Cómo Encontrar Quién Eliminó un Recurso en AWS con CloudTrail
Una instancia EC2 desaparece en producción y nadie admite haberla terminado. Antes de escalar el incidente o revisar manualmente cada cuenta IAM, CloudTrail ya registró exactamente quién ejecutó TerminateInstances , desde qué IP y con qué credenciales. El problema no es que la información no exista — es saber dónde buscarla y cómo interpretarla correctamente. TL;DR — Resumen Rápido Paso Acción Resultado esperado 1 Abrir CloudTrail Event History en la consola Vista de eventos de los últimos 90 días 2 Filtrar por nombre de evento: TerminateInstances Lista de eventos de terminación 3 Filtrar por ID de recurso o rango de tiempo Evento específico de la instancia eliminada 4 Inspeccionar el campo userIdentity del evento Usuario IAM, rol asumido, o cuenta raíz responsable 5 Verificar sourceIPAddress y userAgent Contexto adicional del origen de la acción Cómo Funciona CloudTrail Event History CloudT...