Dapatkan informasi kunci menggunakan pengguna atau antarmuka yang berbeda - ActionTrail

ActionTrail mencatat event Key Management Service (KMS) sehingga Anda dapat mengaudit siapa yang mengakses kunci, kapan, dari wilayah mana, dan melalui antarmuka apa. Topik ini mencakup contoh event untuk empat skenario: akun Alibaba Cloud menggunakan Konsol, pengguna RAM menggunakan Konsol, pengguna RAM memanggil API dengan AccessKey, dan pengguna RAM mengasumsikan peran.

Akun Alibaba Cloud mendapatkan informasi kunci dari Konsol

Pada contoh ini, akun Alibaba Cloud memanggil operasi DescribeKey pada pukul 17.21.32, 5 Agustus 2021 (UTC+8) untuk mengambil informasi tentang kunci 3a6a031d-87ad-4a84-9c17-aa22e0b0**** di wilayah China (Hangzhou).

{
  "eventId": "ab35a7a7-373a-4a36-a4f8-01fd6adcc6a0",
  "eventVersion": 1,
  "eventSource": "kms-intranet.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "3a6a031d-87ad-4a84-9c17-aa22e0b0****"
  },
  "sourceIpAddress": "Internal",
  "userAgent": "AliyunConsole",
  "eventType": "ApiCall",
  "userIdentity": {
    "accountId": "506899367883****",
    "principalId": "506899367883****",
    "type": "root-account",
    "userName": "root"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "ab35a7a7-373a-4a36-a4f8-01fd6adcc6a0",
  "eventTime": "2021-08-05T09:21:32Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Bidang-bidang utama dijelaskan di bawah ini.

userIdentity.type: Jenis identitas pemohon. Nilai root-account menunjukkan akun Alibaba Cloud.
serviceName: Layanan Alibaba Cloud yang menerima permintaan. Nilai Kms menunjukkan KMS.
eventName: Operasi yang memicu event. Nilai DescribeKey menunjukkan permintaan pengambilan informasi kunci.
requestParameters.KeyId: ID kunci yang diakses. Nilainya adalah 3a6a031d-87ad-4a84-9c17-aa22e0b0****.
acsRegion: Wilayah tempat event terjadi. Nilai cn-hangzhou menunjukkan wilayah China (Hangzhou).
eventTime: Waktu terjadinya event, dalam UTC. Nilai 2021-08-05T09:21:32Z sesuai dengan pukul 17.21.32, 5 Agustus 2021 (UTC+8).

Pengguna RAM mendapatkan informasi kunci dari Konsol

Pada contoh ini, pengguna Resource Access Management (RAM) Alice memanggil operasi DescribeKey pada pukul 16.53.03, 5 Agustus 2021 (UTC+8) untuk mengambil informasi tentang kunci e1ea5c30-04d3-41e4-b445-1eb5b656**** di wilayah China (Hangzhou).

{
  "eventId": "c8d094ca-64b8-49cf-bbf3-2a9b540abed9",
  "eventVersion": 1,
  "eventSource": "kms-intranet.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "e1ea5c30-04d3-41e4-b445-1eb5b656****"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AliyunConsole",
  "eventType": "ApiCall",
  "userIdentity": {
    "accountId": "111737649404****",
    "principalId": "23899132441193****",
    "type": "ram-user",
    "userName": "Alice"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "c8d094ca-64b8-49cf-bbf3-2a9b540abed9",
  "eventTime": "2021-08-05T08:53:03Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Dibandingkan dengan contoh akun Alibaba Cloud, event ini menampilkan userIdentity.type sebagai ram-user dan menyertakan userIdentity.userName untuk mengidentifikasi pengguna RAM tertentu. Bidang-bidang utama dijelaskan di bawah ini.

userIdentity.type: Jenis identitas pemohon. Nilai ram-user menunjukkan pengguna RAM.
userIdentity.userName: Username pengguna RAM yang melakukan permintaan.
serviceName: Layanan Alibaba Cloud yang menerima permintaan. Nilai Kms menunjukkan KMS.
eventName: Operasi yang memicu event. Nilai DescribeKey menunjukkan permintaan pengambilan informasi kunci.
requestParameters.KeyId: ID kunci yang diakses. Nilainya adalah e1ea5c30-04d3-41e4-b445-1eb5b656****.
acsRegion: Wilayah tempat event terjadi. Nilai cn-hangzhou menunjukkan wilayah China (Hangzhou).
eventTime: Waktu terjadinya event, dalam UTC. Nilai 2021-08-05T08:53:03Z sesuai dengan pukul 16.53.03, 5 Agustus 2021 (UTC+8).

Pengguna RAM mendapatkan informasi kunci dengan memanggil API menggunakan AccessKey

Pada contoh ini, pengguna RAM kms-test memanggil operasi DescribeKey pada pukul 17.02.30, 5 Agustus 2021 (UTC+8). Pengguna tersebut melakukan autentikasi dengan ID AccessKey LTAI**************** untuk mengambil informasi tentang kunci e1ea5c30-04d3-41e4-b445-1eb5b656**** di wilayah China (Hangzhou).

{
  "eventId": "da43d031-cf5a-44ec-aec8-4a13f468aa12",
  "eventVersion": 1,
  "eventSource": "kms.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "e1ea5c30-04d3-41e4-b445-1eb5b656****"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AlibabaCloud (Linux; amd64) Java/1.8.0_212-b04 Core/4.5.1 HTTPClient/ApacheHttpClient",
  "eventType": "ApiCall",
  "userIdentity": {
    "accessKeyId": "LTAI****************",
    "accountId": "164165083897****",
    "principalId": "21682348916186****",
    "type": "ram-user",
    "userName": "kms-test"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "da43d031-cf5a-44ec-aec8-4a13f468aa12",
  "eventTime": "2021-08-05T09:02:30Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Berbeda dengan contoh berbasis Konsol, event ini menyertakan userIdentity.accessKeyId, yang mencatat AccessKey yang digunakan untuk panggilan API. Bidang-bidang utama dijelaskan di bawah ini.

userIdentity.accessKeyId: ID AccessKey yang digunakan untuk mengautentikasi panggilan API. Nilainya adalah LTAI.
userIdentity.principalId: ID pengguna RAM yang memiliki AccessKey tersebut. Nilainya adalah 21682348916186****.
userIdentity.type: Jenis identitas pemohon. Nilai ram-user menunjukkan pengguna RAM.
userIdentity.userName: Username pengguna RAM yang melakukan permintaan.
serviceName: Layanan Alibaba Cloud yang menerima permintaan. Nilai Kms menunjukkan KMS.
eventName: Operasi yang memicu event. Nilai DescribeKey menunjukkan permintaan pengambilan informasi kunci.
requestParameters.KeyId: ID kunci yang diakses. Nilainya adalah e1ea5c30-04d3-41e4-b445-1eb5b656****.
acsRegion: Wilayah tempat event terjadi. Nilai cn-hangzhou menunjukkan wilayah China (Hangzhou).
eventTime: Waktu terjadinya event, dalam UTC. Nilai 2021-08-05T09:02:30Z sesuai dengan pukul 17.02.30, 5 Agustus 2021 (UTC+8).

Pengguna RAM mendapatkan informasi kunci dengan mengasumsikan peran

Pada contoh ini, pada pukul 17.20.28, 5 Agustus 2021 (UTC+8), pengguna RAM dari akun Alibaba Cloud 132295042695**** mengasumsikan peran RAM aliyunedasdefaultrole milik akun Alibaba Cloud 119997133354**** untuk mengambil informasi tentang kunci e1ea5c30-04d3-41e4-b445-1eb5b656**** di wilayah China (Hangzhou).

{
  "eventId": "4e059394-8b95-4788-84cf-efe7aa8f6935",
  "eventVersion": 1,
  "eventSource": "kms.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "e1ea5c30-04d3-41e4-b445-1eb5b656****",
    "stsTokenPlayerUid": "132295042695****"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AlibabaCloud (Linux; amd64) Java/1.8.0_92-b18 Core/4.5.6 HTTPClient/ApacheHttpClient",
  "eventType": "ApiCall",
  "userIdentity": {
    "accessKeyId": "STS.****************",
    "accountId": "119997133354****",
    "principalId": "34933955188809****:fb23c186-5930-498a-a630-0a****",
    "type": "assumed-role",
    "userName": "aliyunedasdefaultrole:fb23c186-5930-498a-a630-0a****"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "4e059394-8b95-4788-84cf-efe7aa8f6935",
  "eventTime": "2021-08-05T09:20:28Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Saat peran RAM diasumsikan, kredensial sementara STS muncul di userIdentity. Gunakan userIdentity.userName untuk mengidentifikasi peran sekaligus sesi, dan requestParameters.stsTokenPlayerUid untuk menemukan akun yang mengasumsikan peran tersebut. Bidang-bidang utama dijelaskan di bawah ini.

userIdentity.type: Jenis identitas pemohon. Nilai assumed-role menunjukkan permintaan dilakukan menggunakan peran RAM.
userIdentity.userName: Identitas pemohon dalam format {roleName}:{sessionName}, di mana roleName adalah peran yang diasumsikan dan sessionName adalah nama sesi yang ditentukan saat mengasumsikan peran. Nilai aliyunedasdefaultrole:fb23c186-5930-498a-a630-0a**** berarti peran yang diasumsikan adalah aliyunedasdefaultrole dan nama sesinya adalah fb23c186-5930-498a-a630-0a****.

Catatan
Secara default, Enterprise Distributed Application Service (EDAS) menggunakan peran aliyunedasdefaultrole untuk mengakses resource Anda di layanan cloud lainnya.
requestParameters.stsTokenPlayerUid: ID akun Alibaba Cloud dari entitas yang mengasumsikan peran tersebut. Nilainya adalah 132295042695****.
serviceName: Layanan Alibaba Cloud yang menerima permintaan. Nilai Kms menunjukkan KMS.
eventName: Operasi yang memicu event. Nilai DescribeKey menunjukkan permintaan pengambilan informasi kunci.
requestParameters.KeyId: ID kunci yang diakses. Nilainya adalah e1ea5c30-04d3-41e4-b445-1eb5b656****.
acsRegion: Wilayah tempat event terjadi. Nilai cn-hangzhou menunjukkan wilayah China (Hangzhou).
eventTime: Waktu terjadinya event, dalam UTC. Nilai 2021-08-05T09:20:28Z sesuai dengan pukul 17.20.28, 5 Agustus 2021 (UTC+8).