Firma korzysta z zewnętrznego dostawcy tożsamości (IdP) do federacji z wieloma kontami AWS. Inżynier bezpieczeństwa musi szybko ustalić, który sfederowany użytkownik zakończył działanie instancji produkcyjnej Amazon EC2 tydzień temu. Jaki jest najszybszy sposób identyfikacji użytkownika?

Poprawna odpowiedź jest najszybszym i najbardziej bezpośrednim sposobem na zidentyfikowanie sfederowanego użytkownika. Kiedy użytkownik sfederowany wykonuje akcję, przyjmuje rolę IAM. Zdarzenie TerminateInstances w CloudTrail pokaże, która rola IAM została przyjęta. Następnie, aby zidentyfikować konkretnego użytkownika sfederowanego, należy znaleźć zdarzenie AssumeRoleWithSAML (ponieważ firma korzysta z zewnętrznego dostawcy tożsamości, co wskazuje na SAML), które odpowiada przyjęciu tej roli, i tam znajdzie się nazwa użytkownika. Przeglądanie logów S3 bezpośrednio jest czasochłonne i mniej efektywne niż użycie historii zdarzeń CloudTrail. IAM Access Advisor pokazuje tylko czas ostatniego dostępu do usługi, a nie konkretne zdarzenia ani tożsamość użytkownika. Użycie Amazon Athena jest skuteczne do analizy dużych zbiorów danych, ale nie jest najszybszym sposobem na znalezienie konkretnego zdarzenia i powiązanego użytkownika, gdy historia zdarzeń CloudTrail jest łatwo dostępna. AssumeRoleWithWebIdentity jest używane dla federacji z dostawcami tożsamości internetowej, a nie z zewnętrznym IdP korzystającym z SAML.