Firma używa Amazon Cognito jako platformy tożsamości OAuth 2.0 dla aplikacji webowych i mobilnych. Firma musi rejestrować zarówno udane, jak i nieudane próby logowania oraz mieć możliwość wysyłania zapytań do tych danych. Które rozwiązanie spełni te wymagania?

Włączenie AWS CloudTrail jest właściwym rozwiązaniem, ponieważ rejestruje on wszystkie wywołania API Cognito, w tym udane i nieudane próby logowania (reprezentowane przez zdarzenia InitiateAuth). Dostarczanie logów do Amazon S3 umożliwia ich długoterminowe przechowywanie i efektywne wykonywanie zapytań za pomocą Amazon Athena. Athena jest idealna do analizowania dużych zbiorów danych logów w S3 przy użyciu standardowego SQL. Zdarzenia InitiateAuth z eventSource 'cognito-idp.amazonaws.com' precyzyjnie identyfikują próby logowania. Pozostałe opcje są mniej odpowiednie: Konfiguracja Cognito do wysyłania logów do CloudWatch, a następnie eksportowanie ich do S3 przez Lambda i EventBridge jest bardziej złożone i niepotrzebne, ponieważ CloudTrail już dostarcza te dane. Ponadto, zapytanie o SignUp nie obejmie prób logowania. Konfiguracja CloudTrail do wysyłania zdarzeń do CloudWatch do monitorowania jest możliwa, ale CloudWatch Logs Insights jest mniej wydajny do złożonych zapytań na dużą skalę niż Athena na danych w S3. Ponownie, zapytanie o SignUp jest błędne. Metryki CloudWatch monitorują zagregowane dane, a nie poszczególne zdarzenia logowania, co uniemożliwia szczegółowe zapytania o konkretne udane/nieudane próby.