AWS Private CA informasi di CloudTrail AWS Private CA acara manajemen Mengidentifikasi pemohon asli AWS Private CA acara layanan Contoh AWS Private CA peristiwa

Pencatatan log AWS Private Certificate Authority Panggilan API menggunakan AWS CloudTrail

AWS Private Certificate Authority terintegrasi dengan AWS CloudTrail, layanan yang menyediakan catatan tindakan yang diambil oleh pengguna, peran, atau AWS layanan di AWS Private CA. CloudTrail menangkap panggilan API dan operasi penandatanganan untuk acara AWS Private CA as. Panggilan yang ditangkap termasuk panggilan dari AWS Private CA konsol dan panggilan kode AWS Private CA ke operasi API. Jika Anda membuat jejak, Anda dapat mengaktifkan pengiriman CloudTrail acara secara terus menerus ke bucket Amazon S3, termasuk acara untuk AWS Private CA. Jika Anda tidak mengonfigurasi jejak, Anda masih dapat melihat peristiwa terbaru di CloudTrail konsol di Ri wayat acara. Dengan menggunakan informasi yang dikumpulkan oleh CloudTrail, Anda dapat menentukan permintaan yang dibuat AWS Private CA, alamat IP dari mana permintaan dibuat, siapa yang membuat permintaan, kapan itu dibuat, dan detail tambahan.

Untuk mempelajari selengkap CloudTrail nya, lihat Panduan AWS CloudTrail Pengguna.

AWS Private CA informasi di CloudTrail

CloudTrail diaktifkan pada Anda Akun AWS saat Anda membuat akun. Ketika aktivitas terjadi di AWS Private CA, aktivitas tersebut dicatat dalam suatu CloudTrail peristiwa bersama dengan peristiwa AWS layanan lainnya di ri wayat acara. Anda dapat melihat, mencari, dan mengunduh acara terbaru di Akun AWS. Untuk informasi selengkapnya, lihat Melihat acara dengan CloudTrail riwayat acara.

Untuk catatan acara yang berkelanjutan di Anda Akun AWS, termasuk acara untuk AWS Private CA, buat jejak. Jej ak CloudTrail memungkinkan pengiriman file log ke bucket Amazon S3. Secara default, saat Anda membuat jejak di konsol, jejak tersebut berlaku untuk semua Wilayah AWS. Jejak mencatat peristiwa dari semua Wilayah di AWS partisi dan mengirimkan file log ke bucket Amazon S3 yang Anda tentukan. Selain itu, Anda dapat mengonfigurasi AWS layanan lain untuk menganalisis lebih lanjut dan bertindak berdasarkan data peristiwa yang dikumpulkan dalam CloudTrail log. Untuk informasi selengkapnya, lihat berikut:

Semua AWS Private CA tindakan dicatat oleh CloudTrail dan didokumentasikan dalam referensi AWS Private CA API. Misalnya, panggilan keImportCACertificate, IssueCertificate dan CreateAuditReport tindakan menghasilkan entri dalam file CloudTrail log.

Setiap entri peristiwa atau log berisi informasi tentang entitas yang membuat permintaan tersebut. Informasi identitas membantu Anda menentukan hal berikut ini:

Apakah permintaan dibuat dengan kredenSIAL pengguna root atau AWS Identity and Access Management (IAM).
Apakah permintaan tersebut dibuat dengan kredensial keamanan sementara untuk satu peran atau pengguna gabungan.
Apakah permintaan itu dibuat oleh AWS layanan lain.

Untuk informasi selengkapnya, lihat Elemen userIdentity CloudTrail .

catatan

Anda dapat mengonfigurasi CloudTrail jejak Anda untuk mengirimkan acara ke Amazon CloudWatch Logs selain Amazon S3. Saat dikonfigurasi, CloudWatch Log menerima AWS Private CA peristiwa yang sama yang dikirimkan ke bucket S3 Anda. AWS Private CA tidak menerbitkan acara langsung ke CloudWatch Log. Untuk informasi selengkapnya, lihat Mengi rim acara ke CloudWatch Log di Panduan AWS CloudTrail Pengguna.

Untuk informasi tentang cara CloudTrail menyampaikan acara — termasuk waktu pengiriman, daya tahan, dan integrasi dengan AWS layanan lain — lihat M endapatkan dan melihat file CloudTrail log Anda dan AWS CloudTrail Perjanjian Tingkat Layanan.

AWS Private CA acara manajemen

AWS Private CA terintegrasi dengan CloudTrail untuk merekam tindakan API yang dibuat oleh pengguna, peran, atau AWS layanan di AWS Private CA. Anda dapat menggunakannya CloudTrail untuk memantau permintaan AWS Private CA API secara real time dan menyimpan log di Amazon Simple Storage Service, Amazon CloudWatch Logs, dan Amazon Ev CloudWatch ents. AWS Private CA mendukung pencatatan tindakan dan operasi berikut sebagai peristiwa dalam file CloudTrail log:

CreateCertificateAuthority
CreateCertificateAuthorityAuditReport
CreatePermission
DeleteCertificateAuthority
DeletePermission
DeletePolicy
DescribeCertificateAuthority
DescribeCertificateAuthorityReport
GetCertificate
GetCertificateAuthorityCertificate
GetCertificateAuthorityCsr
GetPolicy
ImportCertificateAuthorityCertificate
IssueCertificate
ListCertificateAuthorities
ListPermissions
ListTags
PutPolicy
RestoreCertificateAuthority
RevokeCertificate
TagCertificateAuthority
UntagCertificateAuthority
UpdateCertificateAuthority
GenerateOCSPResponse- Dipicu saat AWS Private CA menghasilkan respons OCSP.
IssueCertificateDetails— Dibuat saat AWS Private CA menyelesaikan upaya penerbitan sertifikat (berhasil atau gagal). Berisi metadata sertifikat termasuk sertifikat TBS, algoritma penandatanganan, masa berlaku, dan status penerbitan. Ketika sertifikat dikeluarkan dari CA bersama, peristiwa ini dikirimkan ke akun pemilik CA dan akun pemohon.
SignCertificate- Dibuat saat klien Anda menelepon IssueCertificate.
SignOCSPResponse- Dibuat saat AWS Private CA menandatangani respons OCSP.
GenerateCRL- Dibuat saat AWS Private CA menghasilkan daftar pencabutan sertifikat (CRL).
SignCACSR- Dibuat saat AWS Private CA menandatangani permintaan penandatanganan sertifikat otoritas sertifikat (CA) (CSR).
SignCRL- Dibuat saat AWS Private CA menandatangani CRL.

catatan

CloudTrail menyediakan aliran peristiwa real-time dari panggilan API dan operasi penandatanganan. Untuk inventaris point-in-time lengkap dari semua sertifikat yang telah dikeluarkan atau dicabut CA pribadi Anda, termasuk tanggal validitas dan status pencabutan, lihat. Gunakan laporan audit dengan CA pribadi Anda

Mengidentifikasi pemohon asli

Ketika layanan perantara memang IssueCertificate gil atas nama pengguna akhir atau beban kerja, CloudTrail peristiwa mencatat identitas IAM layanan perantara di userIdentity lapangan — bukan pemohon asli.

Untuk melacak penerbitan sertifikat kembali ke pemohon asli, layanan perantara dapat menyebarkan informasi identitas menggunakan mekanisme IAM standar:

Tag sesi — Layanan perantara meneruskan informasi identifikasi (seperti ID pemohon asli) sebagai tag sesi saat mengambil peran IAM melalui. AWS STS Tag ini muncul di userIdentity blok CloudTrail acara di bawahsessionContext. Untuk informasi selengkapnya, lihat Meneruskan tag sesi di AWS STS.
Identitas sumber — Layanan perantara menetapkan identitas sumber ketika mengambil perannya. Identitas sumber tidak dapat diubah di seluruh rantai peran dan muncul sebagai. CloudTrail sourceIdentity Untuk informasi selengkapnya, lihat Meman tau dan mengendalikan tindakan yang diambil dengan peran yang diasumsikan.
Peran IAM Anywhere — Jika beban kerja panggilan diautentikasi dengan X.509 sertifikat melalui IAM Roles Anywhere, bidang Subjek, Penerbit, dan Nama Alternatif Subjek (SAN) sertifikat secara otomatis dipetakan ke tag utama sesi. Misalnya, ID SPIFFE di SAN muncul sebagaiaws:PrincipalTag/x509SAN/URI. Untuk informasi selengkapnya, lihat Model kepercayaan IAM Roles Anywhere.

Atribut identitas ini direkam dalam CloudTrail peristiwa untuk semua panggilan AWS layanan, termasuk operasi AWS Private CA API.

AWS Private CA acara layanan

Selain peristiwa manajemen yang direkam dari panggilan API, AWS Private CA menghasilkan peristiwa layanan yang memberikan visibilitas ke dalam operasi internal yang dilakukan atas nama Anda. Peristiwa ini memiliki eventType AwsServiceEvent dan dicatat secara otomatis ke CloudTrail jejak Anda.

Kejadian `IssueCertificateDetails`

AWS Private CA menghasilkan IssueCertificateDetails peristiwa ketika upaya penerbitan sertifikat selesai. Acara mencatat hasilnya — apakah sertifikat berhasil dikeluarkan atau penerbitan gagal — dan menjelaskan proses penerbitan sertifikat, termasuk rincian seperti:

Struktur sertifikat TBS (yang akan ditandatangani) (DER berkode base64)
Nama CA penerbit, pengenal kunci otoritas, dan nomor seri
Nomor seri, subjek, dan masa berlaku sertifikat yang dikeluarkan
Algoritma penandatanganan dan template yang digunakan
Status penerbitan dengan alasan kegagalan bila berlaku

Ketika sertifikat dikeluarkan dari CA bersama, acara dikirimkan ke akun pemilik CA dan akun pemohon. Untuk upaya penerbitan yang gagal, acara mungkin menyer statusReason takan bidang yang menjelaskan penyebab kegagalan.

catatan

A IssueCertificateDetails cara ini melengkapi SignCertificate acara yang ada dengan memberikan metadata tambahan tentang penerbitan, termasuk rincian kegagalan dan konten sertifikat TBS lengkap.

Contoh: Penerbitan sertifikat yang berhasil

Contoh berikut menunjukkan IssueCertificateDetails peristiwa untuk sertifikat yang berhasil dikeluarkan.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "acm-pca.amazonaws.com"
    },
    "eventTime": "2026-08-10T15:27:20Z",
    "eventSource": "acm-pca.amazonaws.com",
    "eventName": "IssueCertificateDetails",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "acm-pca.amazonaws.com",
    "userAgent": "acm-pca.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "83fecbfe-7e3a-4a14-8968-c99ad2d30d39",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::CertificateAuthority",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::Certificate",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01/certificate/1a98eb0323009660dff81ac79ab4539e"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "serviceEventDetails": {
        "tbsCertificate": "MIIBZaADAgECAhAamOsDIwCWYN...",
        "issuerAuthorityKeyIdentifier": "16:E9:CC:B3:8A:DE:98:0F:10:BB:48:53:A4:1D:FD:A5:F2:EC:FE:5D",
        "issuerSerialNumber": "01",
        "issuerName": "CN=Example Intermediate CA",
        "subject": "CN=www.example.com",
        "serialNumber": "1A:98:EB:03:23:00:96:60:DF:F8:1A:C7:9A:B4:53:9E",
        "notBefore": "2026-08-10T14:27:20Z",
        "notAfter": "2026-08-17T15:27:20Z",
        "issuedAt": "2026-08-10T15:27:20Z",
        "templateArn": "arn:aws:acm-pca:::template/EndEntityCertificate/V1",
        "signingAlgorithm": "ECDSAWITHSHA256",
        "status": "ISSUED"
    },
    "eventCategory": "Management"
}

Contoh: Penerbitan sertifikat gagal

Contoh berikut menunjukkan IssueCertificateDetails peristiwa untuk penerbitan sertifikat yang gagal. Ketika penerbitan gagal, status bidang tersebut FAILED dan statusReason bidang menjelaskan penyebabnya. Bidang validitas (notBefore,notAfter) dan issuedAt dihilangkan karena tidak ada sertifikat yang dikeluarkan. Bidang yang berasal dari sertifikat TBS (tbsCertificatesubject,issuerName,serialNumber,, danissuerAuthorityKeyIdentifier) hanya ada ketika kegagalan terjadi setelah AWS Private CA menghasilkan sertifikat TBS.


{
    "eventVersion": "1.11",
    "userIdentity": {
        "accountId": "111122223333",
        "invokedBy": "acm-pca.amazonaws.com"
    },
    "eventTime": "2026-08-10T15:27:20Z",
    "eventSource": "acm-pca.amazonaws.com",
    "eventName": "IssueCertificateDetails",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "acm-pca.amazonaws.com",
    "userAgent": "acm-pca.amazonaws.com",
    "requestParameters": null,
    "responseElements": null,
    "eventID": "fedcba98-7654-3210-fedc-ba9876543210",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::CertificateAuthority",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01"
        },
        {
            "accountId": "111122223333",
            "type": "AWS::ACMPCA::Certificate",
            "ARN": "arn:aws:acm-pca:us-west-2:111122223333:certificate-authority/9bb0e8f5-b024-4517-b0bb-e886cb34ac01/certificate/d6b81f1bf0563e97c29584a55c3ea553"
        }
    ],
    "eventType": "AwsServiceEvent",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "serviceEventDetails": {
        "tbsCertificate": "MIIBZaADAgECAhAamOsDIwCWYN...",
        "issuerAuthorityKeyIdentifier": "16:E9:CC:B3:8A:DE:98:0F:10:BB:48:53:A4:1D:FD:A5:F2:EC:FE:5D",
        "issuerSerialNumber": "01",
        "issuerName": "CN=Example Intermediate CA",
        "subject": "CN=www.example.com",
        "serialNumber": "D6:B8:1F:1B:F0:56:3E:97:C2:95:84:A5:5C:3E:A5:53",
        "templateArn": "arn:aws:acm-pca:::template/EndEntityCertificate/V1",
        "signingAlgorithm": "ECDSAWITHSHA256",
        "status": "FAILED",
        "statusReason": "Name Constraints violation: DNS name not found in a permitted subtree."
    },
    "eventCategory": "Management"
}

Tabel berikut menjelaskan bidang dalam serviceEventDetails objek.

Bidang	Deskripsi
`tbsCertificate`	Representasi DER yang dikodekan base64 dari struktur sertifikat TBS (yang akan ditandatangani). Berisi informasi yang sama yang muncul dalam sertifikat yang dikeluarkan. Untuk penerbitan yang gagal, tunjukkan hanya jika kegagalan terjadi setelah sertifikat TBS dibuat.
`issuerAuthorityKeyIdentifier`	Pengidentifikasi kunci otoritas dari CA penerbit, diekstrak dari ekstensi sertifikat TBS dan diformat sebagai byte heksadesimal yang dipisahkan titik dua. Dihilangkan ketika sertifikat tidak menyertakan ekstensi pengenal kunci otoritas (misalnya, sertifikat CA root yang ditandatangani sendiri), dan untuk penerbitan yang gagal jika kegagalan terjadi sebelum sertifikat TBS dibuat.
`issuerSerialNumber`	Nomor seri sertifikat CA penerbit, diformat sebagai byte heksadesimal yang dipisahkan titik dua. Dihilangkan saat sertifikat CA tidak tersedia.
`issuerName`	Nama yang dibedakan (DN) dari CA penerbit, dari sertifikat TBS. Untuk penerbitan yang gagal, tunjukkan hanya jika kegagalan terjadi setelah sertifikat TBS dibuat.
`subject`	Nama yang dibedakan (DN) dari subjek sertifikat, dari sertifikat TBS. Untuk penerbitan yang gagal, tunjukkan hanya jika kegagalan terjadi setelah sertifikat TBS dibuat.
`serialNumber`	Nomor seri sertifikat, diformat sebagai byte heksadesimal yang dipisahkan titik dua. Untuk penerbitan yang gagal, tunjukkan hanya jika kegagalan terjadi setelah sertifikat TBS dibuat.
`notBefore`	Awal periode validitas sertifikat dalam format ISO 8601. Dihilangkan jika penerbitan gagal.
`notAfter`	Akhir masa berlaku sertifikat dalam format ISO 8601. Dihilangkan jika penerbitan gagal.
`issuedAt`	Stempel waktu ketika sertifikat dikeluarkan dalam format ISO 8601. Dihilangkan jika penerbitan gagal.
`templateArn`	ARN dari template sertifikat yang digunakan untuk penerbitan.
`signingAlgorithm`	Algoritma penandatanganan yang digunakan (misalnya, `ECDSAWITHSHA256` atau`SHA256WITHRSA`).
`status`	Hasil dari upaya penerbitan: `ISSUED` atau`FAILED`. AWS Private CA merekam `IssueCertificateDetails` peristiwa hanya setelah penerbitan mencapai salah satu status terminal ini, jadi bidang ini tidak pernah`PENDING`. Sertifikat yang masih diproses tidak menghasilkan peristiwa sampai penerbitan berhasil atau gagal; gunakan GetCertificate untuk memeriksa status sertifikat yang acaranya belum muncul.
`statusReason`	Alasan kegagalan penerbitan. Hadir hanya ketika alasan kegagalan tersedia; beberapa peristiwa penerbitan gagal tidak menyertakan bidang ini.
`requesterAccountId`	Akun AWS ID yang meminta sertifikat. Hadir hanya ketika permintaan tidak dibuat oleh AWS layanan atas nama Anda.
`requesterArn`	ARN dari kepala sekolah yang meminta sertifikat. Hadir hanya ketika permintaan tidak dibuat oleh AWS layanan atas nama Anda.
`requesterServicePrincipal`	Kepala AWS layanan (misalnya,`acm.amazonaws.com`) yang meminta sertifikat atas nama Anda. Hadir hanya ketika AWS layanan membuat permintaan.

catatan

Beberapa penerbitan sertifikat dikaitkan dengan AWS proses internal daripada prinsipal pelanggan. Dalam kasus tersebut, acara tidak mencakup requesterServicePrincipal bidangrequesterAccountId,requesterArn, atau. Jangan berasumsi bahwa salah satu dari tiga bidang ini selalu ada.

Contoh AWS Private CA peristiwa

Trail adalah konfigurasi yang memungkinkan pengiriman peristiwa sebagai file log ke bucket Amazon S3 yang Anda tentukan. CloudTrail file log berisi satu atau lebih entri log. Peristiwa mewakili permintaan tunggal dari sumber apa pun dan mencakup informasi tentang tindakan yang diminta, tanggal dan waktu tindakan, parameter permintaan, dan sebagainya. CloudTrail file log bukanlah jejak tumpukan yang diurutkan dari panggilan API publik, jadi file tersebut tidak muncul dalam urutan tertentu.

Berikut ini adalah contoh AWS Private CA CloudTrail peristiwa.

Contoh 1: Acara manajemen, `IssueCertificate`

Contoh berikut menunjukkan entri CloudTrail log yang menunjukkan IssueCertificate tindakan.


{
   "version":"0",
   "id":"event_ID",
   "detail-type":"ACM Private CA Certificate Issuance",
   "source":"aws.acm-pca",
   "account":"account",
   "time":"2019-11-04T19:57:46Z",
   "region":"region",
   "resources":[
      "arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "arn:aws:acm-pca:region:account:certificate-authority/CA_ID/certificate/certificate_ID"
   ],
   "detail":{
      "result":"success"
   }
}

Contoh 2: Acara manajemen, `ImportCertificateAuthorityCertificate`

Contoh berikut menunjukkan entri CloudTrail log yang menunjukkan ImportCertificateAuthorityCertificate tindakan.


{
   "eventVersion":"1.05",
   "userIdentity":{
      "type":"IAMUser",
      "principalId":"account",
      "arn":"arn:aws:iam::account:user/name",
      "accountId":"account",
      "accessKeyId":"key_ID"
   },
   "eventTime":"2018-01-26T21:53:28Z",
   "eventSource":"acm-pca.amazonaws.com",
   "eventName":"ImportCertificateAuthorityCertificate",
   "awsRegion":"region",
   "sourceIPAddress":"IP_address",
   "userAgent":"agent",
   "requestParameters":{
      "certificateAuthorityArn":"arn:aws:acm-pca:us-east-1:111122223333:certificate-authority/11223344-1234-1122-2233-112233445566",
      "certificate":{
         "hb":[
            45,
            45,
            ...10
         ],
         "offset":0,
         "isReadOnly":false,
         "bigEndian":true,
         "nativeByteOrder":false,
         "mark":-1,
         "position":1257,
         "limit":1257,
         "capacity":1257,
         "address":0
      },
      "certificateChain":{
         "hb":[
            45,
            45,
            ...10
         ],
         "offset":0,
         "isReadOnly":false,
         "bigEndian":true,
         "nativeByteOrder":false,
         "mark":-1,
         "position":1139,
         "limit":1139,
         "capacity":1139,
         "address":0
      }
   },
   "responseElements":null,
   "requestID":"request_ID",
   "eventID":"event_ID",
   "eventType":"AwsApiCall",
   "recipientAccountId":"account"
}

Awas Javascript dinonaktifkan atau tidak tersedia di browser Anda.

Untuk menggunakan Dokumentasi AWS, Javascript harus diaktifkan. Lihat halaman Bantuan browser Anda untuk petunjuk.

Konvensi Dokumen

Memantau AWS Private CA dengan CloudWatch Events

Pemecahan Masalah

Pencatatan log AWS Private Certificate Authority Panggilan API menggunakan AWS CloudTrail

AWS Private CA informasi di CloudTrail

catatan

AWS Private CA acara manajemen

catatan

Mengidentifikasi pemohon asli

AWS Private CA acara layanan

Kejadian IssueCertificateDetails

catatan

Contoh: Penerbitan sertifikat yang berhasil

Contoh: Penerbitan sertifikat gagal

catatan

Contoh AWS Private CA peristiwa

Contoh 1: Acara manajemen, IssueCertificate

Contoh 2: Acara manajemen, ImportCertificateAuthorityCertificate

Kejadian `IssueCertificateDetails`

Contoh 1: Acara manajemen, `IssueCertificate`

Contoh 2: Acara manajemen, `ImportCertificateAuthorityCertificate`