発端

CloudWatch Events を使って、AWSマネジメントコンソールへのIAMユーザーのログイン失敗を検知していました。
ですが、どうやら「非存在ユーザー」のログイン失敗を検知できなくなっているようです。ここ１〜２ヶ月の間に。
というわけで、目的↓

目的

IAMユーザーのマネジメントコンソールログイン時、成功/失敗でそれぞれどのようなイベントが発生するかを確認する。

CloudWatch Events で SignIn のイベントを検知し、Lambdaに流してログ出力します。
※以前のイベントパターンとの比較もできればよかったのですが、わかりやすくログを残してない＆遡って調べる気力は無いので、やりません。

{
  "detail-type": [
    "AWS Console Sign In via CloudTrail"
  ]
}

この表で伝わるでしょうか・・・。２行目までヘッダです。

MFA設定があるIAMユーザーのみ、イベントが２つ発生する。
eventName : CheckMfa イベントは
- MFAが設定されていれば、入力したワンタイムパスワードが正しくても誤っていても responseElements : {CheckMfa:Success} となる。
- IAMユーザーが存在しない場合のみresponseElements : {CheckMfa:Failure} となる。
eventName : ConsoleLogin は
- IAMユーザーが存在しない場合は発生しない。（以前は発生していたはず！）
- パスワード認証とMFA認証のどちらが誤であっても結果は responseElements : {ConsoleLogin:Failure}
- それ以外（必要な認証方法すべてが正）の場合に responseElements : {ConsoleLogin:Success}

フローチャートも作ってみようと思いましたが、ちょっと面倒だったのでやめました。
IAMユーザーあり＆MFA設定なしの場合に何故 Success でイベントが発生しないのかがイマイチ釈然としない。

下記の判定を行えばよさそうです。

responseElements.CheckMfa = Failure
  or
responseElements.ConsoleLogin = Failure