Menganalisis CloudTrail peristiwa Amazon Cognito dengan Amazon CloudWatch Logs Insights

Anda dapat mencari dan menganalisis CloudTrail peristiwa Amazon Cognito Anda dengan Amazon CloudWatch Logs Insights. Saat Anda mengonfigurasi jejak Anda untuk mengirim peristiwa ke CloudWatch Log, CloudTrail kirimkan hanya peristiwa yang sesuai dengan pengaturan jejak Anda.

Untuk menanyakan atau meneliti CloudTrail peristiwa Amazon Cognito Anda, di CloudTrail konsol, pastikan Anda memilih opsi Pengelolaan peristiwa di pengaturan jejak sehingga Anda dapat memantau operasi manajemen yang dilakukan pada sumber daya Anda AWS . Secara opsional, Anda dapat memilih opsi Insights events di setelan jejak saat Anda ingin mengidentifikasi kesalahan, aktivitas yang tidak biasa, atau perilaku pengguna yang tidak biasa di akun Anda.

Contoh kueri Amazon Cognito

Anda dapat menggunakan kueri berikut di CloudWatch konsol Amazon.

Pertanyaan umum

Temukan 25 log acara yang paling baru ditambahkan.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com"

Dapatkan daftar 25 peristiwa log yang paling baru ditambahkan yang menyertakan pengecualian.

fields @timestamp, @message | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and @message like /Exception/

Kueri Pengecualian dan Kesalahan

Menemukan 25 log acara yang paling baru ditambahkan dengan kode kesalahan NotAuthorizedException bersama dengan kolam pengguna Amazon Cognito sub.

fields @timestamp, additionalEventData.sub as user | sort @timestamp desc | limit 25
| filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"

Menemukan jumlah catatan dengan sourceIPAddress dan sesuai eventName.

filter eventSource = "cognito-idp.amazonaws.com"
| stats count(*) by sourceIPAddress, eventName

Menemukan 25 alamat IP teratas yang memicu kesalahan NotAuthorizedException.

filter eventSource = "cognito-idp.amazonaws.com" and errorCode= "NotAuthorizedException"
| stats count(*) as count by sourceIPAddress, eventName
| sort count desc | limit 25

Temukan 25 alamat IP teratas yang disebut ForgotPasswordAPI.

filter eventSource = "cognito-idp.amazonaws.com" and eventName = 'ForgotPassword'
| stats count(*) as count by sourceIPAddress
| sort count desc | limit 25