如何通过CloudTrail日志识别操作是否由服务关联角色执行？

要准确判断CloudTrail日志里的操作是否由服务关联角色执行，最可靠的方式是结合以下两个字段：

• userIdentity.type 等于 AssumedRole（服务关联角色均通过扮演角色的方式执行操作）
• userIdentity.sessionContext.sessionIssuer.type 等于 AWS_SERVICE（这是AWS专门标记服务发起角色会话的字段，不受命名规则差异影响）

为什么之前的方法有局限性 #

你之前尝试的两种规则都存在例外：

• 角色名以AWSServiceRoleFor开头：部分早期服务或特殊场景的服务关联角色可能不遵循这个命名规范
• ARN包含aws-service-role：部分服务的关联角色ARN结构不同，会出现不符合这个规则的情况

具体判断逻辑步骤 #

1. 先确认事件的userIdentity.type是AssumedRole，排除IAM用户、根用户等其他身份执行的操作
2. 再检查userIdentity.sessionContext.sessionIssuer.type是否为AWS_SERVICE，这是判断服务发起会话的核心标志
3. （可选）如果需要进一步确认具体服务，可以查看userIdentity.sessionContext.sessionIssuer.arn中的服务主体部分（比如elasticloadbalancing.amazonaws.com）

示例日志片段 #

{
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAEXAMPLE1234567890:service-role-session",
    "arn": "arn:aws:sts::123456789012:assumed-role/AWSServiceRoleForElasticLoadBalancing/service-role-session",
    "sessionContext": {
      "sessionIssuer": {
        "type": "AWS_SERVICE",
        "arn": "arn:aws:iam::123456789012:role/aws-service-role/elasticloadbalancing.amazonaws.com/AWSServiceRoleForElasticLoadBalancing",
        "accountId": "123456789012"
      }
    }
  }
}

这个方法的优势在于，AWS_SERVICE这个类型标记是AWS官方在日志生成时统一设置的，不会因为服务的命名规则变化而失效，能覆盖所有服务关联角色的场景。

内容的提问来源于stack exchange，提问作者Mohit Munjal