如何从 AWS IAM 获取已删除或停用的用户列表

Question

有什么方法可以获取 AWS 中已删除或已删除用户的列表？ 我得到的只是所有活跃用户的列表，但我需要一个已删除用户的列表。 我试图从云轨迹中获取日志，但找不到相关事件。 我对 AWS 不太熟悉，可能因此我找不到任何模块。 谢谢

Answer 1

您可以在 AWS Cloudtrail 中找到具有以下 eventName 的删除用户。

“事件名称：删除用户”

但是默认情况下，AWS Cloudtrail 仅具有过去 90 天的活动。

Answer 2

要搜索已删除的 IAM 用户，请访问 CloudTrail Events 并使用eventName:DeleteUser和/或eventName:AdminDeleteUser过滤器过滤结果。

要搜索 90 天前删除的用户，您必须创建 CloudTrail 跟踪（建议启用 CloudWatch Logs）。

提示：由于 IAM 是全球资源，您必须将区域设置为 us-east-1（北弗吉尼亚），否则您的查询不会返回这些事件的任何结果。