登入 CloudTrail 事件中的使用者名稱

每次成功登入 IAM Identity Center 使用者時，IAM Identity Center 都會發出 additionalEventData元素下的 UserName 欄位一次。以下清單說明範圍內的兩個登入事件，以及發生這種情況的條件。當使用者登入時，只有其中一個條件是 true。

• CredentialChallenge

  • 當 CredentialType為 "PASSWORD" – 適用於使用 AWS Directory Service 或 進行密碼驗證 IAM Identity Center 目錄。

  • 當 CredentialType為「EMAIL_OTP」時 – 僅適用於使用 CreateUser API 呼叫建立 IAM Identity Center 目錄 的使用者第一次嘗試登入時，使用者會收到一次性密碼，以使用該密碼登入一次。

• UserAuthentication

  • 當 CredentialType為「EXTERNAL_IDP」時 – 適用於使用外部 IdP 的身分驗證。

對於成功的身分驗證UserName， 的值如下：

• 當身分來源是外部 IdP 時，值等於傳入 SAML 聲明中的nameID值。此值等於 中的 UserName 欄位 IAM Identity Center 目錄。

• 當身分來源為 時 IAM Identity Center 目錄，發出的值等於此目錄中的 UserName 欄位。

• 當身分來源為 時 AWS Directory Service，發出的值等於使用者在身分驗證期間輸入的使用者名稱。例如，使用者名稱為 [e-mail]的使用者可以使用 anyuser、 [e-mail]或 進行身分驗證company.com/anyuser，而且在每種情況下，輸入的值都會分別在 CloudTrail 中發出。

注意

我們建議您使用 userId和 identityStoreArn 來識別 IAM Identity Center CloudTrail 事件後方的使用者。如果您需要使用 userName 欄位，建議您使用 additionalEventData元素userName下的 ，並避免使用 userIdentity元素下的 userName 欄位。

如需如何使用 UserName 欄位的其他資訊，請參閱 在 IAM Identity Center 和外部目錄之間關聯使用者。