¿Cómo puedo saber qué usuario ha realizado un cambio concreto en mi infraestructura de AWS?

Resolución

Puede usar AWS CloudTrail para realizar un seguimiento de los usuarios que están cambiando sus recursos e infraestructura de AWS. CloudTrail está activado de forma predeterminada en su cuenta de AWS. Para obtener un registro continuo de los eventos en su cuenta de AWS, cree un seguimiento. Mediante el seguimiento, CloudTrail crea registros de las llamadas a la API realizadas en su cuenta y, a continuación, los envía al bucket de Amazon Simple Storage Service (Amazon S3) que especifique.

Para ver los archivos de registro, haga lo siguiente:

1. Abra la consola de CloudTrail.
2. En el panel de navegación, seleccione Seguimientos.
3. Seleccione el valor del bucket de S3 para el seguimiento que desea ver. Se abre la consola de Amazon S3 y muestra ese bucket en el nivel superior de los archivos de registro.
4. Elija la carpeta de la región de AWS en la que desee revisar los archivos de registro.
5. Navegue por la estructura de carpetas del bucket hasta el año, el mes y el día en los que desee revisar los registros de actividad de esa región.
6. Seleccione el nombre del archivo y, a continuación, elija Descargar.
7. Descomprima el archivo y, a continuación, utilice su visor de archivos JSON preferido para ver el registro.

El archivo de registro contiene el usuario de AWS Identity and Access Management (AWS IAM), la fecha y la hora del inicio de sesión y si el inicio de sesión se realizó correctamente. Para obtener información adicional sobre el contenido y la estructura de los archivos de registro de CloudTrail, consulte CloudTrail log event reference (Referencia de eventos de registro de CloudTrail).

Para obtener instrucciones adicionales sobre el uso de CloudTrail para analizar la actividad de su cuenta, consulte Working with CloudTrail (Trabajo con CloudTrail).

Información relacionada

What is AWS CloudTrail? (¿Qué es AWS CloudTrail?)

How can I use CloudTrail to review what API calls and actions have occurred in my AWS account? (¿Cómo puedo usar CloudTrail para revisar qué llamadas y acciones a la API se han producido en mi cuenta de AWS?)