Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Logging Autorité de certification privée AWS Appels d'API utilisant AWS CloudTrail

Autorité de certification privée AWS est intégré à AWS CloudTrail un service qui fournit un enregistrement des actions entreprises par un utilisateur, un rôle ou un AWS service dans CA privée AWS. CloudTrail capture les appels d'API et les opérations de signature pour les événements CA privée AWS en tant que. Les appels capturés incluent les appels depuis la CA privée AWS console et les appels de code vers les opérations de l' CA privée AWS API. Si vous créez un historique, vous pouvez activer la diffusion continue d' CloudTrail événements vers un compartiment Amazon S3, y compris des événements pour CA privée AWS. Si vous ne configurez pas de suivi, vous pouvez toujours consulter les événements les plus récents sur la CloudTrail console dans l'historique des événements. À l'aide des informations collectées par CloudTrail, vous pouvez déterminer la demande qui a été faite CA privée AWS, l'adresse IP à partir de laquelle la demande a été faite, qui a fait la demande, quand elle a été faite et des informations supplémentaires.

Pour en savoir plus CloudTrail, consultez le Guide de AWS CloudTrail l'utilisateur.

CA privée AWS informations dans CloudTrail

CloudTrail est activé Compte AWS lors de la création de votre compte. Lorsqu'une activité se produit CA privée AWS, cette activité est enregistrée dans un CloudTrail événement avec les autres événements de AWS service dans l'historique des événements. Vous pouvez consulter, rechercher et télécharger les événements récents dans votre Compte AWS. Pour plus d'informations, consultez la section Affichage des événements avec l'historique des CloudTrail événements.

Pour un enregistrement continu des événements qui vous concernent Compte AWS, y compris ceux qui vous CA privée AWS concernent, créez un historique. Un journal permet CloudTrail de transmettre des fichiers journaux à un compartiment Amazon S3. Par défaut, lorsque vous créez un journal d’activité dans la console, il s’applique à toutes les régions Régions AWS. Le journal enregistre les événements de toutes les régions de la AWS partition et transmet les fichiers journaux au compartiment Amazon S3 que vous spécifiez. En outre, vous pouvez configurer d'autres AWS services pour analyser plus en profondeur les données d'événements collectées dans les CloudTrail journaux et y donner suite. Pour plus d’informations, consultez les ressources suivantes :

Toutes les CA privée AWS actions sont enregistrées CloudTrail et documentées dans la référence de l'CA privée AWS API. Par exemple, les appels aux ImportCACertificate CreateAuditReport actions IssueCertificate et les actions génèrent des entrées dans les fichiers CloudTrail journaux.

Chaque événement ou entrée de journal contient des informations sur la personne ayant initié la demande. Les informations relatives à l’identité permettent de déterminer les éléments suivants :

Pour de plus amples informations, veuillez consulter l'élément userIdentity CloudTrail .

Pour plus d'informations sur la CloudTrail manière dont les événements sont gérés, notamment les délais de livraison, la durabilité et l'intégration avec d'autres AWS services, consultez la section Obtention et consultation de vos fichiers CloudTrail journaux et le contrat de niveau de AWS CloudTrail service.

CA privée AWS événements de gestion

CA privée AWS s'intègre CloudTrail pour enregistrer les actions d'API effectuées par un utilisateur, un rôle ou un AWS service dans CA privée AWS. Vous pouvez l'utiliser CloudTrail pour surveiller les demandes d' CA privée AWS API en temps réel et stocker les journaux dans Amazon Simple Storage Service, Amazon CloudWatch Logs et Amazon CloudWatch Events. CA privée AWS prend en charge la journalisation des actions et opérations suivantes en tant qu'événements dans les fichiers CloudTrail journaux :

Identification du demandeur initial

Lorsqu'un service intermédiaire appelle pour IssueCertificate le compte d'utilisateurs finaux ou de charges de travail, l' CloudTrail événement enregistre l'identité IAM du service intermédiaire sur le userIdentity terrain, et non celle du demandeur d'origine.

Pour retracer l'émission du certificat jusqu'au demandeur d'origine, le service intermédiaire peut propager les informations d'identité à l'aide de mécanismes IAM standard :

Ces attributs d'identité sont enregistrés dans les CloudTrail événements de tous les appels AWS de service, y compris les opérations CA privée AWS d'API.

CA privée AWS événements de service

Outre les événements de gestion enregistrés à partir des appels d'API, CA privée AWS génère des événements de service qui fournissent une visibilité sur les opérations internes effectuées pour votre compte. Ces événements sont enregistrés AwsServiceEvent et enregistrés automatiquement dans votre CloudTrail parcours. eventType

IssueCertificateDetails event

CA privée AWS génère un IssueCertificateDetails événement lorsqu'une tentative d'émission de certificat est terminée. L'événement enregistre le résultat (si le certificat a été émis avec succès ou si l'émission a échoué) et décrit le processus d'émission du certificat, y compris des détails tels que :

Lorsqu'un certificat est émis par une autorité de certification partagée, l'événement est diffusé à la fois sur le compte du propriétaire de l'autorité de certification et sur le compte du demandeur. En cas d'échec des tentatives d'émission, l'événement peut inclure le statusReason champ expliquant la cause de l'échec.

Exemple : émission réussie d'un certificat

L'exemple suivant montre un IssueCertificateDetails événement pour un certificat émis avec succès.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "acm-pca.amazonaws.com"
    },
    "eventTime": "2026-08-10T15:27:20Z",
    "eventSource": "acm-pca.amazonaws.com",
    "eventName": "IssueCertificateDetails",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "acm-pca.amazonaws.com",
    "userAgent": "acm-pca.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "83fecbfe-7e3a-4a14-8968-c99ad2d30d39",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::CertificateAuthority",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::Certificate",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01/certificate/1a98eb0323009660dff81ac79ab4539e"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "serviceEventDetails": {
        "tbsCertificate": "MIIBZaADAgECAhAamOsDIwCWYN...",
        "issuerAuthorityKeyIdentifier": "16:E9:CC:B3:8A:DE:98:0F:10:BB:48:53:A4:1D:FD:A5:F2:EC:FE:5D",
        "issuerSerialNumber": "01",
        "issuerName": "CN=Example Intermediate CA",
        "subject": "CN=www.example.com",
        "serialNumber": "1A:98:EB:03:23:00:96:60:DF:F8:1A:C7:9A:B4:53:9E",
        "notBefore": "2026-08-10T14:27:20Z",
        "notAfter": "2026-08-17T15:27:20Z",
        "issuedAt": "2026-08-10T15:27:20Z",
        "templateArn": "arn:aws:acm-pca:::template/EndEntityCertificate/V1",
        "signingAlgorithm": "ECDSAWITHSHA256",
        "status": "ISSUED"
    },
    "eventCategory": "Management"
}

Exemple : échec de l'émission du certificat

L'exemple suivant montre un IssueCertificateDetails événement lié à l'échec de l'émission d'un certificat. En cas d'échec d'émission, le status champ est valide FAILED et le statusReason champ décrit la cause. Les champs de validité (notBefore,notAfter) et issuedAt sont omis car aucun certificat n'a été émis. Les champs dérivés du certificat TBS (tbsCertificate,, subject issuerNameserialNumber, etissuerAuthorityKeyIdentifier) ne sont présents que lorsque l'échec s'est produit après la CA privée AWS génération du certificat TBS.

{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "acm-pca.amazonaws.com"
    },
    "eventTime": "2026-08-10T15:27:20Z",
    "eventSource": "acm-pca.amazonaws.com",
    "eventName": "IssueCertificateDetails",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "acm-pca.amazonaws.com",
    "userAgent": "acm-pca.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "fedcba98-7654-3210-fedc-ba9876543210",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::CertificateAuthority",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::Certificate",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01/certificate/d6b81f1bf0563e97c29584a55c3ea553"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "serviceEventDetails": {
        "tbsCertificate": "MIIBZaADAgECAhAamOsDIwCWYN...",
        "issuerAuthorityKeyIdentifier": "16:E9:CC:B3:8A:DE:98:0F:10:BB:48:53:A4:1D:FD:A5:F2:EC:FE:5D",
        "issuerSerialNumber": "01",
        "issuerName": "CN=Example Intermediate CA",
        "subject": "CN=www.example.com",
        "serialNumber": "D6:B8:1F:1B:F0:56:3E:97:C2:95:84:A5:5C:3E:A5:53",
        "templateArn": "arn:aws:acm-pca:::template/EndEntityCertificate/V1",
        "signingAlgorithm": "ECDSAWITHSHA256",
        "status": "FAILED",
        "statusReason": "Name Constraints violation: DNS name not found in a permitted subtree."
    },
    "eventCategory": "Management"
}

Le tableau suivant décrit les champs de l'serviceEventDetailsobjet.

Exemple CA privée AWS events

Un journal est une configuration qui permet de transmettre des événements sous forme de fichiers journaux à un compartiment Amazon S3 que vous spécifiez. CloudTrail les fichiers journaux contiennent une ou plusieurs entrées de journal. Un événement représente une demande unique provenant de n'importe quelle source et inclut des informations sur l'action demandée, la date et l'heure de l'action, les paramètres de la demande, etc. CloudTrail les fichiers journaux ne sont pas une pile ordonnée des appels d'API publics, ils n'apparaissent donc pas dans un ordre spécifique.

Voici des exemples d' CA privée AWS CloudTrail événements.

Exemple 1 : événement de gestion, IssueCertificate

L'exemple suivant montre une entrée de CloudTrail journal qui illustre l'IssueCertificateaction.

{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Certificate Issuance",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:57:46Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "arn:aws:acm-pca:region:account:certificate-authority/CA_ID/certificate/certificate_ID"
   ],
   "detail":{
      "result":"success"
   }
}

Exemple 2 : événement de gestion, ImportCertificateAuthorityCertificate

L'exemple suivant montre une entrée de CloudTrail journal qui illustre l'ImportCertificateAuthorityCertificateaction.

{
   "eventVersion":"1.05",
   "userIdentity":{
      "type":"IAMUser",
      "principalId":"account",
      "arn":"arn:aws:iam::account:user/name",
      "accountId":"account",
      "accessKeyId":"key_ID"
   },
   "eventTime":"2018-01-26T21:53:28Z",
   "eventSource":"acm-pca.amazonaws.com",
   "eventName":"ImportCertificateAuthorityCertificate",
   "awsRegion":"region",
   "sourceIPAddress":"IP_address",
   "userAgent":"agent",
   "requestParameters":{
      "certificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "certificate":{
         "hb":[
            45,
            45,
            ...10
         ],
         "offset":0,
         "isReadOnly":false,
         "bigEndian":true,
         "nativeByteOrder":false,
         "mark":-1,
         "position":1257,
         "limit":1257,
         "capacity":1257,
         "address":0
      },
      "certificateChain":{
         "hb":[
            45,
            45,
            ...10
         ],
         "offset":0,
         "isReadOnly":false,
         "bigEndian":true,
         "nativeByteOrder":false,
         "mark":-1,
         "position":1139,
         "limit":1139,
         "capacity":1139,
         "address":0
      }
   },
   "responseElements":null,
   "requestID":"request_ID",
   "eventID":"event_ID",
   "eventType":"AwsApiCall",
   "recipientAccountId":"account"
}