アカウント・イベント

次の表に、イベントを生成するアクションのリストを示します。

アクセス・グループ・イベント

次の表に、イベントを生成するアクションのリストを示します。

メンバー・イベント

次の表に、イベントを生成するアクションのリストを示します。

ルール・イベント

次の表に、イベントを生成するアクションのリストを示します。

ポリシー・テンプレート・イベント

次の表に、イベントを生成するアクションのリストを示します。

アクセス・グループの tempalte イベント

次の表に、イベントを生成するアクションのリストを示します。

トラステッド・プロファイルの tempalte イベント

次の表に、イベントを生成するアクションのリストを示します。

一時イベントの設定

次の表に、イベントを生成するアクションのリストを示します。

ログイン・イベント

IBM Cloud では、管理者や、アカウントで正しいアクセス権限を持っているユーザーは、さまざまな方法でユーザーのログイン設定を管理できます。 例えば、管理者は、外部認証オプションの注文、ログイン時に使用するワンタイム・パスコードの有効化、ログイン時のセキュリティー質問の有効化、パスワード有効期限の設定などを行うことができます。 詳しくは、『多要素認証のタイプ』を参照してください。

• ユーザーは、ユーザー ID とパスワードを使用してログインできます。
• 会社または企業のシングル・サインオン ID を使用するフェデレーテッド・ユーザーは、ワンタイム・パスコードまたは API キーを使用してコマンド・ライン・インターフェース (CLI) から IBM Cloud にログインすることができます。 詳しくは、フェデレーテッド ID を使用したログインを参照してください。
• ユーザーは API キーを使用してログインできます。
• 会社や企業のシングル・サインオン ID を使用するフェデレーテッド・ユーザーは、トラステッド・プロファイルを適用することによって IBM Cloud にログインすることができます。

以下のフィールドに追加情報が含まれています。

• initiator.name には、アカウントにログインするユーザーに関する情報が含まれています。
• X-Global-Transaction-Id には、さらに詳しい情報を得るためにサポート・チケットを開く場合に使用できる ID が含まれています。

ログアウト・イベント

ユーザーが IBM Cloudからログアウトすると、 iam-identity.user.logout イベントが生成されます。

アカウント・サービス ID の更新

ユーザー ID がユーザーを識別するのと同様の方法で、サービス ID はサービスまたはアプリケーションを識別します。 詳細はこちらをご覧ください。

サービス ID を更新するアクションが要求されると、アクション iam-identity.account-serviceid.update のイベントがアカウントで生成されます。

以下のフィールドに追加情報が含まれています。

• initiator.name フィールドには、サービス ID の更新を要求したユーザーに関する情報が含まれています。
• target.name フィールドには、変更されたサービス ID に関する情報が含まれています。
• initiator.host.agent フィールドは、要求元が UI と CLI のどちらであるかを示しています。 このフィールドが Not Set に設定されている場合は、UI からの要求です。 このフィールドが IBM Cloud CLI に設定されている場合は、コマンド・ラインからの要求です。

イベントの制限

アカウントで許可されるサービス ID、API キー、トラステッド・プロファイル、およびポリシーの数には、 制限 があります。 アカウントがサービス ID、API キー、トラステッド・プロファイル、およびポリシーの制限の 90% に達すると、イベントが生成されます。

アカウントがサービス ID の最大数に近づいている場合のメッセージ例を以下に示します。

警告: アカウント 10t2tyv8d1f88940dfc56af370b1f109で許可されているサービス ID の最大数の 90% に達しました。 現在のカウントは 1800 で、制限は 2000 です。 制限に達する前にサービス ID の数を減らして、新規サービス ID の作成がブロックされないようにしてください。

すべての制限イベントを表示するには、以下の検索照会を適用します。

• the maximum number of allowed

不要になった非アクティブ ID を削除することから始めます。 詳しくは、非アクティブ ID の識別を参照してください。

ユーザーの API キーまたはサービス ID の API キーの更新

API キーを更新するアクションが要求されると、以下のいずれかのアクションのイベントがアカウントで生成されます。

• ユーザーの API キーを更新する場合、アクションは iam-identity.user-apikey.update です。
• サービス ID の API キーを更新する場合、アクションは iam-identity.account-serviceid.update です。

以下のフィールドに追加情報が含まれています。

• initiator.name フィールドには、 API キーの更新を要求したユーザーに関する情報が含まれています。
• target.name フィールドには、変更された API キーに関する情報が含まれています。
• initiator.host.agent フィールドは、要求元が UI と CLI のどちらであるかを示しています。 このフィールドが Not Set に設定されている場合は、UI からの要求です。 このフィールドが IBM Cloud CLI に設定されている場合は、コマンド・ラインからの要求です。

イニシエーターが許可されていない。 API キーまたはサービス ID の更新要求が失敗する

例えば、API キーを使用してアカウントにログインしたユーザーは、アカウントへのアクセスを認証されます。 ただし、その API キーに、アカウントの API キーまたはサービス ID を変更するアクションを実行する権限がない場合があります。 その場合は、以下のいずれかのメッセージを受け取ります。

• IAM Identity Service: update user-apikey APIKeyName -failure
• IAM Identity Service: update account-serviceid ServiceIDName -failure

API キーまたはサービス ID の変更を要求したユーザーに関する情報を調べるには、イベントのイニシエーター・フィールドを参照してください。

アカウントでこのアクションを実行する権限がユーザーにない場合は、以下のような失敗イベントが生成されます。

• initiator.name フィールドは空です。 この情報は、イベントの生成時点では取得できません。
• ユーザー ID は IBM Cloud アカウントで認証されています。
• アクションはアカウントをターゲットとしています。
• ユーザー ID には、アカウントでこのアクションを実行する権限がありません。

API キーまたはサービス ID を変更しようとしたユーザーを調べるには、以下の手順を実行します。

1. initiator.id の値をコピーします。 このフィールドには、アカウントでこのアクションを実行しようとしたユーザーの ID が入っています。

2. そのユーザーに関連付けられている E メール・アドレスを調べます。 この手順を実行するには、アカウントの管理者権限が必要です。 以下のコマンドを実行します。

   ibmcloud iam users --output json | grep -A 1 InitiatorID
   

   InitiatorID はフィールド initiator.id の値で、形式は IBMid-XXXXXXXXXX です。

   このコマンドの出力は 2 つのフィールドを返します。 ibmUniqueId フィールドには、イベントの initiator.name フィールドに対応したユーザーの ID が示されます。 email フィールドには、その ID に関連付けられた E メール・アドレスが示されます。

要求されて失敗したアクションの API キーを調べるには、requestData 内の prev_instance_name フィールドを参照してください。

リソースがロックされている。 サービス ID または API キーの更新要求が失敗する

サービス ID または API キーがロックされている場合、その属性を変更することはできません。 生成されるイベントの outcome は failure になります。

リソース・タイプに応じて、以下のいずれかのメッセージを受け取ります。

• サービス ID: **「IAM Identity Service: update account-serviceid ServiceIDName -failure」**というメッセージを受け取ります。ServiceIDName はサービス ID の名前です。
• ユーザー API キー: **「IAM Identity Service: update user-apikey APIkeyName -failure」**というメッセージを受け取ります。APIkeyName は API キーの名前です。
• アカウント API キー: **「IAM Identity Service: update account-apikey APIkeyName -failure」**というメッセージを受け取ります。APIkeyName は API キーの名前です。

このイベントでは、requestData の lock フィールドが true に設定されます。 これが、このアクションが失敗した理由です。 サービス ID の属性の変更が成功するためには、lock フィールドが false に設定されている必要があります。

フィールド severity が critical に設定されていることに注意してください。 アカウントでロックされているサービス ID を誰かが変更しようとしています。