コンソールログインイベントのuserName項目がHIDDEN_DUE_TO_SECURITY_REASONSと記録される条件は何ですか

困っていた内容

CloudTrailでのログ記録でサインイン失敗イベントのuserName項目がHIDDEN_DUE_TO_SECURITY_REASONSと記録されていました。これはどのような条件で発生しますか？

どう対応すればいいの？

AWSでは、ログイン時にユーザー名の項目に間違った値が入力されると、サインイン失敗イベント(ConsoleLogin)のCloudTrailログにおけるuserName項目をHIDDEN_DUE_TO_SECURITY_REASONSと記録します。

これは以下の例のように、間違って入力したユーザー名に機密情報が含まれている場合を考慮し、機密情報の漏洩を防ぐためです。

• ユーザーが誤ってユーザー名にパスワードを入力した。
• ユーザーが別のアカウントのアカウント番号を入力した。
• ユーザーが個人のEメールアカウント、銀行のサインインID、その他のプライベートIDのアカウント名などを誤って入力した。
  https://docs.aws.amazon.com/ja_jp/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html#cloudtrail-event-reference-user-identity-fields

確認してみた

1. 作成済みIAMユーザーへのコンソールログインを間違ったユーザー名で実行します。
   

2. Cloudtrail上でConsoleLoginイベントについて確認します。なお、ConsoleLoginイベントが記録されるリージョンはユーザータイプと、サインインにグローバルエンドポイントとリージョンエンドポイントのどちらを使用したかによって以下のように異なります。

• ルートユーザーの場合、us-east-1 に記録します。
• IAMユーザーでサインインし、グローバルエンドポイントを使用すると、アカウントエイリアスの Cookie がブラウザに存在する場合、CloudTrailはus-east-2、eu-north-1、ap-southeast-2のいずれかのリージョンに、Cookieが存在しない場合は、us-east-1に記録します。
• リージョンエンドポイントを使用している場合、そのエンドポイントの適切なリージョンに記録します。

https://docs.aws.amazon.com/ja_jp/awscloudtrail/latest/userguide/cloudtrail-event-reference-aws-console-sign-in-events.html

3. CloudTrailログ詳細からもuserName項目でHIDDEN_DUE_TO_SECURITY_REASONSが記録されていることを確認できます。
   

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "IAMUser",
        "accountId": "111111111111",
        "accessKeyId": "",
        "userName": "HIDDEN_DUE_TO_SECURITY_REASONS"
    },

参考情報

https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/cloudtrail-integration.html

https://docs.aws.amazon.com/ja_jp/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html#cloudtrail-event-reference-user-identity-fields

https://docs.aws.amazon.com/ja_jp/awscloudtrail/latest/userguide/cloudtrail-event-reference-aws-console-sign-in-events.html