本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

CloudTrail userIdentity 元素

AWS Identity and Access Management (IAM) 提供不同類型的身分。userIdentity 元素包含提出請求之 IAM 身分類型及所使用之登入資料的詳細資訊。如果使用暫時性登入資料，此元素會說明登入資料的取得方式。

範例

具有 IAM 使用者憑證的 userIdentity

下列範例顯示使用名為 userIdentity 的 IAM 使用者登入資料提出之簡單請求的 Alice 元素。

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

使用暫時性安全登入資料的 userIdentity

下列範例顯示使用透過擔任 IAM 角色取得的暫時性安全登入資料提出之請求的 userIdentity 元素。此元素包含為取得登入資料所擔任之角色的其他詳細資訊。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }    
    }
}

用於代表 IAM Identity Center 使用者提出請求的 userIdentity

以下範例顯示用於代表 IAM Identity Center 使用者提出請求的 userIdentity 元素。

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

若要進一步了解如何使用 userId、 identityStoreArn和 credentialId，請參閱《IAM Identity Center 使用者指南》中的在 IAM Identity Center 使用者起始的 CloudTrail 事件中識別使用者和工作階段。

userIdentity 使用產品提供者起始的請求

產品提供者使用暫時委派存取執行的所有動作都會自動記錄在 CloudTrail 中。這可讓您帳戶中產品提供者活動的完整可見性和可稽核性 AWS 。您可以識別產品提供者所採取的動作、發生的時間，以及執行這些動作的產品提供者帳戶。

為了協助您區分您自己的 IAM 主體所採取的動作，以及具有委派存取權的產品提供者所採取的動作，CloudTrail 事件會在 userIdentity元素invokedByDelegate下包含名為 的新欄位。此欄位包含產品提供者 AWS 的帳戶 ID，讓您輕鬆篩選和稽核所有委派的動作。

下列範例顯示產品提供者使用暫時委派存取所執行動作的 userIdentity 元素。

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAI...",
    "arn": "arn:aws:sts::123456789012:assumed-role/Alice/Session",
    "accountId": "123456789012",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAI...",
            "arn": "arn:aws:iam::123456789012:role/Alice",
            "accountId": "123456789012",
            "userName": "Alice"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }
    },
    "invokedByDelegate": {
        "accountId": "999999999999"
    }
}

invokedByDelegate 欄位包含使用委派存取執行動作之產品提供者 AWS 的帳戶 ID。在此範例中，帳戶 999999999999 （產品提供者） 在帳戶 123456789012 （客戶帳戶） 中執行動作。

欄位

userIdentity 元素中可能會顯示下列欄位。

具有 SAML 和 Web 聯合身分 AWS STS APIs 值

AWS CloudTrail 支援使用安全性聲明標記語言 (SAML AWS STS) 和 Web 聯合身分進行的 logging AWS Security Token Service () API 呼叫。當使用者呼叫 AssumeRoleWithSAML 和 AssumeRoleWithWebIdentity API 時， CloudTrail 會記錄呼叫並將事件傳遞到您的 Amazon S3 儲存貯體。

這些 API 的 userIdentity 元素包含下列值。

以下是 AssumeRoleWithWebIdentity 動作的範例 userIdentity 元素。

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

如需 userIdentity 元素如何顯示 SAMLUser和 WebIdentityUser類型的範例日誌，請參閱使用 記錄 IAM 和 AWS STS API 呼叫 AWS CloudTrail。

AWS STS 來源身分

IAM 管理員可以設定 ， AWS Security Token Service 要求使用者在使用臨時登入資料擔任角色時指定其身分。使用者擔任 IAM 角色或使用所擔任角色執行任何動作時，sourceIdentity 欄位會出現在事件中。

sourceIdentity 欄位識別提出請求的原始使用者身分，無論該使用者身分是 IAM 使用者、IAM 角色、使用 SAML 型聯合驗證的使用者，還是使用 OpenID Connect (OIDC) 相容的網頁聯合身分驗證的使用者。IAM 管理員設定後 AWS STS，CloudTrail 會在事件記錄中的下列事件和位置中記錄sourceIdentity資訊：

如需如何設定 AWS STS 以收集來源身分資訊的詳細資訊，請參閱《IAM 使用者指南》中的監控和控制使用擔任角色採取的動作。如需記錄到 CloudTrail AWS STS 之事件的詳細資訊，請參閱《IAM 使用者指南》中的使用 記錄 IAM 和 AWS STS API 呼叫 AWS CloudTrail。

以下是事件的範例片段，其中顯示 sourceIdentity 欄位。

範例 requestParameters 區段

在下列範例事件程式碼片段中，使用者會發出 AWS STS AssumeRole請求，並設定來源身分，此處由 表示source-identity-value-set。使用者承擔由角色 ARN arn:aws:iam::123456789012:role/Assumed_Role 表示的角色。sourceIdentity 欄位位於事件的 requestParameters 區塊。

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

範例 responseElements 區段

在下列範例事件程式碼片段中，使用者提出請求 AWS STS AssumeRole以擔任名為 的角色Developer_Role，並設定來源身分 Admin。使用者承擔由角色 ARN arn:aws:iam::111122223333:role/Developer_Role 表示的角色。sourceIdentity 欄位會顯示在事件的 requestParameters 和 responseElements 區塊。用來擔任角色、工作階段 Token 字串以及擔任的角色 ID、工作階段名稱和工作階段 ARN 的臨時憑證會與來源身分一起顯示在 responseElements 區塊。

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

範例 sessionContext 區段

在下列範例事件程式碼片段中，使用者擔任名為 的角色DevRole來呼叫 AWS 服務 API。使用者會設定來源身分，此處由 source-identity-value-set 表示。sourceIdentity 欄位位於 sessionContext 區塊，在事件的 userIdentity 區塊內。

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}