Elemento userIdentity de CloudTrail.

AWS Identity and Access Management (IAM) ofrece diferentes tipos de identidades. El elemento userIdentity contiene información sobre el tipo de identidad de IAM que ha realizado la solicitud y las credenciales que se han utilizado. Si se utilizaron credenciales temporales, el elemento muestra cómo se obtuvieron las credenciales.

Ejemplos

userIdentity con credenciales de usuario de IAM

El siguiente ejemplo muestra el elemento userIdentity de una solicitud sencilla realizada con las credenciales de la usuaria de IAM llamada Alice.

"userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDAJ45Q7YFFAREXAMPLE",
    "arn": "arn:aws:iam::123456789012:user/Alice",
    "accountId": "123456789012",
    "accessKeyId": "",
    "userName": "Alice"
}

userIdentity con credenciales de seguridad temporales

El siguiente ejemplo muestra un elemento userIdentity de una solicitud realizada con credenciales de seguridad temporales obtenidas mediante la adopción de un rol de IAM. El elemento contiene detalles adicionales sobre el rol que se asumió para obtener las credenciales.

"userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAIDPPEZS35WEXAMPLE:AssumedRoleSessionName",
    "arn": "arn:aws:sts::123456789012:assumed-role/RoleToBeAssumed/MySessionName",
    "accountId": "123456789012",
    "accessKeyId": "",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROAIDPPEZS35WEXAMPLE",
            "arn": "arn:aws:iam::123456789012:role/RoleToBeAssumed",
            "accountId": "123456789012",
            "userName": "RoleToBeAssumed"
        },
        "attributes": {
            "mfaAuthenticated": "false",
            "creationDate": "20131102T010628Z"
        }    
    }
}

userIdentity de una solicitud hecha en nombre de un usuario de IAM Identity Center

En el siguiente ejemplo, se muestra un elemento userIdentity de una solicitud hecha en nombre de un usuario de IAM Identity Center.

"userIdentity": {
    "type": "IdentityCenterUser",
    "accountId": "123456789012",
    "onBehalfOf": {
        "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
        "identityStoreArn": "arn:aws:identitystore::123456789012:identitystore/d-9067642ac7" 
    },
    "credentialId": "EXAMPLEVHULjJdTUdPJfofVa1sufHDoj7aYcOYcxFVllWR_Whr1fEXAMPLE"
}

Para obtener más información sobre cómo utilizar userId, identityStoreArn y credentialId, consulte Identificación del usuario y la sesión en los eventos de CloudTrail iniciados por los usuarios de IAM Identity Center en la Guía del usuario de IAM Identity Center.

Campos

Los siguientes campos pueden aparecer en un elemento userIdentity.

Valores de las API de AWS STS con SAML e identidad federada web

AWS CloudTrail admite el registro de llamadas a la API de AWS Security Token Service (AWS STS) realizadas con el lenguaje de marcado para confirmaciones de seguridad (SAML) y las Identidades web federadas. Cuando un usuario hace una llamada a las API AssumeRoleWithSAML y AssumeRoleWithWebIdentity, CloudTrail registra la llamada y envía el evento a su bucket de Amazon S3.

El elemento userIdentity de estas API contiene los siguientes valores.

A continuación se incluye un elemento userIdentity de ejemplo para la acción AssumeRoleWithWebIdentity.

"userIdentity": {
    "type": "WebIdentityUser",
    "principalId": "accounts.google.com:application-id.apps.googleusercontent.com:user-id",
    "userName": "user-id",
    "identityProvider": "accounts.google.com"
  }

Para ver archivos de registro de ejemplo de cómo aparece el elemento userIdentity para los tipos SAMLUser y WebIdentityUser, consulte Registro de IAM y de llamadas a la API de AWS STS con la AWS CloudTrail.

AWS STSIdentidad fuente de

Un administrador de IAM puede configurar AWS Security Token Service para requerir que los usuarios especifiquen su identidad cuando utilicen credenciales temporales para adoptar roles. El campo sourceIdentity está presente en eventos donde los usuarios adoptan un rol de IAM o llevan a cabo acciones con el rol adoptado.

El campo sourceIdentity identifica la identidad de usuario original que realiza la solicitud, ya sea que la identidad de ese usuario se trate de un usuario de IAM, un rol de IAM, un usuario autenticado mediante la federación basada en SAML o un usuario autenticado mediante la identidad federada web conforme con OpenID Connect (OIDC). Después de que el administrador de IAM configura AWS STS, CloudTrail registra información de sourceIdentity en los siguientes eventos y ubicaciones dentro del registro de evento:

Para obtener más información sobre cómo configurar AWS STS para recopilar información sobre la identidad de la fuente, consulte Monitoreo y control de las acciones realizadas con roles adoptados en la Guía del usuario de IAM. Para obtener más información sobre los eventos de AWS STS que se registran en CloudTrail, consulte Registrar IAM y llamadas a la API AWS STS con AWS CloudTrail en la Guía del usuario de IAM.

Los siguientes son fragmentos de ejemplo de eventos que muestran el campo sourceIdentity.

Ejemplo de sección de requestParameters

En el siguiente ejemplo de fragmento de evento, un usuario hace una solicitud AWS STS AssumeRole y establece una identidad de origen, representada aquí por source-identity-value-set. El usuario adopta un rol representado por el ARN del rol arn:aws:iam::123456789012:role/Assumed_Role. El campo sourceIdentity está en el bloque requestParameters del evento.

"eventVersion": "1.05",
    "userIdentity": {
        "type": "AWSAccount",
        "principalId": "AIDAJ45Q7YFFAREXAMPLE",
        "accountId": "123456789012"
    },
    "eventTime": "2020-04-02T18:20:53Z",
    "eventSource": "sts.amazonaws.com",
    "eventName": "AssumeRole",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "203.0.113.64",
    "userAgent": "aws-cli/1.16.96 Python/3.6.0 Windows/10 botocore/1.12.86",
    "requestParameters": {
        "roleArn": "arn:aws:iam::123456789012:role/Assumed_Role",
        "roleSessionName": "Test1",
        "sourceIdentity": "source-identity-value-set",
    },

Ejemplo de sección de responseElements

En el siguiente ejemplo de fragmento de evento, un usuario realiza una solicitud AWS STS AssumeRole para adoptar un rol llamado Developer_Role y establece la identidad de una fuente, Admin. El usuario adopta un rol representado por el ARN del rol arn:aws:iam::111122223333:role/Developer_Role. El campo sourceIdentity se muestra en los bloques requestParameters y responseElements del evento. Las credenciales temporales utilizadas para adoptar el rol, la cadena de token de sesión y el ID del rol adoptado, el nombre de sesión y el ARN de sesión se muestran en el bloque responseElements, junto con la identidad de la fuente.

    "requestParameters": {
        "roleArn": "arn:aws:iam::111122223333:role/Developer_Role",
        "roleSessionName": "Session_Name",
        "sourceIdentity": "Admin"
    },
    "responseElements": {
        "credentials": {
            "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
            "expiration": "Jan 22, 2021 12:46:28 AM",
            "sessionToken": "XXYYaz...
                             EXAMPLE_SESSION_TOKEN
                             XXyYaZAz"
        },
        "assumedRoleUser": {
            "assumedRoleId": "AROACKCEVSQ6C2EXAMPLE:Session_Name",
            "arn": "arn:aws:sts::111122223333:assumed-role/Developer_Role/Session_Name"
        },
        "sourceIdentity": "Admin"
    }
...

Ejemplo de sección de sessionContext

En el siguiente ejemplo de fragmento de evento, un usuario adopta un rol denominado DevRole para llamar a una API de servicio AWS. El usuario establece la identidad de la fuente, representada aquí por source-identity-value-set. El campo sourceIdentity está en el bloque sessionContext, dentro del bloque userIdentity del evento.

{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAJ45Q7YFFAREXAMPLE: Dev1",
    "arn": "arn: aws: sts: : 123456789012: assumed-role/DevRole/Dev1",
    "accountId": "123456789012",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAJ45Q7YFFAREXAMPLE",
        "arn": "arn: aws: iam: : 123456789012: role/DevRole",
        "accountId": "123456789012",
        "userName": "DevRole"
      },
      "webIdFederationData": {},
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-02-21T23: 46: 28Z"
      },
      "sourceIdentity": "source-identity-value-set"
    }
  }
}