Ein Unternehmen nutzt einen externen Identitätsanbieter (IdP) für die Föderation mit mehreren AWS-Konten. Ein Sicherheitsingenieur muss schnell ermitteln, welcher föderierte Benutzer vor einer Woche eine Amazon EC2-Produktionsinstanz beendet hat. Wie lässt sich der Benutzer am schnellsten identifizieren?

Die schnellste Methode ist, den CloudTrail-Ereignisverlauf nach TerminateInstances zu filtern. Dieses Ereignis zeigt die IAM-Rolle an, die die Aktion ausgeführt hat. Da es sich um einen föderierten Benutzer handelt, hat dieser eine Rolle über AssumeRoleWithSAML angenommen. Indem man dann nach dem AssumeRoleWithSAML-Ereignis für diese spezifische Rolle sucht, kann man den ursprünglichen föderierten Benutzernamen identifizieren, der in den Details des userIdentity-Feldes enthalten ist. Die Überprüfung der CloudTrail-Protokolle im S3-Bucket ist zwar korrekt, aber der Ereignisverlauf in der Konsole ist schneller für eine Ad-hoc-Suche. Der Rollensitzungsname ist nicht immer der vollständige Benutzername. IAM Access Advisor zeigt nur den letzten Zugriff einer Rolle, nicht den spezifischen Benutzer. Amazon Athena ist mächtig, aber für diese spezifische Aufgabe, die einen einzelnen Vorfall betrifft, ist der CloudTrail-Ereignisverlauf direkter und schneller als das Einrichten und Ausführen einer Athena-Abfrage. AssumeRoleWithWebIdentity wird für externe Identitätsanbieter wie Google oder Facebook verwendet, nicht für SAML-Föderation.