Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

CloudTrail casi d'uso per IAM Identity Center

Gli CloudTrail eventi emessi da IAM Identity Center possono essere utili per una varietà di casi d'uso. Le organizzazioni possono utilizzare questi registri degli eventi per monitorare e verificare l'accesso e l'attività degli utenti all'interno del proprio AWS ambiente. Ciò può aiutare i casi d'uso in materia di conformità, poiché i log acquisiscono dettagli su chi accede a quali risorse e quando. Puoi anche utilizzare CloudTrail i dati per le indagini sugli incidenti, consentendo ai team di analizzare le azioni degli utenti e tenere traccia dei comportamenti sospetti. Inoltre, la cronologia degli eventi può supportare le attività di risoluzione dei problemi, fornendo visibilità sulle modifiche apportate alle autorizzazioni e alle configurazioni degli utenti nel tempo.

Le sezioni seguenti descrivono i casi d'uso fondamentali che informano i flussi di lavoro, ad esempio l'audit, l'indagine sugli incidenti e la risoluzione dei problemi.

Identificazione dell'utente negli eventi avviati dall'utente di IAM Identity Center CloudTrail

IAM Identity Center emette due CloudTrail campi che consentono di identificare l'utente dell'IAM Identity Center responsabile degli CloudTrail eventi, ad esempio l'accesso a IAM Identity Center o l'utilizzo del portale di AWS accesso AWS CLI, inclusa la gestione dei dispositivi MFA:

I identityStoreArn campi userID e vengono visualizzati nell'onBehalfOfelemento annidato all'interno dell'userIdentityelemento, come mostrato nel seguente esempio di registro CloudTrail eventi. Questo registro eventi mostra questi due campi in un evento il cui userIdentity tipo è "IdentityCenterUser». Puoi trovare questi campi anche negli eventi per gli utenti autenticati di IAM Identity Center il cui userIdentity tipo è "Unknown». I flussi di lavoro dovrebbero accettare entrambi i valori di tipo.

"userIdentity":{
  "type":"IdentityCenterUser",
  "accountId":"111122223333",
  "onBehalfOf": {
    "userId": "544894e8-80c1-707f-60e3-3ba6510dfac1",
    "identityStoreArn": "arn:aws:identitystore::111122223333:identitystore/d-1234567890"
    },
    "credentialId" : "90e292de-5eb8-446e-9602-90f7c45044f7"
  }

Per recuperare i dettagli di un utente, incluso il username campo, si interroga l'Identity Store con l'ID utente e l'Identity Store ID come parametri. È possibile eseguire questa azione tramite la richiesta DescribeUser API o tramite la CLI. Di seguito è riportato un esempio di comando CLI. Puoi omettere il region parametro se la tua istanza di IAM Identity Center si trova nella regione predefinita della CLI.

aws identitystore describe-user \
--identity-store-id  d-1234567890 \
--user-id  544894e8-80c1-707f-60e3-3ba6510dfac1 \
--region your-region-id

Per determinare il valore dell'Identity Store ID per il comando CLI nell'esempio precedente, puoi estrarre l'Identity Store ID dal valore. identityStoreArn Nell'esempio ARNarn:aws:identitystore::111122223333:identitystore/d-1234567890, l'Identity Store ID è. d-1234567890 In alternativa, puoi individuare l'Identity Store ID accedendo alla scheda Identity Store nella sezione Impostazioni della console IAM Identity Center.

Se stai automatizzando la ricerca degli utenti nella directory IAM Identity Center, ti consigliamo di stimare la frequenza delle ricerche degli utenti e di considerare il limite di limitazione di IAM Identity Center sull'API Identity Store. La memorizzazione nella cache degli attributi utente recuperati può aiutarti a rimanere entro il limite di limitazione.

Correlazione degli eventi utente all'interno della stessa sessione utente

Il AuthWorkflowID campo emesso negli eventi di accesso consente di tenere traccia di tutti CloudTrail gli eventi associati a una sequenza di accesso prima dell'inizio di una sessione utente di IAM Identity Center.

Per le azioni degli utenti all'interno del portale di AWS accesso, il credentialId valore è impostato sull'ID della sessione dell'utente di IAM Identity Center utilizzata per richiedere l'azione. È possibile utilizzare questo valore per identificare CloudTrail gli eventi avviati all'interno della stessa sessione utente autenticata di IAM Identity Center nel portale di AWS accesso.

Identificazione dei dettagli della sessione in background dell'utente negli eventi avviati dall'utente di IAM Identity Center CloudTrail

L' CloudTrail evento seguente illustra il processo di scambio di token OAuth 2.0, in cui un token di accesso esistente (thesubjectToken) che rappresenta la sessione interattiva dell'utente viene scambiato con un token di aggiornamento (the). requestedTokenType Il token di aggiornamento consente a qualsiasi processo di lunga durata avviato dall'utente di continuare a funzionare con le autorizzazioni dell'utente, anche dopo che l'utente si è disconnesso.

Per le sessioni in background degli utenti di IAM Identity Center, l' CloudTrail evento include un elemento aggiuntivo chiamato resource nell'elemento. requestParameters Il resource parametro contiene l'Amazon Resource Name (ARN) del processo eseguito in background. Questo elemento è presente solo nei record CloudTrail degli eventi e non è incluso nelle risposte CreateTokenWithIAM API o SDK di IAM Identity Center.

{
  "clientId": "EXAMPLE-CLIENT-ID",
  "grantType": "urn:ietf:params:oauth:grant-type:token-exchange",
  "code": "HIDDEN_DUE_TO_SECURITY_REASONS",
  "redirectUri": "https://example.com/callback",
  "assertion": "HIDDEN_DUE_TO_SECURITY_REASONS",
  "subjectToken": "HIDDEN_DUE_TO_SECURITY_REASONS",
  "subjectTokenType": "urn:ietf:params:oauth:token-type:access_token",
  "requestedTokenType": "urn:ietf:params:oauth:token-type:refresh_token",
  "resource": "arn:aws:sagemaker:us-west-2:123456789012:training-job/my-job"
}

Correlazione degli utenti tra IAM Identity Center e directory esterne

IAM Identity Center fornisce due attributi utente che puoi utilizzare per correlare un utente nella sua directory con lo stesso utente in una directory esterna (ad esempio, Microsoft Active Directory eOkta Universal Directory).

La mappatura di questi due attributi utente agli attributi utente corrispondenti in una directory esterna è definita in IAM Identity Center quando l'origine dell'identità è la Servizio di directory. Per informazioni, consulta. Mappature degli attributi tra IAM Identity Center e la directory External Identity Provider Gli utenti esterni IdPs che utilizzano SCIM hanno una propria mappatura. Anche se utilizzi la directory IAM Identity Center come fonte di identità, puoi utilizzare l'externalIdattributo per incrociare i principi di sicurezza con la tua directory esterna.

La sezione seguente spiega come cercare un utente di IAM Identity Center utilizzando e. username externalId

Visualizzazione di un utente IAM Identity Center tramite nome utente e ExternalID

È possibile recuperare gli attributi utente dalla directory IAM Identity Center per un nome utente noto richiedendo prima un corrispondente userId utilizzando la richiesta GetUserId API, quindi emettendo una richiesta DescribeUser API, come mostrato nell'esempio precedente. L'esempio seguente dimostra come recuperare un nome utente specifico userId dall'Identity Store. Puoi omettere il region parametro se la tua istanza di IAM Identity Center si trova nella regione predefinita con la CLI.

aws identitystore get-user-id \
    --identity-store d-9876543210 \
    --alternate-identifier '{
      "UniqueAttribute": {
      "AttributePath": "username",
      "AttributeValue": "anyuser@example.com"
        }
          }' \
    --region your-region-id

Allo stesso modo, puoi utilizzare lo stesso meccanismo quando conosci il. externalId Aggiorna il percorso dell'attributo nell'esempio precedente con il externalId valore e il valore dell'attributo con lo specifico externalId che stai cercando.

Visualizzazione del Secure Identifier (SID) di un utente in Microsoft Active Directory (AD) ed ExternalID

In alcuni casi, IAM Identity Center emette il SID di un utente nel principalId campo degli CloudTrail eventi, ad esempio quelli emessi dal portale di AWS accesso e dalle API OIDC. Questi casi sono in fase di eliminazione. Consigliamo ai tuoi flussi di lavoro di utilizzare l'attributo AD objectguid quando hai bisogno di un identificatore utente univoco da AD. Puoi trovare questo valore nell'externalIdattributo nella directory IAM Identity Center. Tuttavia, se i flussi di lavoro richiedono l'uso del SID, recupera il valore da AD poiché non è disponibile tramite le API IAM Identity Center.

Correlazione degli eventi utente all'interno della stessa sessione utentedescrive come utilizzare i username campi externalId and per correlare un utente IAM Identity Center a un utente corrispondente in una directory esterna. Per impostazione predefinita, IAM Identity Center esegue externalId il mapping sull'objectguidattributo in AD e questa mappatura è fissa. IAM Identity Center offre agli amministratori la flessibilità di eseguire la mappatura username in modo diverso rispetto alla mappatura predefinita in ADuserprincipalname.

Puoi visualizzare queste mappature nella console di IAM Identity Center. Vai alla scheda Identity Source delle Impostazioni e scegli Gestisci sincronizzazione nel menu Azioni. Nella sezione Gestisci sincronizzazione, scegli il pulsante Visualizza le mappature degli attributi.

Sebbene tu possa utilizzare qualsiasi identificatore utente AD univoco disponibile in IAM Identity Center per cercare un utente in AD, ti consigliamo di utilizzarlo objectguid nelle tue query perché è un identificatore immutabile. L'esempio seguente mostra come interrogare Microsoft AD con Powershell per recuperare un utente utilizzando il valore dell'utente di. objectguid 16809ecc-7225-4c20-ad98-30094aefdbca Una risposta corretta a questa query include il SID dell'utente.

Install-WindowsFeature -Name  RSAT-AD-PowerShell
 
  Get-ADUser `
  -Filter {objectGUID -eq  [GUID]::Parse("16809ecc-7225-4c20-ad98-30094aefdbca")} `
  -Properties *