如何跟踪AWS IAM用户认证后10分钟活动并关联CloudTrail角色操作日志？

要把IAM用户的认证事件（ConsoleLogin/AssumeRole）和后续10分钟内的操作关联起来，核心是利用CloudTrail日志里的身份溯源字段和会话标识，分两种场景处理：

核心关联字段说明 #

不管是直接操作还是切换角色后的操作，CloudTrail都保留了溯源原IAM用户的关键信息：

• sessionContext.sessionId：每个认证会话（包括ConsoleLogin和AssumeRole生成的会话）都有唯一标识，后续所有基于该会话的操作都会携带相同的sessionId，这是最精准的关联依据。
• userIdentity.arn：切换角色后的操作事件中，原IAM用户名会嵌入在ARN的最后一段（比如arn:aws:sts::123456789012:assumed-role/AdminRole/john.doe里的john.doe）。
• eventTime：用来限定认证事件后10分钟的时间窗口。

分场景关联逻辑 #

1. IAM用户直接执行的操作 #

这类操作的userIdentity.userName直接等于原IAM用户名，关联逻辑简单：

• 匹配条件：操作事件的userIdentity.userName = 认证事件的userIdentity.userName，且操作事件的eventTime在认证事件eventTime的10分钟范围内，同时sessionContext.sessionId一致。

2. 切换角色后执行的操作 #

切换角色后，操作事件的userIdentity.type为AssumedRole，userIdentity.userName为空，需要从userIdentity.arn中解析原用户名，再结合sessionId精准关联：

• 解析原用户名：用分隔符/拆分ARN，取第三段（比如arn:aws:sts::123456789012:assumed-role/AdminRole/john.doe拆分后第三段是john.doe）。
• 匹配条件：解析出的原用户名 = 认证事件的userIdentity.userName，操作事件的sessionContext.sessionId = 认证事件的sessionContext.sessionId，且操作时间在认证后10分钟内。

实用实现示例（用Athena查询） #

如果用Athena分析CloudTrail日志，可以通过以下SQL完成关联：

-- 第一步：捕获所有IAM用户发起的认证事件
WITH auth_events AS (
  SELECT
    eventTime AS auth_time,
    userIdentity.userName AS original_user,
    sessionContext.sessionId AS auth_session_id,
    eventName AS auth_event_type,
    -- 记录AssumeRole事件对应的角色ARN
    CASE WHEN eventName = 'AssumeRole' THEN userIdentity.arn ELSE NULL END AS assumed_role_arn
  FROM cloudtrail_logs
  WHERE 
    eventName IN ('ConsoleLogin', 'AssumeRole')
    AND userIdentity.type = 'IAMUser' -- 仅关注IAM用户发起的认证
),
-- 第二步：捕获所有非认证操作事件，解析原用户信息
action_events AS (
  SELECT
    eventTime AS action_time,
    eventName AS action_name,
    userIdentity.arn AS action_identity_arn,
    sessionContext.sessionId AS action_session_id,
    -- 解析原用户名：直接操作取userName，切换角色后从ARN提取
    CASE
      WHEN userIdentity.type = 'AssumedRole' THEN SPLIT_PART(userIdentity.arn, '/', 3)
      ELSE userIdentity.userName
    END AS action_original_user
  FROM cloudtrail_logs
  WHERE eventName NOT IN ('ConsoleLogin', 'AssumeRole') -- 排除认证事件本身
)
-- 第三步：关联认证事件和操作事件，生成时间线
SELECT
  ae.auth_time,
  ae.original_user,
  ae.auth_event_type,
  ae.assumed_role_arn,
  act.action_time,
  act.action_name,
  act.action_identity_arn
FROM auth_events ae
JOIN action_events act
  ON ae.original_user = act.action_original_user
  AND ae.auth_session_id = act.action_session_id -- 用sessionId精准区分不同会话
  AND act.action_time BETWEEN ae.auth_time AND DATE_ADD('minute', 10, ae.auth_time)
ORDER BY ae.auth_time, act.action_time;

注意事项 #

• 确保CloudTrail日志已开启所有必要的事件类型，并且覆盖了所有涉及的AWS区域（全局服务如IAM的日志通常存储在us-east-1）。
• 如果存在跨账号角色切换，需要额外加入userIdentity.accountId或recipientAccountId的匹配条件，避免不同账号的同名用户混淆。
• 若要处理同一用户10分钟内多次认证的情况，sessionId是必须的关联条件，否则会把不同会话的操作混在一起。

内容的提问来源于stack exchange，提问作者Patrick Murray