Una empresa utiliza un proveedor de identidad (IdP) externo para la federación en varias cuentas de AWS. Un ingeniero de seguridad debe determinar rápidamente qué usuario federado terminó una instancia de Amazon EC2 de producción hace una semana. ¿Cuál es la forma más rápida de identificar al usuario?

La opción correcta es la más eficiente. Al filtrar el historial de eventos de CloudTrail por TerminateInstances, se identifica el rol de IAM que realizó la acción. Luego, al buscar eventos AssumeRoleWithSAML (que es el método común para la federación con IdP externos) para ese rol y en el período de tiempo relevante, se puede encontrar el nombre de usuario federado que asumió ese rol. Revisar los registros en el bucket de S3 directamente es menos eficiente que usar la consola de CloudTrail para filtrar eventos. IAM Access Advisor muestra la última vez que se usó un rol, no quién lo usó específicamente en un evento dado. Amazon Athena es útil para consultas complejas en grandes volúmenes de logs, pero AssumeRoleWithWebIdentity se usa para la federación con proveedores de identidad web como Google o Facebook, no para IdP externos empresariales que generalmente usan SAML.