Компания использует внешнего поставщика удостоверений (IdP) для федерации в нескольких аккаунтах AWS. Инженер по безопасности должен быстро определить, какой федеративный пользователь завершил работу производственного инстанса Amazon EC2 неделю назад. Какой самый быстрый способ идентифицировать пользователя?

Правильный ответ — фильтрация истории событий CloudTrail. Когда федеративный пользователь выполняет действие, CloudTrail записывает событие TerminateInstances с информацией о принятой роли IAM. Поскольку используется внешний поставщик удостоверений (IdP), пользователь сначала принимает роль через AssumeRoleWithSAML (или AssumeRoleWithWebIdentity для других типов федерации). Просмотр этого события AssumeRoleWithSAML покажет имя пользователя, предоставленное IdP. Просмотр логов в бакете S3 напрямую требует ручного анализа больших объемов данных, что не является самым быстрым способом. IAM Access Advisor показывает время последнего доступа к сервисам, но не конкретные действия или идентификацию пользователя для конкретного события. Использование Amazon Athena для запроса логов — это эффективный подход для сложных запросов, но для данной задачи, когда нужно быстро найти конкретное событие и связанного пользователя, фильтрация истории событий CloudTrail через консоль или CLI часто оказывается быстрее и проще, чем настройка и выполнение запроса Athena. Кроме того, AssumeRoleWithWebIdentity используется для федерации через веб-идентификаторы, а не SAML, который указан в сценарии.