Een bedrijf gebruikt Amazon Cognito als zijn OAuth 2.0 identiteitsplatform voor web- en mobiele applicaties. Het bedrijf moet zowel succesvolle als mislukte aanmeldingspogingen vastleggen en de gegevens kunnen opvragen. Welke oplossing voldoet aan deze vereisten?

AWS CloudTrail registreert API-aanroepen en gerelateerde gebeurtenissen voor AWS-services, waaronder Amazon Cognito. Succesvolle en mislukte aanmeldingspogingen worden vastgelegd als InitiateAuth-gebeurtenissen. Door CloudTrail-logs naar een S3-bucket te sturen, kunnen deze efficiënt worden opgevraagd met Amazon Athena, een queryservice die SQL gebruikt om gegevens in S3 te analyseren. De eventSource 'cognito-idp.amazonaws.com' filtert specifiek op Cognito User Pool-gebeurtenissen. De andere opties zijn minder geschikt: CloudWatch Logs kan gebruikersactiviteitslogs van Cognito ontvangen, maar het exporteren via EventBridge en Lambda voor Athena-query's is complexer dan direct CloudTrail gebruiken. CloudTrail-events naar CloudWatch sturen is voor monitoring, niet primair voor query's van historische gegevens in S3. CloudWatch-metrics bieden geaggregeerde statistieken, geen gedetailleerde loggegevens per aanmeldingspoging.