STS の例 - ActionTrail - Alibaba Cloud ドキュメントセンター

ActionTrail は、Alibaba Cloud セキュリティトークンサービス (STS) に関連するイベントを記録します。 STS 関連イベントの詳細をクエリして、イベントが発生した時刻、イベントが発生したリージョン、関連する一時 ID などの情報を取得できます。このトピックでは、STS 関連の 3 つのサンプルイベントのログを提供し、イベントログに含まれる主要なフィールドについて説明します。

コンソールで RAM ユーザーとして一時 ID を取得する

次の例では、ユーザー名が Alice であるリソースアクセス管理 (RAM) ユーザーが、2021 年 8 月 5 日 15:59:47 (UTC + 08:00) に AssumeRole 操作を呼び出すことによって一時 ID を取得しました。 RAM ユーザーは、ID が 127812487797**** である Alibaba Cloud アカウントの cna-manager-test-role ロールをアシュームしました。

{
  "eventId": "FC410992-13D4-5D33-89A7-D8F4100CEE6B",
  "eventVersion": 1,
  "responseElements": {
    "RequestId": "FC410992-13D4-5D33-89A7-D8F4100CEE6B",
    "AssumedRoleUser": {
      "Arn": "acs:ram::127812487797****:role/cna-manager-test-role/169074",
      "AssumedRoleId": "33618118978621****:169074"
    },
    "Credentials": {
      "AccessKeyId": "STS.****************",
      "AccessKeySecret": "gS09k8a8fDwwgR0ey9IeCFuNfr****",
      "Expiration": "2021-08-05T08:59:47Z"
    }
  },
  "eventSource": "sts.aliyuncs.com",
  "requestParameters": {
    "AcsHost": "sts.aliyuncs.com",
    "AcsProduct": "Sts",
    "RequestId": "FC410992-13D4-5D33-89A7-D8F4100CEE6B",
    "RoleSessionName": 169074,
    "RegionId": "cn-hangzhou",
    "HostId": "sts.aliyuncs.com",
    "RoleArn": "acs:ram::127812487797****:role/cna-manager-test-role"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AlibabaCloud (Linux; amd64) Java/1.8.0_152-b187 Core/4.5.17 HTTPClient/ApacheHttpClient",
  "eventType": "ApiCall",
  "referencedResources": {
    "ACS::RAM::AccessKey": [
      "STS.NUQ79dzjpMPxYesi1YY5U****"
    ]
  },
  "userIdentity": {
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-08-05T07:59:46Z"
      }
    },
    "accountId": "146411043369****",
    "principalId": "21336811218169****",
    "type": "ram-user",
    "userName": "Alice"
  },
  "serviceName": "Sts",
  "additionalEventData": {
    "Scheme": "https",
    "CallerBid": "26842"
  },
  "apiVersion": "2015-04-01",
  "requestId": "FC410992-13D4-5D33-89A7-D8F4100CEE6B",
  "eventTime": "2021-08-05T07:59:47Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "AssumeRole"
}

サンプルイベントログには、次の主要なフィールドが含まれています。

userIdentity.type: リクエスターの ID タイプ。この例の値は ram-user で、RAM ユーザーを示します。
userIdentity.userName: RAM ユーザーのユーザー名。
serviceName: イベントに関連する Alibaba Cloud サービスの名前。この例の値は Sts で、STS を示します。
eventName: イベントの名前。この例の値は AssumeRole で、RAM ユーザーが RAM ロールをアシュームすることで一時 ID を取得したことを示します。 RAM ロールの信頼できるエンティティは Alibaba Cloud アカウントです。
requestParameters.RoleArn: RAM ユーザーによってアシュームされる RAM ロールの Alibaba Cloud リソースネーム (ARN)。この例の値は acs:ram::127812487797****:role/cna-manager-test-role です。 127812487797**** は RAM ロールが属する Alibaba Cloud アカウントの ID を示し、cna-manager-test-role は RAM ロールの名前を示します。
referencedResources: イベントに関連するリソース。この例の値は {"ACS::RAM::AccessKey": ["STS.NUQ79dzjpMPxYesi1YY5U****"]} で、資格情報が STS.NUQ79dzjpMPxYesi1YY5U**** である一時 ID を示します。
eventTime: イベントが発生した時刻 (UTC)。この例の値は 2021-08-05T07:59:47Z で、2021 年 8 月 5 日 15:59:47 (UTC + 08:00) を示します。

AssumeRole 操作を呼び出して RAM ユーザーとして一時 ID を取得する

次の例では、ユーザー名が Alice である RAM ユーザーが、2021 年 8 月 5 日 16:03:31 (UTC + 08:00) に AssumeRole 操作を呼び出すことによって一時 ID を取得しました。 RAM ユーザーは、ID が 193875730500**** である Alibaba Cloud アカウントの aliyunosstokengeneratorrole ロールをアシュームしました。

{
  "eventId": "B936D2EE-05DC-5AC1-9163-48F0DE28B963",
  "eventVersion": 1,
  "responseElements": {
    "RequestId": "B936D2EE-05DC-5AC1-9163-48F0DE28B963",
    "AssumedRoleUser": {
      "Arn": "acs:ram::193875730500****:role/aliyunosstokengeneratorrole/X5wpmS6EgkM080aE0Kym****",
      "AssumedRoleId": "30815480203992****:X5wpmS6EgkM080aE0Kym****"
    },
    "Credentials": {
      "AccessKeyId": "STS.****************",
      "AccessKeySecret": "gS09k8a8fDwwgR0ey9IeCFuNfr****",
      "Expiration": "2021-08-05T09:03:31Z"
    }
  },
  "eventSource": "sts.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "Policy": {
      "Version": "1",
      "Statement": [
        {
          "Condition": {},
          "Action": [
            "oss:PutObject"
          ],
          "Resource": [
            "acs:oss:*:*:taowo/image/disucss/2021/8/5/xNodqHMtGkX9arNrAkrz4d****/*",
            "acs:oss:*:*:taowo/video/disucss/2021/8/5/xNodqHMtGkX9arNrAkrz4d****/*",
            "acs:oss:*:*:taowo/sound/disucss/2021/8/5/xNodqHMtGkX9arNrAkrz4d****/*"
          ],
          "Effect": "Allow"
        }
      ]
    },
    "AcsHost": "sts.cn-hangzhou.aliyuncs.com",
    "AcsProduct": "Sts",
    "RequestId": "B936D2EE-05DC-5AC1-9163-48F0DE28B963",
    "RoleSessionName": "X5wpmS6EgkM080aE0Kym****",
    "Region": "cn-hangzhou",
    "SignatureType": "",
    "RegionId": "cn-hangzhou",
    "HostId": "sts.cn-hangzhou.aliyuncs.com",
    "RoleArn": "acs:ram::193875730500****:role/aliyunosstokengeneratorrole"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AlibabaCloud (Linux 3.10.0-1127.19.1.el7.x86_64;x86_64) Python/3.8.8 Core/2.13.32 python-requests/2.18.3",
  "eventType": "ApiCall",
  "referencedResources": {
    "ACS::RAM::AccessKey": [
      "STS.NTobFuYYn6EBxAVhC18ta****"
    ]
  },
  "userIdentity": {
    "accessKeyId": "LTAI****************",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-08-05T08:03:31Z"
      }
    },
    "accountId": "193875730500****",
    "principalId": "21365465900895****",
    "type": "ram-user",
    "userName": "Alice"
  },
  "serviceName": "Sts",
  "additionalEventData": {
    "Scheme": "https",
    "CallerBid": "26842"
  },
  "apiVersion": "2015-04-01",
  "requestId": "B936D2EE-05DC-5AC1-9163-48F0DE28B963",
  "eventTime": "2021-08-05T08:03:31Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "AssumeRole"
}

サンプルイベントログには、次の主要なフィールドが含まれています。

userIdentity.accessKeyId: API 呼び出しの開始に使用される AccessKey ID。この例の値は LTAI**************** です。
userIdentity.principalId: AccessKey ペアが属するアカウントの ID。この例の値は 21365465900895**** です。
userIdentity.type: リクエスターの ID タイプ。この例の値は ram-user で、RAM ユーザーを示します。
serviceName: イベントに関連する Alibaba Cloud サービスの名前。この例の値は Sts で、STS を示します。
eventName: イベントの名前。この例の値は AssumeRole で、RAM ユーザーが RAM ロールをアシュームすることで一時 ID を取得したことを示します。 RAM ロールの信頼できるエンティティは Alibaba Cloud アカウントです。
requestParameters.RoleArn: RAM ユーザーによってアシュームされる RAM ロールの ARN。この例の値は acs:ram::193875730500****:role/aliyunosstokengeneratorrole です。 193875730500**** は RAM ロールが属する Alibaba Cloud アカウントの ID を示し、aliyunosstokengeneratorrole は RAM ロールの名前を示します。
referencedResources: イベントに関連するリソース。この例の値は {"ACS::RAM::AccessKey": ["STS.NTobFuYYn6EBxAVhC18ta****"]} で、資格情報が test@example.onaliyun.com である一時 ID を示します。
eventTime: イベントが発生した時刻 (UTC)。この例の値は 2021-08-05T08:03:31Z で、2021 年 8 月 5 日 16:03:31 (UTC + 08:00) を示します。

ロールベース SSO を使用して企業ユーザーとして一時 ID を取得する

次の例では、ユーザー名が Alice である企業ユーザーが、2021 年 8 月 5 日 16:04:56 (UTC + 08:00) に AssumeRoleWithSAML 操作を呼び出すことによって一時 ID を取得しました。企業ユーザーは、ロールベース SSO を使用して、ID が 189186630579**** である Alibaba Cloud アカウントの cruisetestrole ロールをアシュームしました。

{
  "eventId": "66FDD0F9-3546-567A-8964-2BD734198356",
  "eventVersion": 1,
  "responseElements": {
    "RequestId": "66FDD0F9-3546-567A-8964-2BD734198356",
    "SAMLAssertionInfo": {
      "SubjectType": "transient",
      "Issuer": "https://testidp/saml",
      "Recipient": "https://signin.aliyun.com/saml-role/sso",
      "Subject": "Alice"
    },
    "AssumedRoleUser": {
      "Arn": "acs:ram::189186630579****:role/cruisetestrole/cruisetest",
      "AssumedRoleId": "37924473051351****:cruisetest"
    },
    "Credentials": {
      "AccessKeyId": "STS.****************",
      "AccessKeySecret": "gS09k8a8fDwwgR0ey9IeCFuNfr****",
      "Expiration": "2021-08-05T09:04:56Z"
    }
  },
  "eventSource": "sts.aliyuncs.com",
  "requestParameters": {
    "AcsHost": "sts.aliyuncs.com",
    "SAMLAssertion": "***",
    "AcsProduct": "Sts",
    "RequestId": "66FDD0F9-3546-567A-8964-2BD734198356",
    "DurationSeconds": 3600,
    "HostId": "sts.aliyuncs.com",
    "SAMLProviderArn": "acs:ram::189186630579****:saml-provider/mockedIdp",
    "RoleArn": "acs:ram::189186630579****:role/cruisetestrole"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "Jakarta Commons-HttpClient/3.1",
  "eventType": "ApiCall",
  "referencedResources": {
    "ACS::RAM::AccessKey": [
      "STS.NUTNKhGR8BR3QL9sJkSHp****"
    ]
  },
  "userIdentity": {
    "accountId": "189186630579****",
    "samlProviderName": "mockedIdp",
    "type": "saml-user",
    "userName": "Alice",
    "samlIssuer": "https://testidp/saml"
  },
  "serviceName": "Sts",
  "additionalEventData": {
    "Scheme": "https",
    "CallerBid": "26842"
  },
  "apiVersion": "2015-04-01",
  "requestId": "66FDD0F9-3546-567A-8964-2BD734198356",
  "eventTime": "2021-08-05T08:04:56Z",
  "isGlobal": false,
  "acsRegion": "cn-shanghai",
  "eventName": "AssumeRoleWithSAML"
}

サンプルイベントログには、次の主要なフィールドが含まれています。

userIdentity.type: リクエスターの ID タイプ。この例の値は saml-user で、企業固有の ID システムのユーザーを示します。
userIdentity.userName: 企業ユーザーのユーザー名。
requestParameters.RoleArn: RAM ユーザーによってアシュームされる RAM ロールの ARN。この例の値は cs:ram::189186630579****:role/cruisetestrole です。 189186630579**** は RAM ロールが属する Alibaba Cloud アカウントの ID を示し、cruisetestrole は RAM ロールの名前を示します。
referencedResources: イベントに関連するリソース。この例の値は {"ACS::RAM::AccessKey": ["STS.NUTNKhGR8BR3QL9sJkSHp****"]} で、資格情報が STS.NUTNKhGR8BR3QL9sJkSHp**** である一時 ID を示します。
serviceName: イベントに関連する Alibaba Cloud サービスの名前。この例の値は Sts で、STS を示します。
eventName: イベントの名前。この例の値は AssumeRoleWithSAML で、ロールベース SSO を使用して一時 ID が取得されたことを示します。
eventTime: イベントが発生した時刻 (UTC)。この例の値は 2021-08-05T08:04:56Z で、2021 年 8 月 5 日 16:04:56 (UTC + 08:00) を示します。