Informasi Amazon Cognito di CloudTrail

CloudTrail dihidupkan saat Anda membuat Akun AWS. Ketika aktivitas peristiwa yang didukung terjadi di Amazon Cognito, aktivitas tersebut direkam dalam suatu CloudTrail peristiwa bersama dengan peristiwa AWS layanan lainnya dalam riwayat Acara. Anda dapat melihat, mencari, dan mengunduh acara terbaru di AWS akun Anda. Untuk informasi selengkapnya, lihat Melihat peristiwa dengan riwayat CloudTrail acara.

Untuk catatan peristiwa yang sedang berlangsung di AWS akun Anda, termasuk acara untuk Amazon Cognito, buat jejak. CloudTrail Jejak mengirimkan file log ke bucket Amazon S3. Secara default, ketika Anda membuat jejak di konsol, jejak diterapkan ke semua Region. Jejak mencatat peristiwa dari semua Wilayah di AWS partisi dan mengirimkan file log ke bucket Amazon S3 yang Anda tentukan. Selain itu, Anda dapat mengonfigurasi AWS layanan lain untuk menganalisis lebih lanjut dan menindaklanjuti data peristiwa yang dikumpulkan dalam CloudTrail log. Lihat informasi yang lebih lengkap di:

• Ikhtisar untuk membuat jejak

• CloudTrail layanan dan integrasi yang didukung

• Mengkonfigurasi notifikasi SNS amazon untuk CloudTrail

• Menerima file CloudTrail log dari beberapa wilayah dan Menerima file CloudTrail log dari beberapa akun

Setiap entri peristiwa atau log berisi informasi tentang siapa yang membuat permintaan tersebut. Informasi identitas membantu Anda menentukan hal berikut ini:

• Apakah permintaan tersebut dibuat dengan kredensial root atau pengguna IAM.

• Apakah permintaan tersebut dibuat dengan kredensial keamanan sementara untuk satu peran atau pengguna terfederasi.

• Apakah permintaan itu dibuat oleh AWS layanan lain.

Untuk informasi selengkapnya, lihat elemen CloudTrail UserIdentity.

Data rahasia di AWS CloudTrail

Karena kumpulan pengguna dan kumpulan identitas memproses data pengguna, Amazon Cognito mengaburkan beberapa bidang pribadi di acara Anda CloudTrail dengan nilainya. HIDDEN_FOR_SECURITY_REASONS Untuk contoh bidang yang tidak diisi Amazon Cognito ke acara, lihat. Memahami peristiwa masuk Amazon Cognito Amazon Cognito hanya mengaburkan beberapa bidang yang biasanya berisi informasi pengguna, seperti kata sandi dan token. Amazon Cognito tidak melakukan deteksi otomatis atau penyembunyian informasi identifikasi pribadi yang Anda isi ke bidang non-pribadi dalam permintaan API Anda.

Kolam Pengguna Amazon Cognito

Amazon Cognito mendukung pencatatan untuk semua tindakan yang tercantum di halaman tindakan kumpulan Pengguna sebagai peristiwa dalam file CloudTrail log. Amazon Cognito mencatat peristiwa kumpulan pengguna ke CloudTrail acara manajemen.

eventTypeBidang dalam CloudTrail entri kumpulan pengguna Amazon Cognito memberi tahu Anda apakah aplikasi Anda membuat permintaan ke API kumpulan pengguna Amazon Cognito atau ke titik akhir yang menyajikan sumber daya untuk OpenID Connect, SAFL 2.0, atau UI yang dihosting. Permintaan API memiliki permintaan eventType of AwsApiCall dan titik akhir memiliki eventType of. AwsServiceEvent

Amazon Cognito mencatat permintaan UI yang dihosting berikut ke UI yang dihosting sebagai acara di. CloudTrail

Operasi UI yang dihosting di CloudTrail
Operasi	Deskripsi
Login_GET, CognitoAuthentication	Pengguna melihat atau mengirimkan kredensyal ke Anda. Titik akhir masuk
OAuth2_Authorize_GET, Beta_Authorize_GET	Seorang pengguna melihat AndaOtorisasi titik akhir.
OAuth2Response_GET, OAuth2Response_POST	Pengguna mengirimkan token iDP ke /oauth2/idpresponse titik akhir Anda.
SAML2Response_POST, Beta_SAML2Response_POST	Seorang pengguna mengirimkan pernyataan IDP SAMP ke titik akhir Anda. /saml2/idpresponse
Login_OIDC_SAML_POST	Pengguna memasukkan nama pengguna di Anda Titik akhir masuk dan cocok dengan pengenal IDP.
Token_POST, Beta_Token_POST	Seorang pengguna mengirimkan kode otorisasi ke Anda. Titik akhir token
Signup_GET, Signup_POST	Pengguna mengirimkan informasi pendaftaran ke titik akhir Anda/signup.
Confirm_GET, Confirm_POST	Pengguna mengirimkan kode konfirmasi di UI yang dihosting.
ResendCode_POST	Pengguna mengirimkan permintaan untuk mengirim ulang kode konfirmasi di UI yang dihosting.
ForgotPassword_GET, ForgotPassword_POST	Pengguna mengirimkan permintaan untuk mengatur ulang kata sandi mereka ke titik /forgotPassword akhir Anda.
ConfirmForgotPassword_GET, ConfirmForgotPassword_POST	Pengguna mengirimkan kode ke /confirmForgotPassword titik akhir Anda yang mengonfirmasi permintaan merekaForgotPassword.
ResetPassword_GET, ResetPassword_POST	Pengguna mengirimkan kata sandi baru di UI yang dihosting.
Mfa_GET, Mfa_POST	Pengguna mengirimkan kode otentikasi multi-faktor (MFA) di UI yang dihosting.
MfaOption_GET, MfaOption_POST	Seorang pengguna memilih metode pilihan mereka untuk MFA di UI yang dihosting.
MfaRegister_GET, MfaRegister_POST	Seorang pengguna mengirimkan kode otentikasi multi-faktor (MFA) di UI yang dihosting saat mendaftarkan MFA.
Logout	Seorang pengguna keluar di /logout titik akhir Anda.
SAML2Logout_POST	Seorang pengguna keluar di /saml2/logout titik akhir Anda.
Error_GET	Pengguna melihat halaman kesalahan di UI yang dihosting.
UserInfo_GET, UserInfo_POST	Pengguna atau IDP bertukar informasi dengan Anda. Titik akhir UserInfo
Confirm_With_Link_GET	Pengguna mengirimkan konfirmasi berdasarkan tautan yang dikirim Amazon Cognito dalam pesan email.
Event_Feedback_GET	Pengguna mengirimkan umpan balik ke Amazon Cognito tentang peristiwa fitur keamanan tingkat lanjut.

catatan

Amazon Cognito mencatat UserSub tetapi tidak UserName dalam CloudTrail log untuk permintaan yang khusus untuk pengguna. Anda dapat menemukan pengguna UserSub dengan memanggil API ListUsers, dan menggunakan filter untuk sub.

Kumpulan identitas Amazon Cognito

Peristiwa data

Amazon Cognito mencatat peristiwa Identitas Amazon Cognito berikut sebagai peristiwa data CloudTrail . Peristiwa data adalah operasi API data-plane volume tinggi yang CloudTrail tidak masuk secara default. Biaya tambahan berlaku untuk peristiwa data.

• GetCredentialsForIdentity

• GetId

• GetOpenIdToken

• GetOpenIdTokenForDeveloperIdentity

• UnlinkIdentity

Untuk menghasilkan CloudTrail log untuk operasi API ini, Anda harus mengaktifkan peristiwa data di jejak Anda dan memilih pemilih peristiwa untuk kumpulan identitas Cognito. Untuk informasi lebih lanjut, lihat Peristiwa Pencatatan Data untuk Pelacakan dalam AWS CloudTrail Panduan Pengguna.

Anda juga dapat menambahkan pemilih acara kumpulan identitas ke jejak Anda dengan perintah CLI berikut.

aws cloudtrail put-event-selectors --trail-name <trail name> --advanced-event-selectors \
"{\
   \"Name\": \"Cognito Selector\",\
   \"FieldSelectors\": [\
      {\
         \"Field\": \"eventCategory\",\
         \"Equals\": [\
            \"Data\"\
         ]\
      },\
      {\
         \"Field\": \"resources.type\",\
         \"Equals\": [\
            \"AWS::Cognito::IdentityPool\"\
         ]\
      }\
   ]\
}"

Acara manajemen

Amazon Cognito mencatat sisa operasi API kumpulan identitas Amazon Cognito sebagai peristiwa manajemen. CloudTrail mencatat operasi API peristiwa manajemen log secara default.

Untuk daftar operasi API kumpulan identitas Amazon Cognito yang dicatat oleh Amazon Cognito, lihat Referensi CloudTrail API kumpulan identitas Amazon Cognito.

Sinkronisasi Amazon Cognito

Amazon Cognito mencatat semua operasi API Sinkronisasi Amazon Cognito sebagai peristiwa manajemen. Untuk daftar operasi API Sinkronisasi Amazon Cognito yang dicatat oleh Amazon Cognito, lihat Referensi API Sinkronisasi Amazon Cognito. CloudTrail