共用方式為

AWSCloudTrail 數據表的查詢

  • 發行項

如需在 Azure 入口網站 中使用這些查詢的相關信息，請參閱Log Analytics教學課程。 如需 REST API，請參閱 查詢。

每個區域的新使用者

傳回每個區域建立的用戶計數。

AWSCloudTrail
| where EventName == "CreateUser"
| summarize count() by AWSRegion

所有 AWS CloudTrail 事件

列出所有 AWS 雲端追蹤事件。

AWSCloudTrail
| project TimeGenerated, EventName, EventTypeName, UserIdentityAccountId, UserIdentityPrincipalid, UserAgent, UserIdentityUserName, SessionMfaAuthenticated, SourceIpAddress, AWSRegion, EventSource, AdditionalEventData, ResponseElements, SessionIssuerUserName

適用於使用者的 AWSCT

使用者的 AWS 活動。

// Set v_sessionissuerusername and v_userpid  with the details of the user of interest
let v_sessionissuerusername ="abc";let v_userpid ="AIDxXxXxXxXxXxX";
AWSCloudTrail
| where SessionIssuerUserName == v_sessionissuerusername  or UserIdentityPrincipalid ==v_userpid
| project TimeGenerated, EventName, EventTypeName, UserIdentityAccountId, UserIdentityPrincipalid, UserAgent,     UserIdentityUserName, SessionMfaAuthenticated, SourceIpAddress, AWSRegion, EventSource, AdditionalEventData, ResponseElements, SessionIssuerUserName

AWS 主控台登入

列出 AWS 登入事件。

AWSCloudTrail
| where EventName =~ "ConsoleLogin"
| extend MFAUsed = tostring(parse_json(AdditionalEventData).MFAUsed), LoginResult = tostring(parse_json(ResponseElements).ConsoleLogin)
| summarize Count=count() by UserIdentityAccountId, UserIdentityUserName, MFAUsed, LoginResult