Отслеживание использования ключа доступа IAM за пределами «последнего использования» - PullRequest
Новая
       9

Отслеживание использования ключа доступа IAM за пределами «последнего использования»

0 голосов
/ 11 мая 2018

Есть ли способ получить более глубокую историю того, когда использовался ключ доступа и для какой службы он использовался?

Если ключ использовался в нескольких местах, я не уверен, что его деактивация безопасна только потому, что я знаю последнее место, где он использовался.

1 Ответ

0 голосов
/ 11 мая 2018

Да, в значительной степени возможно с AWS CloudTrail .
Взгляните на ссылку ниже

Регистрация событий IAM с AWS CloudTrail

Пример события CloudTrail 

{
  "eventVersion": "1.05",
  "userIdentity": {
    "type": "IAMUser",
    "principalId": "AIDACKCEVSQ6C2EXAMPLE",
    "arn": "arn:aws:iam::444455556666:user/Alice",
    "accountId": "444455556666",
    "accessKeyId": "AKIAI44QH8DHBEXAMPLE",
    "userName": "Alice",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2014-07-15T21:39:40Z"
      }
    },
    "invokedBy": "signin.amazonaws.com"
  },
  "eventTime": "2014-07-15T21:40:14Z",
  "eventSource": "iam.amazonaws.com",
  "eventName": "GetUserPolicy",
  "awsRegion": "us-east-2",
  "sourceIPAddress": "signin.amazonaws.com",
  "userAgent": "signin.amazonaws.com",
  "requestParameters": {
    "userName": "Alice",
    "policyName": "ReadOnlyAccess-Alice-201407151307"
  },
  "responseElements": null,
  "requestID": "9EXAMPLE-0c68-11e4-a24e-d5e16EXAMPLE",
  "eventID": "cEXAMPLE-127e-4632-980d-505a4EXAMPLE"
}

Из приведенной выше информации о событии можно определить, что был сделан запрос на получение политики пользователя с именем ReadOnlyAccess-Alice-201407151307 для пользователя Alice, как указано в элементе requestParameters.Также видно, что запрос был сделан пользователем IAM по имени Алиса 15 июля 2014 года в 21:40 (UTC).В этом случае запрос возник в Консоли управления AWS, как вы можете сказать из элемента userAgent.

...