本文为您介绍通过角色扮演查询操作审计的事件示例及含义。

示例

以下示例表示北京时间2021年01月01日08:00:00,阿里云账号175498693826****中的RAM用户通过扮演阿里云账号159498693826****下的custom-role-for-actiontrail角色来查询操作审计的事件。

{
  "apiVersion": "2020-07-06",
  "requestId": "3462D6AF-4434-4690-8CAD-E54A",
  "eventType": "ApiCall",
  "userIdentity": {
    "accessKeyId": "STS.NUQNP4PiGyckMsNiGELCs****",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-01-01T00:00:00Z"
      }
    },
    "accountId": "159498693826****",
    "principalId": "34359792600393****:u1",
    "type": "assumed-role",
    "userName": "custom-role-for-actiontrail:u1"
  },
  "acsRegion": "cn-hangzhou",
  "eventName": "LookupEvents",
  "requestParameters": {
    "stsTokenPrincipalName": "custom-role-for-actiontrail/u1",
    "AcsHost": "actiontrail.cn-hangzhou.aliyuncs.com",
    "ServiceCode": "actiontrail",
    "AcsProduct": "Actiontrail",
    "RequestId": "3462D6AF-4434-4690-8CAD-E54A",
    "Region": "cn-hangzhou",
    "LookupAttribute.1.Value": "Write",
    "RegionId": "cn-hangzhou",
    "HostId": "actiontrail.cn-hangzhou.aliyuncs.com",
    "stsTokenPlayerUid": 175498693826****,
    "LookupAttribute.1.Key": "EventRW"
  },
  "eventSource": "actiontrail.cn-hangzhou.aliyuncs.com",
  "serviceName": "Actiontrail",
  "eventTime": "2021-01-01T00:00:00Z",
  "userAgent": "AlibabaCloud (Mac OS X; x86_64) Java/1.8.0_252-b09 Core/4.4.6 HTTPClient/ApacheHttpClient",
  "eventId": "3462D6AF-4434-4690-8CAD-****",
  "additionalEventData": {
    "Scheme": "http"
  },
  "errorCode": "",
  "errorMessage": "",
  "eventVersion": "1",
  "sourceIpAddress": "192.168.XX.XX"
}

示例中关键字段含义如下:

  • userIdentity.accountId:请求者的阿里云账号ID,在本示例中表示RAM角色归属的账号ID。取值为159498693826****
  • userIdentity.principalId:请求者的ID。格式为{roleId}:{sessionName}roleId表示被扮演的RAM角色ID,sessionName表示进行角色扮演时指定的名称。取值为34359792600393****:u1,表示被扮演的RAM角色ID是34359792600393****,进行角色扮演时指定的名称为u1
  • userIdentity.type:请求者的身份类型。取值为assumed-role,表示通过扮演RAM角色进行的访问。
  • userIdentity.userName:请求者的用户名。格式为{roleName}:{sessionName}roleName表示被扮演的角色名称,sessionName表示进行角色扮演时指定的名称。取值为custom-role-for-actiontrail:u1,表示被扮演的RAM角色名称是custom-role-for-actiontrail,进行角色扮演时指定的名称为u1
    说明 custom-role-for-actiontrail是操作审计的自定义角色名称,具有查询操作审计事件的权限。
  • userIdentity.creationDate:事件的发生时间(UTC格式)。取值为2021-01-01T00:00:00Z,表示北京时间2021年01月01日08:00:00。
  • requestParameters.stsTokenPlayerUid:扮演者账号所属的阿里云账号ID。取值为175498693826****,表示阿里云账号175498693826****中的RAM用户跨账号扮演159498693826****账号下的RAM角色。