在 AWS CloudTrail 中获取用户登录和注销信息

Question

我已使用 AWS 管理控制台启用 CloudTrail，Amazon S3 存储桶策略是启用 CloudTrail 时自动创建的默认策略。

我可以找到有关我登录的日志以及所有其他偶数日志，但没有关于 log-off 的信息。有什么我需要为它做的还是它根本不存在？注销不归类为事件吗？

编辑 1

我是 CloudTrail 的新手，并试图了解什么是可能的，什么是不可能的。我有一个 IAM 用户，它只能对一个存储桶进行读写访问并列出所有存储桶。使用它时，我调用了aws ec2 describe-instances我可以在日志中看到的errorCode: "Client.UnauthorizedOperation"，但是当我执行aws s3 cporaws s3 ls并且它成功时，它没有被记录。这是创建的默认存储桶策略。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AWSCloudTrailAclCheck20131101",
        "Effect": "Allow",
        "Principal": {
            "AWS": [
                "arn:aws:iam::903692715234:root",
                "arn:aws:iam::859597730677:root",
                "arn:aws:iam::814480443879:root",
                "arn:aws:iam::216624486486:root",
                "arn:aws:iam::086441151436:root",
                "arn:aws:iam::388731089494:root",
                "arn:aws:iam::284668455005:root",
                "arn:aws:iam::113285607260:root"
            ]
        },
        "Action": "s3:GetBucketAcl",
        "Resource": "arn:aws:s3:::MY_BUCKET"
    },
    {
        "Sid": "AWSCloudTrailWrite20131101",
        "Effect": "Allow",
        "Principal": {
            "AWS": [
                "arn:aws:iam::903692715234:root",
                "arn:aws:iam::859597730677:root",
                "arn:aws:iam::814480443879:root",
                "arn:aws:iam::216624486486:root",
                "arn:aws:iam::086441151436:root",
                "arn:aws:iam::388731089494:root",
                "arn:aws:iam::284668455005:root",
                "arn:aws:iam::113285607260:root"
            ]
        },
        "Action": "s3:PutObject",
        "Resource": "arn:aws:s3:::MY_BUCKET/MY_PREFIX/AWSLogs/MY_ACCOUNT_ID/*",
        "Condition": {
            "StringEquals": {
                "s3:x-amz-acl": "bucket-owner-full-control"
            }
        }
    }
]
}

以及这可能Principal来自何处以及为何如此- 它们不是我的帐户，它们是在我启用 CloudTrail 时由 AWS 创建的。这些 AWS 账户是否将日志传送到我的存储桶，它们应该在那里吗？

编辑 2

从typepad 的帖子来看，S3 的日志记录还没有出现。我看到的登录实际上是因为 AWS 安全令牌服务 (STS)GetSessionToken调用。如果从控制台注销，似乎没有调用 STS，因此没有结果日志。

Answer 1

像往常一样，AWS 听取了客户对更好地了解用户何时登录 AWS 管理控制台的需求，并刚刚宣布AWS CloudTrail 现在记录 AWS 管理控制台登录事件，从而淘汰了间接方法 viaGetSessionToken并将其替换为明确和更详细的事件：

为 AWS IAM 和联合用户记录成功和不成功的控制台登录事件可以帮助您完成合规性和安全性工作。借助这项新功能，您可以为 IAM 和联合用户获得以下功能：

• 每次成功登录。
• 每次不成功的登录尝试。
• 验证何时强制执行多因素身份验证 (MFA)。
• 每个登录事件的 IP 地址。

此外，您可以看到根账户每次成功登录的记录。最后，您可以看到 IAM 用户有一段时间没有登录，这表明您可以删除该 IAM 用户。

不幸的是，注销事件仍然没有可见性。