範例欄位具有 SAML 和網路身分聯盟的 AWS STS API 的值 AWS STS 來源身分

CloudTrail userIdentity 元素

AWS Identity and Access Management (IAM) 提供不同類型的身分識別。userIdentity 元素包含提出請求之 IAM 身分類型及所使用之登入資料的詳細資訊。如果使用暫時性登入資料，此元素會說明登入資料的取得方式。

內容

範例

具有 IAM 使用者憑證的 userIdentity

下列範例顯示使用名為 userIdentity 的 IAM 使用者登入資料提出之簡單請求的 Alice 元素。


"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

使用暫時性安全登入資料的 userIdentity

下列範例顯示使用透過擔任 IAM 角色取得的暫時性安全登入資料提出之請求的 userIdentity 元素。此元素包含為取得登入資料所擔任之角色的其他詳細資訊。


"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        )
      
    }
}

用於代表 IAM Identity Center 使用者提出請求的 userIdentity

以下範例顯示用於代表 IAM Identity Center 使用者提出請求的 userIdentity 元素。


"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

欄位

userIdentity 元素中可能會顯示下列欄位。

type

身分的類型。可能的值如下：

Root— 請求是使用您的 AWS 帳戶憑據提出的。如果 userIdentity 類型為 Root，而且您為帳戶設定了別名，則 userName 欄位會包含您的帳戶別名。如需詳細資訊，請參閱您的 AWS 帳戶 ID 和其別名。
IAMUser - 使用 IAM 使用者的登入資料提出請求。
AssumedRole - 透過呼叫 AWS Security Token Service (AWS STS) AssumeRole API 取得的臨時安全憑證及角色提出請求。這可能包括適用於 Amazon EC2 和跨帳戶 API 存取的角色。
Role – 使用具有特定許可的持久 IAM 身分提出請求。角色工作階段的發起者永遠都是該角色。如需有關角色的詳細資訊，請參閱《IAM 使用者指南》中的角色術語和概念。
FederatedUser— 請求是使用通過對 AWS STS GetFederationTokenAPI 調用獲得的臨時安全憑據進行的。sessionIssuer 元素指出 API 是以超級或 IAM 使用者登入資料來呼叫。

如需暫時安全登入資料的詳細資訊，請參閱《IAM 使用者指南》中的暫時安全登入資料。
Directory - 已對 Directory Service 提出請求，且類型未知。目錄服務包括以下內容：Amazon WorkDocs 和 Amazon QuickSight。
AWSAccount— 該請求是由另一個人提出 AWS 帳戶
AWSService— 請求 AWS 帳戶是由屬於 AWS 服務. 例如， AWS Elastic Beanstalk 假設您的帳戶中有 IAM 角色，以代表您呼叫其他 AWS 服務角色。
IdentityCenterUser – 代表 IAM Identity Center 使用者提出請求。
Unknown— 請求是使用無法確定的 CloudTrail 身份類型提出的。

選用：False

如果有使用您擁有之 IAM 角色的跨帳戶存取，您日誌中的 type 會顯示 AWSAccount 和 AWSService。

範例：由其他 AWS 帳戶啟動的跨帳戶存取

您在帳戶中擁有 IAM 角色。
另一個 AWS 帳戶會切換至該角色，以擔任您帳戶的角色。
由於您擁有 IAM 角色，因此會收到日誌，顯示其他帳戶擔任該角色。type 為 AWSAccount。如需範例記錄項目，請參閱 CloudTrail 記錄檔中的AWS STS API 事件。

範例：由服務啟動的 AWS 跨帳戶存取

您在帳戶中擁有 IAM 角色。
AWS 服務所擁有的 AWS 帳戶會擔任該角色。
由於您擁有 IAM 角色，因此會收到日誌，顯示 AWS 服務擔任該角色。type 為 AWSService。

userName

發出呼叫之身分的易記名稱。出現在 userName 中的值取決於 type 中的值。下表顯示 type 與 userName 之間的關係：

`type`	`userName`	描述
`Root` (未設定別名)	不存在	如果尚未為您設定別名 AWS 帳戶，則不會顯示該`userName`欄位。如需有關帳戶別名的詳細資訊，請參閱您的 AWS 帳戶 ID 及其別名。請注意，`userName` 欄位不能包含 `Root`，因為 `Root` 是身分類型，不是使用者名稱。
`Root` (已設定別名)	帳戶別名	如需 AWS 帳戶別名的詳細資訊，請參閱您的 AWS 帳戶 ID 及其別名。
`IAMUser`	IAM 使用者的使用者名稱
`AssumedRole`	不存在	對於`AssumedRole`類型，您可以在中找到`userName`欄位做為工`sessionContext`作階段發行者元素的一部分。如需範例項目，請參閱「範例」。
`Role`	使用者定義	`sessionContext` 和 `sessionIssuer` 區段包含替角色發起工作階段之身分的相關資訊。
`FederatedUser`	不存在	`sessionContext` 和 `sessionIssuer` 區段包含替聯合身分使用者發出工作階段之身分的相關資訊。
`Directory`	可以存在	例如，值可以是帳戶別名或相關聯 AWS 帳戶 ID 的電郵地址。
`AWSService`	不存在
`AWSAccount`	不存在
`IdentityCenterUser`	不存在	`onBehalfOf` 區段包含呼叫的 IAM Identity Center 使用者 ID 和身分存放區 ARN 的相關資訊。如需 IAM Identity Center 的詳細資訊，請參閱《AWS IAM Identity Center 使用者指南》。
`Unknown`	可以存在	例如，值可以是帳戶別名或相關聯 AWS 帳戶 ID 的電郵地址。

注意

當記錄的事件是由不正確的使用者名稱輸入所造成的主控台登入失敗時，userName 欄位會包含字串 HIDDEN_DUE_TO_SECURITY_REASONS。CloudTrail 在此情況下不會記錄內容，因為文字可能包含敏感資訊，如下列範例所示：

使用者不小心在使用者名稱欄位中輸入密碼。
使用者按一下某個 AWS 帳戶登入頁面的連結，然後輸入另一個帳戶的帳號。
使用者不小心輸入個人電子郵件帳戶的帳戶名稱、銀行登入識別符或其他一些私有 ID。

選用：True

principalId

發出呼叫之實體的唯一識別符。針對使用暫時性安全登入資料提出的請求，這個值會包含傳遞到 AssumeRole、AssumeRoleWithWebIdentity 或 GetFederationToken API 呼叫的工作階段名稱。

選用：True

arn

發出呼叫之主體的 Amazon Resource Name (ARN)。ARN 的最後一個部分包含發出呼叫的使用者或角色。

選用：True

accountId

擁有授予許可給請求之實體的帳戶。如果使用暫時性安全登入資料提出請求，則此為擁有用來取得登入資料之 IAM 使用者或角色的帳戶。

若使用 IAM Identity Center 授權存取權杖提出請求，則這是擁有 IAM Identity Center 執行個體的帳戶。

選用：True

accessKeyId

用來簽署請求的存取金鑰 ID。如果使用暫時性安全登入資料提出請求，則此為暫時性登入資料的存取金鑰 ID。基於安全理由，accessKeyId 可能不存在，或者可能顯示為空字符串。

選用：True

sessionContext

如果使用暫時性安全登入資料提出請求，sessionContext 會提供為這些登入資料所建立之工作階段的相關資訊。呼叫任何 API 以傳回暫時性登入資料時，您會建立工作階段。當使用者在主控台中工作，並且使用包含多重驗證的 API 提出請求時，也會建立工作階段。下列屬性可以顯示在中sessionContext：

sessionIssuer— 如果使用者使用臨時安全登入資料提出要求，則會sessionIssuer提供使用者如何取得認證的相關資訊。例如，如果他們透過擔任角色取得暫時性安全登入資料，此元素會提供所擔任角色的相關資訊。如果他們使用根或 IAM 使用者登入資料呼叫 AWS STS GetFederationToken 而取得登入資料，此元素會提供根帳戶或 IAM 使用者的相關資訊。此元素具有下列屬性：

type - 暫時性安全登入資料的來源，例如 Root、IAMUser 或 Role。

userName - 發出工作階段之使用者或角色的易記名稱。出現的值取決於 sessionIssuer 身分 type。下表顯示 sessionIssuer type 與 userName 之間的關係：

`sessionIssuer` 類型	`userName`	描述
`Root` (未設定別名)	不存在	如果您尚未設定帳戶的別名，則不會顯示 `userName` 欄位。如需 AWS 帳戶別名的詳細資訊，請參閱您的 AWS 帳戶 ID 及其別名。請注意，`userName` 欄位不能包含 `Root`，因為 `Root` 是身分類型，不是使用者名稱。
`Root` (已設定別名)	帳戶別名	如需 AWS 帳戶別名的詳細資訊，請參閱您的 AWS 帳戶 ID 及其別名。
`IAMUser`	IAM 使用者的使用者名稱	這也適用於聯合身分使用者使用 `IAMUser` 所發出之工作階段的情況。
`Role`	角色名稱	由 IAM 使用者或 Web 身分聯合身分使用者在角色工作階段中所承擔的角色。 AWS 服務

principalId - 用來取得登入資料之實體的內部 ID。
arn - 用來取得暫時性安全登入資料之來源 (帳戶、IAM 使用者或角色) 的 ARN。
accountId - 擁有用來取得登入資料之實體的帳戶。

webIdFederationData— 如果要求是使用 Web 身分聯合取得的暫時安全性憑證，則會webIdFederationData列出身分識別提供者的相關資訊。

此元素具有下列屬性：
- federatedProvider - 身分提供者的主體名稱 (例如 Login with Amazon 的 www.amazon.com 或 Google 的 accounts.google.com)。
- attributes - 供應商所回報的應用程式 ID 和使用者 ID (例如 Login with Amazon 的 www.amazon.com:app_id 和 www.amazon.com:user_id)。
注意
遺漏此欄位或此欄位的值為空白，表示沒有身分識別提供者的相關資訊。
creationDate - 發出暫時性安全登入資料的日期和時間。以 ISO 8601 基本表示法來表示。
mfaAuthenticated - 如果其登入資料用於請求的根使用者或 IAM 使用者也會向 MFA 裝置進行身分驗證，則此值為 true；否則為 false。
sourceIdentity – 參閱此主題中的 AWS STS 來源身分。在使用者擔任 IAM 角色執行動作時，sourceIdentity 欄位會出現在事件中。sourceIdentity 識別提出請求的原始使用者身分，無論該使用者身分是 IAM 使用者、IAM 角色、使用 SAML 型聯合驗證的使用者，還是使用 OpenID Connect (OIDC) 相容的網頁聯合身分驗證的使用者。如需有關設定 AWS STS 以收集來源身分資訊的詳細資訊，請參閱《IAM 使用者指南》中的監控和控制假定角色所採取的動作。
ec2RoleDelivery – 如果憑證由 Amazon EC2 Instance Metadata Service Version 1 (IMDSv1) 提供，此值為 1.0。如果使用新的 IMDS 結構描述提供憑證，此值為 2.0。

AWS Amazon EC2 執行個體中繼資料服務 (IMDS) 提供的登入資料包含 ec2: RoleDelivery IAM 內容金鑰。透過使用上下文金鑰做為 IAM 政策、資源政策 service-by-service 或 AWS Organizations 服務控制政策中的條件，此內容金鑰可讓您輕鬆地針對或 resource-by-resource 基礎強制執行新配置的使用。如需詳細資訊，請參閱《Amazon EC2 使用者指南》中的執行個體中繼資料與使用者資料。

選用：True

invokedBy

發出請求 AWS 服務的名稱，當請求是由 Amazon EC2 Auto Scaling 或 AWS Elastic Beanstalk. AWS 服務此欄位僅在由 AWS 服務. 這包括服務使用轉寄存取工作階段 (FAS)、 AWS 服務主參與者、服務連結角色或. AWS 服務

選用：True

onBehalfOf

如果由 IAM Identity Center 呼叫者提出請求，onBehalfOf 會提供呼叫的 IAM Identity Center 使用者 ID 和身分存放區 ARN 的相關資訊。此元素具有下列屬性：

userId— 被代表執行呼叫之 IAM Identity Center 使用者的 ID。
identityStoreArn— 被代表執行呼叫之 IAM Identity Center 身分存放區的 ARN。

選用：True

credentialId

用於請求的登入資料 ID。只有當呼叫者使用持有人權杖時，例如 IAM Identity Center 授權存取權杖，才會執行此設定。

選用：True

具有 SAML 和網路身分聯盟的 AWS STS API 的值

AWS CloudTrail 支援使用安全性宣告標記語言 AWS Security Token Service (SAML AWS STS) 和 Web 身分聯合進行的記錄 () API 呼叫。當使用者呼叫AssumeRoleWithSAML和 AssumeRoleWithWebIdentityAPI 時，會 CloudTrail 記錄呼叫，並將事件傳送到您的 Amazon S3 儲存貯體。

這些 API 的 userIdentity 元素包含下列值。

type

身分類型。

SAMLUser - 使用 SAML 聲明提出請求。
WebIdentityUser - 由 Web 聯合身分提供者提出請求。

principalId

發出呼叫之實體的唯一識別符。

針對 SAMLUser，這是 saml:namequalifier 和 saml:sub 金鑰的組合。
針對 WebIdentityUser，這是發行者、應用程式 ID 和使用者 ID 的組合。

userName

發出呼叫之身分的名稱。

針對 SAMLUser，這是 saml:sub 金鑰。
針對 WebIdentityUser，這是使用者 ID。

identityProvider

外部身分提供者的主體名稱。只有 SAMLUser 或 WebIdentityUser 類型會顯示此欄位。

針對 SAMLUser，這是 SAML 聲明的 saml:namequalifier 金鑰。
針對 WebIdentityUser，這是 Web 聯合身分提供者的發行者名稱。這可以是您設定的供應商，例如：
- cognito-identity.amazon.com 適用於 Amazon Cognito
- Login with Amazon 的 www.amazon.com
- Google 的 accounts.google.com
- Facebook 的 graph.facebook.com

以下是 AssumeRoleWithWebIdentity 動作的範例 userIdentity 元素。


"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

有關userIdentity元素如何顯示SAMLUser和WebIdentityUser類型的示例日誌，請參閱使用記錄 IAM 和 AWS STS API 呼叫 AWS CloudTrail。

AWS STS 來源身分

IAM 管理員可以設定 AWS Security Token Service 為在使用臨時登入資料擔任角色時，要求使用者指定其身分。使用者擔任 IAM 角色或使用所擔任角色執行任何動作時，sourceIdentity 欄位會出現在事件中。

sourceIdentity 欄位識別提出請求的原始使用者身分，無論該使用者身分是 IAM 使用者、IAM 角色、使用 SAML 型聯合驗證的使用者，還是使用 OpenID Connect (OIDC) 相容的網頁聯合身分驗證的使用者。IAM 管理員設定完成後 AWS STS，在事件 CloudTrail 記錄中的下列事件和位置中記錄sourceIdentity資訊：

使用者身分在 AWS STS AssumeRole擔任角色時所進行的AssumeRoleWithSAML、或AssumeRoleWithWebIdentity呼叫。 sourceIdentity在 AWS STS 呼叫的requestParameters塊中找到。
如果使用者身分使用角色來承擔另一個角色 (稱為角色鏈結)，則會進行、或AssumeRoleWithWebIdentity呼叫。 AWS STS AssumeRole AssumeRoleWithSAML sourceIdentity在 AWS STS 呼叫的requestParameters塊中找到。
AWS 服務 API 會在擔任角色並使用由指派的臨時憑證時呼叫使用者身分所做的 AWS STS。在服務 API 事件中，sessionContext 區塊中找到 sourceIdentity。例如，如果使用者身分識別建立新的 S3 儲存貯體，則 CreateBucket 事件的 sessionContext 區塊中會發生 sourceIdentity。

如需有關如何設定以收集 AWS STS 來源身分資訊的詳細資訊，請參閱《IAM 使用者指南》中的監控和控制假定角色所採取的動作。如需有關記錄到的 AWS STS 事件的詳細資訊 CloudTrail，請參閱 IAM 使用者指南 AWS CloudTrail中的記錄 IAM 和 AWS STS API 呼叫。

以下是事件的範例片段，其中顯示 sourceIdentity 欄位。

範例 requestParameters 區段

在下列範例事件片段中，使用者 AWS STS AssumeRole提出要求，並設定來源識別，此處以表示source-identity-value-set。使用者承擔由角色 ARN arn:aws:iam::123456789012:role/Assumed_Role 表示的角色。sourceIdentity 欄位位於事件的 requestParameters 區塊。


"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

範例 responseElements 區段

在下列範例事件片段中，使用者 AWS STS AssumeRole提出要求假設名為的角色Developer_Role，並設定來源身分識別Admin。使用者承擔由角色 ARN arn:aws:iam::111122223333:role/Developer_Role 表示的角色。sourceIdentity 欄位會顯示在事件的 requestParameters 和 responseElements 區塊。用來擔任角色、工作階段 Token 字串以及擔任的角色 ID、工作階段名稱和工作階段 ARN 的臨時憑證會與來源身分一起顯示在 responseElements 區塊。


    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

範例 sessionContext 區段

在下列範例事件片段中，使用者假設名DevRole為呼叫 AWS 服務 API 的角色。使用者設定來源身分，此處以表示source-identity-value-set。sourceIdentity 欄位位於 sessionContext 區塊，在事件的 userIdentity 區塊內。


{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

CloudTrail 記錄內容

Insights insightDetails 元素