
## Amazon Connect の緊急管理者ログインをリアルタイムに検知してみたい背景

Amazon Connect には「緊急管理者ログイン」というログイン方法があります。
「緊急管理者ログイン」についてドキュメントでは以下のように記載しています。

[緊急管理者ログイン \- Amazon Connect](https://docs.aws.amazon.com/ja_jp/connect/latest/adminguide/emergency-admin-login.html)

> ただし、緊急の場合は、AWS アカウントの認証情報を使用して Amazon Connect コンソールからログインできます。例えば、次のような場合は、この方法でログインする必要があります。
> ・ Amazon Connect 管理者パスワードを忘れてしまい、リセットする他の Amazon Connect 管理者がいない場合。
> ・ 誰かが誤って Amazon Connect 管理者 セキュリティプロファイルを削除した場合。
> ...
> 重要
> 毎日使用する場合は、常にインスタンス URL を使用してログインすることを強くお勧めします。この記事で説明する手順は、インスタンス URL の使用がオプションではない場合に、緊急アクセスにのみ使用してください。

上記の記述のように、緊急時のみに利用するログイン方法となっています。
一方で、管理者権限を有しているので、悪用されると大変なことになります。

Amazon Connect にはログイン/ログアウトレポート機能があり、こちらでエージェントによるログイン/ログアウトだけでなく、「緊急管理者ログイン」によるログイン/ログアウトも確認が可能です。
しかし、「緊急管理者ログイン」のリアルタイムな検知には向かないため、別の方法がないか調べてみました。

## Amazon Connect の緊急管理者ログインをリアルタイムに検知するにはどうすればいいか

### Amazon Connect エージェントイベントストリームを使う

Amazon Connect には「Amazon Connect エージェントイベントストリーム」という Amazon Connect インスタンス内のエージェントによるアクティビティを Amazon Kinesis Data Streams に配信する機能です。
「Amazon Connect エージェントイベントストリーム」についてドキュメントでは以下のように記載しています。

[Amazon Connect エージェントのイベントストリーム \- Amazon Connect](https://docs.aws.amazon.com/ja_jp/connect/latest/adminguide/agent-event-streams.html)

> Amazon Connect エージェントのイベントストリームは、Amazon Connect インスタンス内のエージェントによるアクティビティを、ほぼリアルタイムでレポートするための Amazon Kinesis のデータストリームです。ストリームに発行されたイベントには、次の CCP イベントが含まれます。
> ・ エージェントのログイン
> ・ エージェントのログアウト
> ・ エージェントが問い合わせに接続する
> ・ エージェントのステータスの変更 (問い合わせに対応できる [使用可能]、[休憩中] または [トレーニング] など）。

上記の記述には、「エージェントのログイン/ログアウト」と「緊急管理者ログイン」については明記されていませんが、検証してみたところ、「緊急管理者ログイン」のログイン/ログアウトに関しても配信されることを確認できました。

後は、Amazon Connect エージェントイベントストリーム を Kinesis Data Streams に配信する設定を行い、コンシューマーとして、EventType\:LOGIN を検出した場合に通知を行うようなアプリケーションを Lambda などで構築することで「緊急管理者ログイン」のリアルタイム検知が可能になります。

```json fn=緊急管理者ログイン時のデータ
{
    "AWSAccountId": "126721485485",
    "AgentARN": "arn:aws:connect:ap-northeast-1:xxxxxxxxxxx:instance/xxxxxxx-yyyy-zzzz-wwww-1111111111/agent/5da9e1aa-1234-45cb-asdf-4b2fdsa5af2e",
    "CurrentAgentSnapshot": {
        ...
    },
    "EventId": "3e00cbd8-xxxx-xxxx-xxxx-e4329a6e907b",
    "EventTimestamp": "2021-12-22T03:26:20.146Z",
    "EventType": "LOGIN",
    "InstanceARN": "arn:aws:connect:ap-northeast-1:xxxxxxxxxxx:instance/xxxxxxx-yyyy-zzzz-wwww-1111111111",
    "PreviousAgentSnapshot": {
       ...
    },
    "Version": "2017-10-01"
}
```

## Amazon Connect の緊急管理者ログインをリアルタイムに検知する　おまけ

「緊急管理者ログイン」の検証時に CloudTrail のログを確認したらそれらしいログが記録されていることが確認できました。

- `eventName` が `AdminGetEmergencyAccessToken` のログの件数と、ログイン/ログアウトレポートの結果の件数が一致することを確認済み。
- ログアウトを示すログはなかった。ログアウト自体 Amazon Connect Instace 側でやっているから CloudTrail に出ないのかも。
- 通常のエージェントのログインを示すようなログは確認できなかった。ログイン URL が Amazon Connect Instace 側だから CloudTrail に出ないのかも。

```json fn=緊急ログインと思われるログ
{
  "eventVersion": "1.08",
  "userIdentity": {
    ...
  },
  "eventTime": "2021-10-22T01:20:48Z",
  "eventSource": "connect.amazonaws.com",
  "eventName": "AdminGetEmergencyAccessToken",
  ...
}
```


Amazon Connect の緊急管理者ログインをリアルタイムに検知する


Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングと境界値分析してみました。

## Amazon Connect の「オペレーション時間を確認する」ブロックで疑問だったこと

- 「オペレーション時間を確認する」ブロックの判定タイミングは「オペレーション時間を確認する」ブロックを通過したタイミングなのか
- オペレーション時間は時間と分(例: 12:00 AM)を設定できますが、秒までの設定できません。仮に終了時間が 06:00 PM だった場合、06:00:01 PM は終了なのか。秒を含めた開始時間と終了時間はどう判定されるのか。

## Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングの検証環境

検証は以下の問い合わせフローを利用します。

![問い合わせフロー](/images/posts/tech-posts/1639648205/contact_flow.png)

:::info

- オペレーション時間は全日開始時間 09:00 AM の終了時間 06:00 PM に設定しています。
- 着信時間と「オペレーション時間を確認する」ブロックを通過させる時間帯を区別及び、微調整するために「顧客の入力を取得する」ブロックを設置してます。
- 「顧客の入力を取得する」ブロックにてタイムアウト の設定を 60 秒 に設定してます。

:::

### Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングの検証方法

検証したい時間の 30 秒くらい前に電話をかけ、「顧客の入力を取得する」ブロックで検証したい時間直前まで待った後に入力を行います。
「オペレーション時間を確認する」を通過した時間は CloudWatch Logs から確認します。

```json fn=CloudWatch Logs
{
  "ContactFlowModuleType": "CheckHoursOfOperation",
  "Timestamp": "2021-12-12T05:39:59.167Z"
}
```

## Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングの判定タイミングは？

結論を先に書くと、「オペレーション時間を確認する」ブロックを通過したタイミングが判定タイミングとなります。

### Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングを検証

- 08:58:30 AM くらいに電話をかけ、「顧客の入力を取得する」ブロックで 50 秒ほど待ち、 08:59:20 AM に 2 を入力する。
  - 結果: CCP で着信を確認でず通話終了。
- 08:59:30 AM くらいに電話をかけ、「顧客の入力を取得する」ブロックで 50 秒ほど待ち、 09:00:20 AM に 2 を入力する。
  - 結果: CCP で着信を確認できた。

## Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングの境界値分析してみた結果

オペレーション時間の開始時間と終了時間それぞれ以下のような動作を確認できました。
さすがにミリ妙単位の検証まではできなかったです。

- 08:59:59.794 は時間外と判断されました。
- 09:00:00.178 は時間内と判断されました。
- 17:59:59.062 は時間内と判断されました。
- 18:00:00.147 は時間外と判断されました。
- 18:00:01.436 は時間外と判断されました。


AWS Connect の記事一覧

Amazon Connect の緊急管理者ログインをリアルタイムに検知する

Amazon Connect の「オペレーション時間を確認する」ブロックの判定タイミングと境界値分析してみた