액세스 모니터링 이벤트 참조에는 보고서에서 쿼리하고 볼 수 있는 액세스 모니터링 이벤트 목록과 각 이벤트를 쿼리하기 위해 실행할 수 있는 tctl 명령의 예시가 포함되어 있습니다.

액세스 모니터링은 비정상적인 액세스 패턴을 식별하는 데 관련된 Teleport 감사 이벤트의 하위 집합을 추적합니다. 포괄적인 이벤트 집합을 보려면 Teleport Identity Security의 조사 보기를 방문하세요. Teleport로 추적할 수 있는 모든 감사 이벤트의 참조는 감사 이벤트 참조를 참조하세요.

access_list.create#

access_list.create는 액세스 목록이 생성될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select cluster_name,code,ei from access_list_create limit 1'

컬럼:

access_list.delete#

access_list.delete는 액세스 목록이 삭제될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select cluster_name,code,ei from access_list_delete limit 1'

컬럼:

access_list.member.create#

access_list.member.create는 액세스 목록 멤버가 생성될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_list_name,cluster_name,code from access_list_member_create limit 1'

컬럼:

access_list.member.delete#

access_list.member.delete는 액세스 목록 멤버가 삭제될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_list_name,cluster_name,code from access_list_member_delete limit 1'

컬럼:

access_list.member.update#

access_list.member.update는 액세스 목록 멤버가 업데이트될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_list_name,cluster_name,code from access_list_member_update limit 1'

컬럼:

access_list.review#

access_list.review는 액세스 목록이 검토될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select cluster_name,code,ei from access_list_review limit 1'

컬럼:

access_list.update#

access_list.update는 액세스 목록이 업데이트될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select cluster_name,code,ei from access_list_update limit 1'

컬럼:

access_request.create#

access_request.create는 액세스 요청이 생성되거나 업데이트될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,assume_start_time,aws_role_arn from access_request_create limit 1'

컬럼:

access_request.review#

access_request.review는 액세스 요청이 생성되거나 업데이트될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,assume_start_time,aws_role_arn from access_request_review limit 1'

컬럼:

auth#

auth는 인증 시도가 실패하거나 성공할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from auth limit 1'

컬럼:

bot.join#

bot.join은 봇 조인 이벤트를 기록합니다.

예제 쿼리:

$ tctl audit query exec \
  'select bot_name,cluster_name,code from bot_join limit 1'

컬럼:

cert.create#

cert.create는 인증서가 발급될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select cert_type,cluster_name,code from cert_create limit 1'

컬럼:

db.session.query#

db.session.query는 사용자가 데이터베이스 쿼리를 실행할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from db_session_query limit 1'

컬럼:

db.session.query.failed#

db.session.query.failed는 사용자가 데이터베이스 쿼리를 실행할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from db_session_query_failed limit 1'

컬럼:

db.session.start#

db.session.start는 사용자가 데이터베이스에 연결할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from db_session_start limit 1'

컬럼:

device.authenticate#

device.authenticate는 디바이스 관련 이벤트입니다. 다양한 이벤트 유형과 코드에 대해서는 각각 "lib/events.DeviceEvent"와 "lib/events.DeviceCode"를 참조하세요. 이전 [DeviceEvent] proto를 대체하며, 다양한 임베드를 갖춘 보다 표준적인 이벤트 인터페이스를 제공합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from device_authenticate limit 1'

컬럼:

device.enroll#

device.enroll은 디바이스 관련 이벤트입니다. 다양한 이벤트 유형과 코드에 대해서는 각각 "lib/events.DeviceEvent"와 "lib/events.DeviceCode"를 참조하세요. 이전 [DeviceEvent] proto를 대체하며, 다양한 임베드를 갖춘 보다 표준적인 이벤트 인터페이스를 제공합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from device_enroll limit 1'

컬럼:

exec#

exec는 명령 실행 이벤트를 지정합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from exec limit 1'

컬럼:

instance.join#

instance.join은 인스턴스 조인 이벤트를 기록합니다.

예제 쿼리:

$ tctl audit query exec \
  'select cluster_name,code,ei from instance_join limit 1'

컬럼:

join_token.create#

join_token.create 이벤트는 모든 역할의 프로비저닝 토큰(일명 조인 토큰)이 생성될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from join_token_create limit 1'

컬럼:

kube.request#

kube.request는 Kubernetes API 요청 이벤트를 지정합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from kube_request limit 1'

컬럼:

lock.created#

lock.created는 잠금이 생성/업데이트될 때 발생합니다. 잠금은 사용자, RBAC 역할, 노드 등과 관련된 상호작용을 비활성화하여 Teleport 환경에 대한 액세스를 제한하는 데 사용됩니다. 자세한 내용은 rfd/0009-locking.md를 참조하세요.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from lock_created limit 1'

컬럼:

lock.deleted#

lock.deleted는 잠금이 삭제될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from lock_deleted limit 1'

컬럼:

recovery_code.used#

recovery_code.used는 사용자의 복구 코드가 성공적으로 또는 실패하여 사용될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from recovery_code_used limit 1'

컬럼:

reset_password_token.create#

reset_password_token.create는 사용자 토큰이 생성될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from reset_password_token_create limit 1'

컬럼:

saml.idp.auth#

saml.idp.auth는 사용자가 SAML IdP에 대해 인증을 시도할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from saml_idp_auth limit 1'

컬럼:

session.command#

session.command는 세션 명령 이벤트입니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,argv,aws_role_arn from session_command limit 1'

컬럼:

session.join#

session.join은 다른 사용자가 세션에 참여할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from session_join limit 1'

컬럼:

session.rejected#

session.rejected 이벤트는 사용자가 세션 제어 제한에 도달할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from session_rejected limit 1'

컬럼:

session.start#

session.start는 세션 시작 이벤트입니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from session_start limit 1'

컬럼:

user.create#

user.create는 사용자가 생성되거나 upsert될 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from user_create limit 1'

컬럼:

user.login#

user.login은 성공 또는 실패한 사용자 로그인 이벤트를 기록합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from user_login limit 1'

컬럼:

user.password_change#

user.password_change는 사용자가 자신의 비밀번호를 변경할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from user_password_change limit 1'

컬럼:

windows.desktop.session.end#

windows.desktop.session.end는 사용자가 Windows 데스크톱 세션을 종료할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,aws_role_arn,azure_identity from windows_desktop_session_end limit 1'

컬럼:

windows.desktop.session.start#

windows.desktop.session.start는 사용자가 데스크톱에 연결할 때 발생합니다.

예제 쿼리:

$ tctl audit query exec \
  'select access_requests,addr_local,addr_remote from windows_desktop_session_start limit 1'

컬럼: