# Registrar em log chamadas de API do IAM Access Analyzer com o AWS CloudTrail
O IAM Access Analyzer é integrado ao AWS CloudTrail, um serviço que fornece um registro das ações realizadas por um usuário, uma função ou um produto da AWS no IAM Access Analyzer. O CloudTrail captura todas as chamadas de API para o IAM Access Analyzer como eventos. As chamadas capturadas incluem chamadas do console do IAM Access Analyzer e chamadas de código para as operações de API do IAM Access Analyzer.
Se você criar uma trilha, poderá habilitar a entrega contínua de eventos do CloudTrail para um bucket do Amazon S3, incluindo eventos para o IAM Access Analyzer. Se você não configurar uma trilha, ainda poderá visualizar os eventos mais recentes no console do CloudTrail no **Histórico de eventos**.
Usando as informações coletadas pelo CloudTrail, é possível determinar a solicitação feita ao IAM Access Analyzer, o endereço IP do qual a solicitação foi feita, quem fez a solicitação, quando ela foi feita, além de detalhes adicionais.
Para saber mais sobre o CloudTrail, consulte o [Guia do usuário do AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/).
## Informações do IAM Access Analyzer no CloudTrail
O CloudTrail é habilitado em sua conta AWS ao criá-la. Quando a atividade ocorre no IAM Access Analyzer, essa atividade é registrada em um evento do CloudTrail junto com outros eventos de produtos da AWS no **Event history** (Histórico de eventos). É possível visualizar, pesquisar e baixar eventos recentes em sua AWS conta. Para obter mais informações, consulte [Visualização de eventos com o histórico de eventos do CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html).
Para obter um registro contínuo de eventos em sua conta da AWS, incluindo eventos do IAM Access Analyzer, crie uma trilha. Uma *trilha* permite que o CloudTrail entregue arquivos de log a um bucket do Amazon S3. Por padrão, quando uma trilha é criada no console, a mesma é aplicada a todas as regiões da AWS. A trilha registra logs de eventos de todas as Regiões na AWS divisória e entrega os arquivos do log para o bucket Amazon S3 especificado. Além disso, é possível configurar outros AWS serviços para melhor analisar e agir de acordo com dados coletados do evento nos logs CloudTrail. Para saber mais, consulte:
+ [Visão Geral para Criar uma Trilha](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [Serviços e integrações com suporte no CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [Configurando Notificações Amazon SNS para CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/getting_notifications_top_level.html)
+ [Recebendo Arquivos de Log CloudTrail de Várias Regiões](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) e [Recebendo Arquivos de Log CloudTrail de Várias Contas](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
Todas as ações do IAM Access Analyzer são registradas pelo CloudTrail e documentadas em [IAM Access Analyzer API Reference](https://docs.aws.amazon.com/access-analyzer/latest/APIReference/) (Referência da API do IAM Access Analyzer). Por exemplo, as chamadas às ações `CreateAnalyzer`, `CreateArchiveRule` e `ListFindings` geram entradas nos arquivos de log do CloudTrail.
Cada entrada de log ou evento contém informações sobre quem gerou a solicitação. As informações de identidade ajudam a determinar:
+ Se a solicitação foi feita com credenciais de usuário-raiz ou usuário do AWS Identity and Access Management (IAM).
+ Se a solicitação foi feita com credenciais de segurança temporárias de um perfil ou de um usuário federado.
+ Se a solicitação foi feita por outro serviço da AWS.
Para saber mais, consulte o [Elemento userIdentity do CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
## Noções básicas sobre registros de arquivo de log do IAM Access Analyzer
Uma trilha é uma configuração que permite a entrega de eventos como arquivos de log a um bucket Amazon S3 especificado. Os arquivos de log do CloudTrail contêm uma ou mais entradas de log. Um evento representa uma única solicitação de qualquer fonte, e inclui informações sobre a ação solicitada, data e hora da ação, parâmetros da solicitação e assim por diante. Os arquivos de log do CloudTrail não são um rastreamento de pilha ordenada de chamadas de API pública, portanto, não são exibidos em uma ordem específica.
O exemplo a seguir mostra uma entrada de log do CloudTrail que demonstra a operação `CreateAnalyzer` realizada por uma sessão de função assumida de nome `Alice-tempcreds` em “14 de junho de 2021”. A sessão de função foi emitida pela função de nome `admin-tempcreds`.
```
{
"eventVersion": "1.05",
"userIdentity": {
"type": "AssumedRole",
"principalId": "AROAIBKEVSQ6C2EXAMPLE:Alice-tempcreds",
"arn": "arn:aws:sts::111122223333:assumed-role/admin-tempcreds/Alice-tempcreds",
"accountId": "111122223333",
"accessKeyId": "AKIAIOSFODNN7EXAMPLE",
"sessionContext": {
"attributes": {
"mfaAuthenticated": "true",
"creationDate": "2021-06-14T22:54:20Z"
},
"sessionIssuer": {
"type": "Role",
"principalId": "AKIAI44QH8DHBEXAMPLE",
"arn": "arn:aws:iam::111122223333:role/admin-tempcreds",
"accountId": "111122223333",
"userName": "admin-tempcreds"
},
"webIdFederationData": {},
}
},
"eventTime": "2021-06-14T22:57:36Z",
"eventSource": "access-analyzer.amazonaws.com",
"eventName": "CreateAnalyzer",
"awsRegion": "us-west-2",
"sourceIPAddress": "198.51.100.179",
"userAgent": "aws-sdk-java/1.12.79 Linux/5.4.141-78.230 OpenJDK_64-Bit_Server_VM/25.302-b08 java/1.8.0_302 vendor/Oracle_Corporation cfg/retry-mode/standard",
"requestParameters": {
"analyzerName": "test",
"type": "ACCOUNT",
"clientToken": "11111111-abcd-2222-abcd-222222222222",
"tags": {
"tagkey1": "tagvalue1"
}
},
"responseElements": {
"arn": "arn:aws:access-analyzer:us-west-2:111122223333:analyzer/test"
},
"requestID": "22222222-dcba-4444-dcba-333333333333",
"eventID": "33333333-bcde-5555-bcde-444444444444",
"readOnly": false,
"eventType": "AwsApiCall",,
"managementEvent": true,
"recipientAccountId": "111122223333",
"eventCategory": "Management"
}
```