Welcher Benutzer hat die EC2-Instanz gestartet?

Leider sind diese Informationen nicht direkt über einen API-Aufruf verfügbar - Sie haben derzeit zwei Möglichkeiten:

1. Abhängig von Ihren Anforderungen können Sie Ihr Ziel näherungsweise erreichen, indem Sie DescribeInstances API-Aktion zum Anschauen der key-name , die zum Starten dieser Instanz verwendet wird (falls vorhanden, ist optional, obwohl sie normalerweise vorhanden ist) - vorausgesetzt, Sie haben die Best Practices für die Sicherheit befolgt und verwenden ein dediziertes EC2-Schlüsselpaar pro IAM Benutzer (anstatt Schlüssel zu teilen), sollte der Schlüssel normalerweise den Benutzer bezeichnen, der die Instanz gestartet hat;)
   • Dies lässt sich am einfachsten über die AWS-Befehlszeilenschnittstelle testen, insbesondere describe-instances
2. Heutzutage können Sie AWS CloudTrail aktivieren, das AWS API-Aufrufe für Ihr Konto aufzeichnet und Ihnen Protokolldateien zur Verfügung stellt und liefert genau die Informationen, nach denen Sie suchen :

     

   Die aufgezeichneten Informationen enthalten die Identität des API-Aufrufers, der   Zeitpunkt des API-Aufrufs, die Quell-IP-Adresse des API-Aufrufers, der   Anforderungsparameter und die von AWS zurückgegebenen Antwortelemente   Service.

  

• Am wichtigsten ist, dass es noch nicht in allen Regionen verfügbar ist, aber AWS hat es gerade auf 3 weitere erweitert, also auf insgesamt 5, siehe AWS CloudTrail expandiert erneut - mehr Standorte und Services und nähert sich damit schnell der Abdeckung ihrer gesamten Globale Infrastruktur
• Nicht alle Dienste sind bereits abgedeckt, aber AWS hat es lediglich auf 7 weitere erweitert, also auf insgesamt 15, siehe AWS CloudTrail Update - Sieben neue Services
• Je nach Ihren Anforderungen möchten Sie wahrscheinlich eine Protokollierung als Service (LaaS) haben Lösung, um das Durchforsten der riesigen Anzahl von Protokollen zu erleichtern und Warnmeldungen usw. bereitzustellen. - Mehrere Anbieter bieten bereits eine dedizierte CloudTrail-Integration an (und in der Regel auch eine kostenlose Schicht, die auch dafür ausreicht)
• Ereignisse werden innerhalb von 15 Minuten nach dem API-Aufruf und die resultierenden Protokolle etwa alle 5 Minuten in Ihren S3-Bucket übertragen , was zu einer maximalen Verzögerung von 20 Minuten führt reicht für die Post-hoc- und Batch-Analyse aus, ist aber für eine Echtzeit-Alarmierung natürlich nicht ausreichend (siehe AWS CloudTrail FAQ )

Erweitern auf Steffen Opel Antwort zu Logging as a Service: Sie können entweder einen Dienst eines Drittanbieters verwenden, um CloudTrail-Daten zu visualisieren, oder eine eigene Lösung einrichten.

Amazon-Partner werden Ihnen dabei helfen, einen solchen Service zu finden. Wenn du deine eigene Lösung erstellen willst, kann dir diese TrailDash ebenfalls helfen.