Un'azienda utilizza un provider di identità (IdP) esterno per la federazione in più account AWS. Un ingegnere della sicurezza deve determinare rapidamente quale utente federato ha terminato un'istanza Amazon EC2 di produzione una settimana fa. Qual è il modo più veloce per identificare l'utente?

La risposta corretta è filtrare la cronologia degli eventi di AWS CloudTrail. CloudTrail registra tutte le chiamate API, inclusi gli eventi TerminateInstances. Per gli utenti federati, l'evento TerminateInstances indicherà il ruolo IAM assunto. Successivamente, è necessario cercare l'evento AssumeRoleWithSAML (o AssumeRoleWithWebIdentity a seconda del provider di identità) che ha preceduto l'evento di terminazione, poiché questo evento conterrà il nome utente federato effettivo dal provider di identità. Le altre opzioni sono meno efficienti o inaccurate: Esaminare i log direttamente nel bucket S3 è meno efficiente rispetto all'utilizzo della console CloudTrail per filtrare gli eventi. Il "nome della sessione del ruolo" non è sempre sufficiente per identificare l'utente federato. IAM Access Advisor mostra l'ultima attività di un ruolo, ma non il dettaglio dell'utente specifico che ha assunto il ruolo in un determinato momento. AssumeRoleWithWebIdentity è specifico per la federazione tramite provider di identità web (come Google, Facebook), non necessariamente per tutti gli IdP esterni che potrebbero usare SAML. Sebbene Athena possa essere usato, la ricerca diretta in CloudTrail è più rapida per un singolo evento.