Une entreprise utilise un fournisseur d'identité (IdP) externe pour la fédération dans plusieurs comptes AWS. Un ingénieur de sécurité doit rapidement déterminer quel utilisateur fédéré a arrêté une instance Amazon EC2 de production il y a une semaine. Quelle est la méthode la plus rapide pour identifier l'utilisateur ?

La méthode la plus rapide pour identifier l'utilisateur fédéré est de filtrer l'historique des événements CloudTrail pour l'événement TerminateInstances. Cet événement révélera le rôle IAM assumé par l'utilisateur. Ensuite, en recherchant dans CloudTrail l'événement AssumeRoleWithSAML (ou AssumeRoleWithWebIdentity selon le type de fédération) qui a précédé l'événement TerminateInstances et qui correspond au rôle assumé, on peut trouver le nom d'utilisateur fédéré. Examiner les journaux S3 directement est moins efficace car cela nécessite une analyse manuelle des fichiers. L'onglet IAM Access Advisor ne fournit pas les détails d'un événement spécifique, mais plutôt des informations sur le dernier accès à un