Recherche d'alias dans les journaux AWS CloudTrail

Vous pouvez utiliser un alias pour représenter une AWS KMS key dans une opération d'API AWS KMS. Lorsque vous le faites, l'alias et l'ARN de clé de la clé KMS sont enregistrés dans l'entrée de journal AWS CloudTrail pour l'événement. L'alias apparaît dans le champ requestParameters. L'ARN de clé apparaît dans le champ resources. Cela se vérifie même lorsqu'un service AWS utilise une Clé gérée par AWS dans votre compte.

Par exemple, la GenerateDataKeydemande suivante utilise l'project-keyalias pour représenter une clé KMS.

$ aws kms generate-data-key --key-id alias/project-key --key-spec AES_256

Lorsque cette demande est enregistrée dans le CloudTrail journal, l'entrée du journal inclut à la fois l'alias et l'ARN de la clé KMS réellement utilisée.

{
    "eventVersion": "1.05",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "ABCDE",
        "arn": "arn:aws:iam::111122223333:role/ProjectDev",
        "accountId": "111122223333",
        "accessKeyId": "FFHIJ",
        "userName": "example-dev"
    },
    "eventTime": "2020-06-29T23:36:41Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "205.205.123.000",
    "userAgent": "aws-cli/1.18.89 Python/3.6.10 Linux/4.9.217-0.1.ac.205.84.332.metal1.x86_64 botocore/1.17.12",
    "requestParameters": {
        "keyId": "alias/project-key",
        "keySpec": "AES_256"
    },
    "responseElements": null,
    "requestID": "d93f57f5-d4c5-4bab-8139-5a1f7824a363",
    "eventID": "d63001e2-dbc6-4aae-90cb-e5370aca7125",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "recipientAccountId": "111122223333"
}

Pour plus de détails sur les AWS KMS opérations de journalisation dans CloudTrail les journaux, consultezJournalisation des appels d'API AWS KMS avec AWS CloudTrail.