某公司使用外部身分識別提供者 (IdP) 聯合存取多個 AWS 帳戶。一位安全工程師必須快速判斷是哪個聯合使用者在一週前終止了正式環境的 Amazon EC2 執行個體。找出該使用者的最快方法是什麼？

正確答案是透過 CloudTrail 事件歷史記錄追蹤。當聯合使用者執行動作時，CloudTrail 會記錄 TerminateInstances 事件，其中包含所擔任的 IAM 角色資訊。由於公司使用外部 IdP 進行聯合存取，該角色是透過 AssumeRoleWithSAML 或 AssumeRoleWithWebIdentity 建立的。因此，下一步是篩選 CloudTrail 中的 AssumeRoleWithSAML 事件，以找出哪個聯合使用者在該時間點擔任了該特定角色。 選項一和四雖然都提到檢查 CloudTrail 日誌，但直接從角色工作階段名稱識別聯合使用者，或查詢 AssumeRoleWithWebIdentity 可能不夠直接或適用於所有外部 IdP 情況。AssumeRoleWithSAML 更具體地指向 SAML 聯合，這是常見的外部 IdP 整合方式。選項三的 IAM Access Advisor 標籤主要用於追蹤服務上次存取時間，而非直接識別執行特定動作的聯合使用者，且比對時間效率較低。