Obtenha informações de chave usando diferentes usuários ou interfaces - ActionTrail: Central de Documentação do Alibaba Cloud

O ActionTrail registra eventos do Key Management Service (KMS) para permitir a auditoria de quem acessou uma chave, quando, de qual região e por qual interface. Este tópico apresenta exemplos de eventos para quatro cenários: uma conta Alibaba Cloud usando o console, um usuário RAM usando o console, um usuário RAM chamando a API com um AccessKey e um usuário RAM assumindo uma função.

Conta Alibaba Cloud obtém informações da chave pelo console

Neste exemplo, uma conta Alibaba Cloud chamou a operação DescribeKey às 17:21:32 em 5 de agosto de 2021 (UTC+8) para recuperar informações sobre a chave 3a6a031d-87ad-4a84-9c17-aa22e0b0**** na região China (Hangzhou).

{
  "eventId": "ab35a7a7-373a-4a36-a4f8-01fd6adcc6a0",
  "eventVersion": 1,
  "eventSource": "kms-intranet.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "3a6a031d-87ad-4a84-9c17-aa22e0b0****"
  },
  "sourceIpAddress": "Internal",
  "userAgent": "AliyunConsole",
  "eventType": "ApiCall",
  "userIdentity": {
    "accountId": "506899367883****",
    "principalId": "506899367883****",
    "type": "root-account",
    "userName": "root"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "ab35a7a7-373a-4a36-a4f8-01fd6adcc6a0",
  "eventTime": "2021-08-05T09:21:32Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Os principais campos são descritos abaixo.

userIdentity.type: Tipo de identidade do solicitante. O valor root-account indica uma conta Alibaba Cloud.
serviceName: Serviço da Alibaba Cloud que recebeu a solicitação. O valor Kms indica o KMS.
eventName: Operação que acionou o evento. O valor DescribeKey indica uma solicitação de recuperação de informações da chave.
requestParameters.KeyId: ID da chave acessada. O valor é 3a6a031d-87ad-4a84-9c17-aa22e0b0****.
acsRegion: Região onde o evento ocorreu. O valor cn-hangzhou indica a região China (Hangzhou).
eventTime: Horário do evento em UTC. O valor 2021-08-05T09:21:32Z corresponde a 17:21:32 em 5 de agosto de 2021 (UTC+8).

Usuário RAM obtém informações da chave pelo console

Neste exemplo, o usuário do Resource Access Management (RAM) Alice chamou a operação DescribeKey às 16:53:03 em 5 de agosto de 2021 (UTC+8) para recuperar informações sobre a chave e1ea5c30-04d3-41e4-b445-1eb5b656**** na região China (Hangzhou).

{
  "eventId": "c8d094ca-64b8-49cf-bbf3-2a9b540abed9",
  "eventVersion": 1,
  "eventSource": "kms-intranet.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "e1ea5c30-04d3-41e4-b445-1eb5b656****"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AliyunConsole",
  "eventType": "ApiCall",
  "userIdentity": {
    "accountId": "111737649404****",
    "principalId": "23899132441193****",
    "type": "ram-user",
    "userName": "Alice"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "c8d094ca-64b8-49cf-bbf3-2a9b540abed9",
  "eventTime": "2021-08-05T08:53:03Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Em comparação com o exemplo da conta Alibaba Cloud, este evento mostra userIdentity.type como ram-user e inclui userIdentity.userName para identificar o usuário RAM específico. Os principais campos são descritos abaixo.

userIdentity.type: Tipo de identidade do solicitante. O valor ram-user indica um usuário RAM.
userIdentity.userName: Nome de usuário do usuário RAM que fez a solicitação.
serviceName: Serviço da Alibaba Cloud que recebeu a solicitação. O valor Kms indica o KMS.
eventName: Operação que acionou o evento. O valor DescribeKey indica uma solicitação de recuperação de informações da chave.
requestParameters.KeyId: ID da chave acessada. O valor é e1ea5c30-04d3-41e4-b445-1eb5b656****.
acsRegion: Região onde o evento ocorreu. O valor cn-hangzhou indica a região China (Hangzhou).
eventTime: Horário do evento em UTC. O valor 2021-08-05T08:53:03Z corresponde a 16:53:03 em 5 de agosto de 2021 (UTC+8).

Usuário RAM obtém informações da chave chamando uma API com um AccessKey

Neste exemplo, o usuário RAM kms-test chamou a operação DescribeKey às 17:02:30 em 5 de agosto de 2021 (UTC+8). O usuário autenticou-se com o AccessKey ID LTAI**************** para recuperar informações sobre a chave e1ea5c30-04d3-41e4-b445-1eb5b656**** na região China (Hangzhou).

{
  "eventId": "da43d031-cf5a-44ec-aec8-4a13f468aa12",
  "eventVersion": 1,
  "eventSource": "kms.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "e1ea5c30-04d3-41e4-b445-1eb5b656****"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AlibabaCloud (Linux; amd64) Java/1.8.0_212-b04 Core/4.5.1 HTTPClient/ApacheHttpClient",
  "eventType": "ApiCall",
  "userIdentity": {
    "accessKeyId": "LTAI****************",
    "accountId": "164165083897****",
    "principalId": "21682348916186****",
    "type": "ram-user",
    "userName": "kms-test"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "da43d031-cf5a-44ec-aec8-4a13f468aa12",
  "eventTime": "2021-08-05T09:02:30Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Diferentemente dos exemplos baseados no console, este evento inclui userIdentity.accessKeyId, que registra o AccessKey usado na chamada da API. Os principais campos são descritos abaixo.

userIdentity.accessKeyId: AccessKey ID usado para autenticar a chamada da API. O valor é LTAI**.
userIdentity.principalId: ID do usuário RAM proprietário do AccessKey. O valor é 21682348916186****.
userIdentity.type: Tipo de identidade do solicitante. O valor ram-user indica um usuário RAM.
userIdentity.userName: Nome de usuário do usuário RAM que fez a solicitação.
serviceName: Serviço da Alibaba Cloud que recebeu a solicitação. O valor Kms indica o KMS.
eventName: Operação que acionou o evento. O valor DescribeKey indica uma solicitação de recuperação de informações da chave.
requestParameters.KeyId: ID da chave acessada. O valor é e1ea5c30-04d3-41e4-b445-1eb5b656****.
acsRegion: Região onde o evento ocorreu. O valor cn-hangzhou indica a região China (Hangzhou).
eventTime: Horário do evento em UTC. O valor 2021-08-05T09:02:30Z corresponde a 17:02:30 em 5 de agosto de 2021 (UTC+8).

Usuário RAM obtém informações da chave assumindo uma função

Neste exemplo, às 17:20:28 em 5 de agosto de 2021 (UTC+8), um usuário RAM da conta Alibaba Cloud 132295042695**** assumiu a função RAM aliyunedasdefaultrole da conta Alibaba Cloud 119997133354**** para recuperar informações sobre a chave e1ea5c30-04d3-41e4-b445-1eb5b656**** na região China (Hangzhou).

{
  "eventId": "4e059394-8b95-4788-84cf-efe7aa8f6935",
  "eventVersion": 1,
  "eventSource": "kms.cn-hangzhou.aliyuncs.com",
  "requestParameters": {
    "KeyId": "e1ea5c30-04d3-41e4-b445-1eb5b656****",
    "stsTokenPlayerUid": "132295042695****"
  },
  "sourceIpAddress": "192.168.XX.XX",
  "userAgent": "AlibabaCloud (Linux; amd64) Java/1.8.0_92-b18 Core/4.5.6 HTTPClient/ApacheHttpClient",
  "eventType": "ApiCall",
  "userIdentity": {
    "accessKeyId": "STS.****************",
    "accountId": "119997133354****",
    "principalId": "34933955188809****:fb23c186-5930-498a-a630-0a****",
    "type": "assumed-role",
    "userName": "aliyunedasdefaultrole:fb23c186-5930-498a-a630-0a****"
  },
  "serviceName": "Kms",
  "apiVersion": "2016-01-20",
  "requestId": "4e059394-8b95-4788-84cf-efe7aa8f6935",
  "eventTime": "2021-08-05T09:20:28Z",
  "isGlobal": false,
  "acsRegion": "cn-hangzhou",
  "eventName": "DescribeKey"
}

Quando uma função RAM é assumida, credenciais temporárias do STS aparecem em userIdentity. Use userIdentity.userName para identificar tanto a função quanto a sessão, e requestParameters.stsTokenPlayerUid para encontrar a conta que assumiu a função. Os principais campos são descritos abaixo.

userIdentity.type: Tipo de identidade do solicitante. O valor assumed-role indica que a solicitação foi feita usando uma função RAM.
userIdentity.userName: Identidade do solicitante no formato {roleName}:{sessionName}, onde roleName é a função assumida e sessionName é o nome da sessão especificado no momento da assunção da função. O valor aliyunedasdefaultrole:fb23c186-5930-498a-a630-0a**** significa que a função assumida é aliyunedasdefaultrole e o nome da sessão é fb23c186-5930-498a-a630-0a****.

Nota
Por padrão, o Enterprise Distributed Application Service (EDAS) usa a função aliyunedasdefaultrole para acessar seus recursos em outros serviços de nuvem.
requestParameters.stsTokenPlayerUid: ID da conta Alibaba Cloud da entidade que assumiu a função. O valor é 132295042695****.
serviceName: Serviço da Alibaba Cloud que recebeu a solicitação. O valor Kms indica o KMS.
eventName: Operação que acionou o evento. O valor DescribeKey indica uma solicitação de recuperação de informações da chave.
requestParameters.KeyId: ID da chave acessada. O valor é e1ea5c30-04d3-41e4-b445-1eb5b656****.
acsRegion: Região onde o evento ocorreu. O valor cn-hangzhou indica a região China (Hangzhou).
eventTime: Horário do evento em UTC. O valor 2021-08-05T09:20:28Z corresponde a 17:20:28 em 5 de agosto de 2021 (UTC+8).