View a markdown version of this page

Einschließlich des IAM Identity Center-Benutzerkontextes in Protokollen CloudTrail - AWS Lake Formation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einschließlich des IAM Identity Center-Benutzerkontextes in Protokollen CloudTrail

Lake Formation verwendet die Funktion zum Verkauf von Anmeldeinformationen, um temporären Zugriff auf Amazon S3-Daten zu gewähren. Wenn ein IAM Identity Center-Benutzer eine Anfrage an einen integrierten Analysedienst sendet, enthalten die CloudTrail Protokolle standardmäßig nur die IAM-Rolle, die der Dienst für den kurzfristigen Zugriff übernommen hat. Wenn Sie eine benutzerdefinierte Rolle verwenden, um den Amazon S3-Datenstandort bei Lake Formation zu registrieren, können Sie sich dafür entscheiden, den Kontext des IAM Identity Center-Benutzers in die CloudTrail Ereignisse einzubeziehen und dann die Benutzer zu verfolgen, die auf Ihre Ressourcen zugreifen.

Wichtig

Um Amazon S3-API-Anfragen auf Objektebene in die aufzunehmen CloudTrail, müssen Sie die CloudTrail Ereignisprotokollierung für den Amazon S3-Bucket und die Objekte aktivieren. Weitere Informationen finden Sie unter Aktivieren der CloudTrail Ereignisprotokollierung für Amazon S3-Buckets und -Objekte im Amazon S3-Benutzerhandbuch.

Um die Prüfung des Verkaufs von Anmeldeinformationen an Data Lake-Standorten zu aktivieren, die mit benutzerdefinierten Rollen registriert sind

  1. Melden Sie sich bei der Lake Formation-Konsole unter an. https://console.aws.amazon.com/lakeformation/

  2. Erweitern Sie in der linken Navigationsleiste die Option Verwaltung und wählen Sie Datenkatalogeinstellungen aus.

  3. Wählen Sie unter Enhanced Auditing die Option Bereitgestellten Kontext weitergeben aus.

  4. Wählen Sie Speichern.

Sie können die erweiterte Überwachungsoption auch aktivieren, indem Sie das Parameters Attribut in der PutDataLakeSettings Operation festlegen. Standardmäßig ist der SET_CONTEXT" Parameterwert auf „true“ gesetzt.

{
    "DataLakeSettings": {
        "Parameters": {"SET_CONTEXT": "true"},
    }
}

Im Folgenden finden Sie einen Auszug aus einer CloudTrail Veranstaltung mit der erweiterten Überwachungsoption. Dieses Protokoll enthält sowohl den Sitzungskontext des IAM Identity Center-Benutzers als auch die benutzerdefinierte IAM-Rolle, die Lake Formation für den Zugriff auf den Amazon S3-Datenstandort übernommen hat. Den onBehalfOf Parameter finden Sie im folgenden Auszug.

{
         "eventVersion":"1.09",
         "userIdentity":{
            "type":"AssumedRole",
            "principalId":"AROAW7F7MOX4OYE6FLIFN:access-grants-e653760c-4e8b-44fd-94d9-309e035b75ab",
            "arn":"arn:aws:sts::123456789012:assumed-role/accessGrantsTestRole/access-grants-e653760c-4e8b-44fd-94d9-309e035b75ab",           
            "accountId":"123456789012",
            "accessKeyId":"ASIAW7F7MOX4CQLD4JIZN",
            "sessionContext":{
               "sessionIssuer":{
                  "type":"Role",
                  "principalId":"AROAW7F7MOX4OYE6FLIFN",
                  "arn":"arn:aws:iam::123456789012:role/accessGrantsTestRole",
                  "accountId":"123456789012",
                  "userName":"accessGrantsTestRole"
               },
               "attributes":{
                  "creationDate":"2023-08-09T17:24:02Z",
                  "mfaAuthenticated":"false"
               }
            },
            "onBehalfOf":{
                "userId": "<identityStoreUserId>",
                "identityStoreArn": "arn:aws:identitystore::<restOfIdentityStoreArn>"
            }
         },
         "eventTime":"2023-08-09T17:25:43Z",
         "eventSource":"s3.amazonaws.com",
         "eventName":"GetObject",
    ....