Come posso monitorare l'attività degli utenti in un pool di utenti Amazon Cognito?

Risoluzione

Per monitorare e analizzare l'attività degli utenti, consulta la pagina Cronologia degli eventi di AWS CloudTrail, crea tabelle Amazon Athena per cercare nei log di CloudTrail e attiva la protezione dalle minacce di Amazon Cognito.

Consulta la pagina Cronologia degli eventi di CloudTrail per analizzare le chiamate API al pool di utenti

Completa i seguenti passaggi:

1. Apri la console CloudTrail nella stessa Regione in cui si trova il pool di utenti Cognito.
2. Nel pannello di navigazione, scegli Cronologia degli eventi.
3. Per Seleziona colonne visibili, seleziona Nome evento e Origine eventi, quindi esegui queste azioni:
   Per Origine eventi, scegli cognito-idp.amazonaws.com per visualizzare l'attività del pool di utenti e cognito-identity.amazonaws.com per visualizzare l'attività del pool di identità.
   In Nome evento, inserisci il nome dell'evento del pool di utenti o dell'azione API, ad esempio InitiateAuth o CreateUserPool.
   Nota: i log di CloudTrail mostrano solo UserSub e omettono UserName per richieste specifiche dell'utente. Per trovare un nome utente, chiama l'API ListUsers e utilizza il filtro dell'attributo sub.

Nota: la pagina Cronologia degli eventi di CloudTrail fornisce una registrazione degli ultimi 90 giorni di eventi di gestione in una Regione AWS. Puoi creare un archivio dati degli eventi o un trail per accedere a una registrazione continua delle attività e degli eventi degli ultimi 90 giorni. Per ulteriori informazioni sulla cronologia degli eventi, consulta Limitazioni della cronologia degli eventi.

Crea tabelle Athena per cercare nei log di CloudTrail

Puoi creare tabelle in Athena per cercare nei log di CloudTrail che CloudTrail archivia in un bucket Amazon Simple Storage Service (Amazon S3).

Nota: nelle seguenti query, sostituisci your_athena_tablename con il nome della tua tabella Athena.

Esegui questa query Athena per recuperare gli eventi di registrazione degli utenti Cognito dai log di CloudTrail:

SELECT eventTime, eventName, additionalEventData
FROM your_athena_tablename
WHERE eventsource = 'cognito-idp.amazonaws.com'
    AND eventname IN ('SignUp', 'signup_POST', 'signup_GET')
    AND eventtime >= '2025-07-15T09:00:00Z'  
    AND eventtime < '2025-07-15T10:00:00Z'
ORDER BY eventtime ASC;

Esegui questa query per mostrare tutte le attività degli utenti per un utente Cognito specifico con un valore sub Identificatore univoco universale (UUID):

SELECT eventTime, eventName, additionalEventData
FROM your_athena_tablename
WHERE eventsource = 'cognito-idp.amazonaws.com'
    AND json_extract_scalar(additionaleventdata, '$.sub') = '826bfee9-68d8-4046-b292-4f8cdd839bcd'
    AND eventtime >= '2025-06-17T00:00:00Z'
ORDER BY eventtime ASC;

Nota: nell'esempio 826bfee9-68d8-4046-b292-4f8cdd839bcd è il valore UserSub.

Attiva la protezione dalle minacce per generare log dettagliati delle attività

Per controllare i log dettagliati degli eventi di autenticazione degli utenti, esegui queste azioni:

• Attiva la protezione dalle minacce per il pool di utenti. Per Modalità di applicazione, scegli Funzione completa o Solo audit per individuare i log delle attività degli utenti.
  Nota: Amazon Cognito conserva la cronologia degli eventi degli utenti per 2 anni. Per ulteriori informazioni, consulta Visualizzazione ed esportazione della cronologia degli eventi degli utenti.
• Configura il pool di utenti per esportare i log delle attività degli utenti riguardanti la protezione dalle minacce in un flusso di distribuzione di Amazon Data Firehose, un bucket di Amazon S3 o gruppi di log di Amazon CloudWatch.
• Utilizza la console CloudWatch per visualizzare le metriche relative alla protezione dalle minacce.