通过角色扮演查询操作审计的事件

示例

以下示例表示北京时间2021年01月01日08:00:00，阿里云账号175498693826****中的RAM用户通过扮演阿里云账号159498693826****下的custom-role-for-actiontrail角色来查询操作审计的事件。

{
  "apiVersion": "2020-07-06",
  "requestId": "3462D6AF-4434-4690-8CAD-E54A",
  "eventType": "ApiCall",
  "userIdentity": {
    "accessKeyId": "STS.NUQNP4PiGyckMsNiGELCs****",
    "sessionContext": {
      "attributes": {
        "mfaAuthenticated": "false",
        "creationDate": "2021-01-01T00:00:00Z"
      }
    },
    "accountId": "159498693826****",
    "principalId": "34359792600393****:u1",
    "type": "assumed-role",
    "userName": "custom-role-for-actiontrail:u1"
  },
  "acsRegion": "cn-hangzhou",
  "eventName": "LookupEvents",
  "requestParameters": {
    "stsTokenPrincipalName": "custom-role-for-actiontrail/u1",
    "AcsHost": "actiontrail.cn-hangzhou.aliyuncs.com",
    "ServiceCode": "actiontrail",
    "AcsProduct": "Actiontrail",
    "RequestId": "3462D6AF-4434-4690-8CAD-E54A",
    "Region": "cn-hangzhou",
    "LookupAttribute.1.Value": "Write",
    "RegionId": "cn-hangzhou",
    "HostId": "actiontrail.cn-hangzhou.aliyuncs.com",
    "stsTokenPlayerUid": 175498693826****,
    "LookupAttribute.1.Key": "EventRW"
  },
  "eventSource": "actiontrail.cn-hangzhou.aliyuncs.com",
  "serviceName": "Actiontrail",
  "eventTime": "2021-01-01T00:00:00Z",
  "userAgent": "AlibabaCloud (Mac OS X; x86_64) Java/1.8.0_252-b09 Core/4.4.6 HTTPClient/ApacheHttpClient",
  "eventId": "3462D6AF-4434-4690-8CAD-****",
  "additionalEventData": {
    "Scheme": "http"
  },
  "errorCode": "",
  "errorMessage": "",
  "eventVersion": "1",
  "sourceIpAddress": "192.168.XX.XX"
}

示例中关键字段含义如下：

• userIdentity.accountId：请求者的阿里云账号ID，在本示例中表示RAM角色归属的账号ID。取值为159498693826****。

• userIdentity.principalId：请求者的ID。格式为{roleId}:{sessionName}，roleId表示被扮演的RAM角色ID，sessionName表示进行角色扮演时指定的名称。取值为34359792600393****:u1，表示被扮演的RAM角色ID是34359792600393****，进行角色扮演时指定的名称为u1。

• userIdentity.type：请求者的身份类型。取值为assumed-role，表示通过扮演RAM角色进行的访问。

• userIdentity.userName：请求者的用户名。格式为{roleName}:{sessionName}，roleName表示被扮演的角色名称，sessionName表示进行角色扮演时指定的名称。取值为custom-role-for-actiontrail:u1，表示被扮演的RAM角色名称是custom-role-for-actiontrail，进行角色扮演时指定的名称为u1。

  说明

  custom-role-for-actiontrail是操作审计的自定义角色名称，具有查询操作审计事件的权限。

• userIdentity.creationDate：事件的发生时间（UTC格式）。取值为2021-01-01T00:00:00Z，表示北京时间2021年01月01日08:00:00。

• requestParameters.stsTokenPlayerUid：扮演者账号所属的阿里云账号ID。取值为175498693826****，表示阿里云账号175498693826****中的RAM用户跨账号扮演159498693826****账号下的RAM角色。