本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
CloudTrail 中的 IAM Identity Center 資訊
建立帳戶 AWS 帳戶 時，您的 上會啟用 CloudTrail。當活動在 IAM Identity Center 中發生時，該活動會與事件歷史記錄中的其他 AWS 服務事件一起記錄在 CloudTrail 事件中。您可以在 中檢視、搜尋和下載最近的事件 AWS 帳戶。如需詳細資訊，請參閱使用 CloudTrail 事件歷史記錄檢視事件。
注意
如需有關使用者識別和追蹤 CloudTrail 事件中使用者動作如何演變的詳細資訊，請參閱 AWS 安全部落格中 IAM Identity Center 的重要 CloudTrail 事件變更
若要持續記錄 中的事件 AWS 帳戶，包括 IAM Identity Center 的事件，請建立追蹤。線索能讓 CloudTrail 將日誌檔案交付至 Amazon S3 儲存貯體。根據預設，當您在主控台建立線索時，線索會套用到所有 AWS 區域。線索會記錄 AWS 分割區中所有區域的事件，並將日誌檔案傳送到您指定的 Amazon S3 儲存貯體。此外，您可以設定其他 AWS 服務，以進一步分析和處理 CloudTrail 日誌中所收集的事件資料。如需詳細資訊，請參閱 AWS CloudTrail 使用者指南中的以下主題：
在您的 中啟用 CloudTrail 記錄時 AWS 帳戶，對 IAM Identity Center 動作發出的 API 呼叫會在日誌檔案中追蹤。IAM Identity Center 記錄會與其他 AWS 服務記錄一起寫入日誌檔案中。CloudTrail 會根據期間與檔案大小，決定何時建立與寫入新檔案。
支援 IAM Identity Center APIs CloudTrail 事件
下列各節提供有關與 IAM Identity Center 支援的下列 APIs 相關聯的 CloudTrail 事件的資訊：
IAM Identity Center API 操作的 CloudTrail 事件
下列清單包含公有 IAM Identity Center 操作隨事件來源發出的 CloudTrail sso.amazonaws.com事件。如需公有 IAM Identity Center API 操作的詳細資訊，請參閱 IAM Identity Center API 參考。
您可以在 CloudTrail 中找到主控台依賴的 IAM Identity Center 主控台 API 操作的其他事件。如需這些主控台 APIs的詳細資訊，請參閱服務授權參考。
Identity Store API 操作的 CloudTrail 事件
下列清單包含公有 Identity Store 操作隨事件來源發出的 CloudTrail identitystore.amazonaws.com事件。如需公有 Identity Store API 操作的詳細資訊，請參閱 Identity Store API 參考。
您可能會在 CloudTrail 中看到使用事件來源進行 Identity Store 主控台 API 操作的其他sso-directory.amazonaws.com事件。這些 APIs支援 主控台和 AWS 存取入口網站。如果您需要偵測特定操作的發生，例如將成員新增至群組，建議您同時考慮公有和主控台 API 操作。如需這些主控台 APIs的詳細資訊，請參閱服務授權參考。
OIDC API 操作的 CloudTrail 事件
下列清單包含公有 OIDC 操作發出的 CloudTrail 事件。如需公有 OIDC API 操作的詳細資訊，請參閱 OIDC API 參考。
-
CreateToken （事件來源
sso.amazonaws.com) -
CreateTokenWithIAM （事件來源
sso-oauth.amazonaws.com)
AWS 存取入口網站 API 操作的 CloudTrail 事件
下列清單包含 AWS 存取入口網站 API 操作隨事件來源發出的 CloudTrail sso.amazonaws.com事件。標記為在公有 API 中無法使用的 API 操作支援 AWS 存取入口網站的操作。使用 AWS CLI 可能會導致公有 AWS 存取入口網站 API 操作和公有 API 中無法使用的 CloudTrail 事件同時發出。如需公開 AWS 存取入口網站 API 操作的詳細資訊，請參閱AWS 存取入口網站 API 參考。
-
Authenticate （不適用於公有 API。 提供 AWS 存取入口網站的登入。)
-
Federate （不適用於公有 API。 為應用程式提供聯合。)
-
ListApplications （不適用於公有 API。 提供使用者指派的資源，以在 AWS 存取入口網站中顯示。)
-
ListProfilesForApplication （不適用於公有 API。 提供應用程式中繼資料以在 AWS 存取入口網站中顯示。)
IAM Identity Center CloudTrail 事件中的身分資訊
每一筆事件或日誌專案都會包含產生請求者的資訊。身分資訊可協助您判斷下列事項：
-
請求是使用根使用者還是 AWS Identity and Access Management (IAM) 使用者登入資料提出。
-
提出該請求時，是否使用了特定角色或聯合身分使用者的暫時安全憑證。
-
請求是否由其他 AWS 服務提出。
-
請求是否由 IAM Identity Center 使用者提出。若是如此，CloudTrail 事件中會提供
userId和identityStoreArn欄位，以識別啟動請求的 IAM Identity Center 使用者。如需詳細資訊，請參閱在 IAM Identity Center 使用者起始的 CloudTrail 事件中識別使用者和工作階段 。
如需詳細資訊，請參閱 CloudTrail userIdentity 元素。
注意
目前，IAM Identity Center 不會針對下列動作發出 CloudTrail 事件：
-
使用 OIDC API 登入 AWS 受管 Web 應用程式 （例如 Amazon SageMaker AI Studio)。這些 Web 應用程式是一組更廣泛的 子集AWS 受管應用程式，也包含非 Web 應用程式，例如 Amazon Athena SQL 和 Amazon S3 Access Grants。
-
使用 Identity Store API 依 AWS 受管應用程式擷取使用者和群組屬性。 https://docs.aws.amazon.com/singlesignon/latest/IdentityStoreAPIReference/welcome.html
