View a markdown version of this page

Includere il contesto utente di IAM Identity Center nei log CloudTrail - AWS Lake Formation

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Includere il contesto utente di IAM Identity Center nei log CloudTrail

Lake Formation utilizza la funzionalità di vendita di credenziali per fornire un accesso temporaneo ai dati di Amazon S3. Per impostazione predefinita, quando un utente di IAM Identity Center invia una richiesta a un servizio di analisi integrato, CloudTrail i log includono solo il ruolo IAM assunto dal servizio per fornire l'accesso a breve termine. Se utilizzi un ruolo definito dall'utente per registrare la posizione dei dati di Amazon S3 con Lake Formation, puoi scegliere di includere il contesto dell'utente di IAM Identity Center negli CloudTrail eventi e quindi tracciare gli utenti che accedono alle tue risorse.

Importante

Per includere le richieste API Amazon S3 a livello di oggetto in CloudTrail, devi abilitare la registrazione degli CloudTrail eventi per il bucket e gli oggetti Amazon S3. Per ulteriori informazioni, consulta Abilitare la registrazione CloudTrail degli eventi per bucket e oggetti Amazon S3 nella Amazon S3 User Guide.

Per abilitare il controllo della distribuzione delle credenziali sulle ubicazioni dei data lake registrate con ruoli definiti dall'utente

  1. Accedi alla console di Lake Formation all'indirizzo. https://console.aws.amazon.com/lakeformation/

  2. Nella barra di navigazione a sinistra, espandi Amministrazione e scegli Impostazioni Data Catalog.

  3. In Controllo avanzato, scegli Propaga il contesto fornito.

  4. Selezionare Salva.

È inoltre possibile abilitare l'opzione di controllo avanzato impostando l'Parametersattributo nell'PutDataLakeSettingsoperazione. Per impostazione predefinita, il valore del SET_CONTEXT" parametro è impostato su «true».

{
    "DataLakeSettings": {
        "Parameters": {"SET_CONTEXT": "true"},
    }
}

Di seguito è riportato un estratto da un CloudTrail evento con l'opzione di controllo avanzata. Questo registro include sia il contesto della sessione dell'utente di IAM Identity Center sia il ruolo IAM definito dall'utente assunto da Lake Formation per accedere alla posizione dei dati di Amazon S3. Vedi il onBehalfOf parametro nel seguente estratto.

{
         "eventVersion":"1.09",
         "userIdentity":{
            "type":"AssumedRole",
            "principalId":"AROAW7F7MOX4OYE6FLIFN:access-grants-e653760c-4e8b-44fd-94d9-309e035b75ab",
            "arn":"arn:aws:sts::123456789012:assumed-role/accessGrantsTestRole/access-grants-e653760c-4e8b-44fd-94d9-309e035b75ab",           
            "accountId":"123456789012",
            "accessKeyId":"ASIAW7F7MOX4CQLD4JIZN",
            "sessionContext":{
               "sessionIssuer":{
                  "type":"Role",
                  "principalId":"AROAW7F7MOX4OYE6FLIFN",
                  "arn":"arn:aws:iam::123456789012:role/accessGrantsTestRole",
                  "accountId":"123456789012",
                  "userName":"accessGrantsTestRole"
               },
               "attributes":{
                  "creationDate":"2023-08-09T17:24:02Z",
                  "mfaAuthenticated":"false"
               }
            },
            "onBehalfOf":{
                "userId": "<identityStoreUserId>",
                "identityStoreArn": "arn:aws:identitystore::<restOfIdentityStoreArn>"
            }
         },
         "eventTime":"2023-08-09T17:25:43Z",
         "eventSource":"s3.amazonaws.com",
         "eventName":"GetObject",
    ....