity informations relatives aux événements et aux emplacements suivants dans l'enregistrement des événements :

Pour plus d'informations sur la façon de configurer AWS STS la collecte des informations d'identité source, consultez la section Surveillance et contrôle des actions entreprises avec des rôles assumés dans le Guide de l'utilisateur IAM. Pour plus d'informations sur les AWS STS événements auxquels vous êtes connecté CloudTrail, consultez la section Journalisation des appels IAM et AWS STS API AWS CloudTrail dans le guide de l'utilisateur IAM.

Les exemples suivants sont des extraits d'événements qui montrent la sourceIdentity.

Exemple de la section requestParameters

Dans l'exemple d'extrait d'événement suivant, un utilisateur fait une AWS STS AssumeRole demande et définit une identité source, représentée ici par. source-identity-value-set L'utilisateur assume un rôle représenté par le rôle ARN arn:aws:iam::123456789012:role/Assumed_Role. Le champ sourceIdentity se trouve dans le bloc requestParameters de l'événement.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

Exemple de la section responseElements

Dans l'exemple d'extrait d'événement suivant, un utilisateur AWS STS AssumeRole demande à assumer un rôle nommé Developer_Role et définit une identité source. Admin L'utilisateur assume un rôle représenté par le rôle ARN arn:aws:iam::111122223333:role/Developer_Role. Le champ sourceIdentity est affiché à la fois dans les blocs requestParameters et responseElements de l'événement. Les informations d'identification temporaires utilisées pour assumer le rôle, la chaîne de jeton de session, ainsi que l'ID de rôle assumé, le nom de session et l'ARN de session sont affichés dansle bloc responseElements, ainsi que l'identité source.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

Exemple de la section sessionContext

Dans l'exemple d'extrait d'événement suivant, un utilisateur assume un rôle nommé DevRole pour appeler une API de AWS service. L'utilisateur définit une identité source, représentée ici parsource-identity-value-set. Le champ sourceIdentity se trouve dans le bloc sessionContext, à l'intérieur du bloc userIdentity de l'événement.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}