为何爱尔兰区域AWS实例的CloudTrail AssumeRole事件显示北弗吉尼亚区域

• AWS STS全局端点默认归属美东1（北弗吉尼亚，us-east-1）区域：EC2实例调用AssumeRole接口时，如果没有显式指定STS区域端点，默认会走sts.amazonaws.com全局端点，该端点的所有调用日志都会记录到us-east-1区域的CloudTrail中，和调用方所在的资源区域无关。
• IAM、STS都属于AWS全局服务，全局服务的操作日志默认统一上报到us-east-1区域存储，这是AWS的原生设计，不属于配置错误。
• 如果你需要对应AssumeRole日志归属爱尔兰（eu-west-1）区域，可以将实例的STS调用配置为使用区域端点sts.eu-west-1.amazonaws.com，调用该端点产生的操作日志会记录到爱尔兰区域的CloudTrail中。

你可以通过对应AssumeRole日志的eventSource字段验证调用的端点类型：如果值为sts.amazonaws.com即调用了全局端点，日志归属us-east-1；如果值为sts.eu-west-1.amazonaws.com即调用了爱尔兰区域端点，日志归属eu-west-1。

内容的提问来源于stack exchange，提问作者Hacker