Условия и источник
Уточните облако, область trail, период и конкретный способ изменения прав. Разбирается UpdateCloudAccessBindings в camelCase-схеме; другие операции доступа и общий snake_case-экспорт требуют отдельного сопоставления. Зафиксируйте полный исходный объект до нормализации. Инициатор запроса и получатель роли находятся в разных частях записи, поэтому одинаковое слово «пользователь» в интерфейсе недостаточно для вывода.
Как отобрать запись
Отберите точный eventType из локального JSONL, затем cloudId и нужный период. Прочитайте eventStatus и все элементы accessBindingDeltas, не только первый. Сохраните requestId/eventId при наличии. Для нескольких строк одной операции проверьте общий контекст и итог, чтобы предварительная или ошибочная запись не превратилась в отчёте в подтверждённое предоставление доступа.
Разбор примера
Дельта ADD в примере связывает роль viewer с sa-demo в cloud-demo; admin-demo указан как инициатор. Поля action, roleId и subjectId описывают изменение привязки. REMOVE следует интерпретировать противоположно, а несколько дельт — разбирать поэлементно. Пример не показывает всю иерархию прав или предыдущие состояния и не является полным экспортом операции.
Интерпретация и границы
Факт изменения одной привязки не описывает все эффективные полномочия субъекта. Проверьте область роли и существующие способы получения доступа отдельно. Не называйте получателя роли инициатором изменения. Завершённое назначение также не доказывает использования новых прав. Для оценки события нужны роль ресурса, ожидаемая работа и подтверждение основания операции; слово viewer само по себе не закрывает вопрос о допустимости.
Следующая проверка
Свяжите subjectId с созданием аккаунта и последующими операциями, а cloudId — с инвентаризацией ресурсов. При доступном историческом состоянии сравните права до/после с конкретной дельтой. Если есть только текущее состояние, укажите момент просмотра и не выдавайте его за прошлый снимок. В итоговой заметке отдельно перечислите назначенную/снятую роль, технического инициатора, результат и границы подтверждённой области.
Если записи нет
Проверьте точное имя операции, область trail, стиль ключей, период и срок хранения. Если найдено лишь изменение на уровне каталога или другого ресурса, не подменяйте им изменение облака. Сравните исходную доставку с SIEM и проверьте ошибки обработки массивов. Отсутствие этой операции не доказывает отсутствия доступа: полномочия могли возникнуть раньше или другим способом, требующим своего источника.