Une entreprise utilise Amazon Cognito comme plateforme d'identité OAuth 2.0 pour ses applications web et mobiles. L'entreprise doit capturer les tentatives de connexion réussies et échouées et pouvoir interroger les données. Quelle solution répondra à ces exigences ?

AWS CloudTrail enregistre les appels d'API et les événements liés aux ressources AWS, y compris les tentatives de connexion réussies et échouées dans Amazon Cognito. La livraison des journaux à un compartiment S3 permet un stockage à long terme et une analyse rentable. Amazon Athena peut ensuite interroger directement ces journaux S3 en utilisant SQL standard, ce qui permet de filtrer facilement les événements InitiateAuth (qui incluent les tentatives de connexion) et la source d'événement cognito-idp.amazonaws.com. Les autres options sont moins efficaces ou incomplètes : L'envoi des journaux Cognito à CloudWatch Logs est possible, mais l'exportation vers S3 via EventBridge et Lambda ajoute de la complexité par rapport à CloudTrail qui le fait nativement. L'envoi des événements CloudTrail à CloudWatch pour la surveillance est une bonne pratique, mais l'interrogation directe des journaux d'événements dans CloudWatch Logs est moins flexible et plus coûteuse pour les requêtes ad hoc sur de grands volumes que l'utilisation d'Athena sur S3. Les métriques CloudWatch fournissent des agrégations numériques (par exemple, nombre de tentatives de connexion), mais ne contiennent pas les détails spécifiques de chaque tentative de connexion individuelle nécessaires pour une analyse forensique ou détaillée.