AssumeRole وعمر الجلسة

تتيح عملية AssumeRole لمبدأ أمان أن يستبدل هويته مؤقتًا بصلاحيات دور. والنتيجة هي جلسة محددة المدة. ويُعد التحكم في مدة هذه الجلسة ونطاق صلاحياتها موضوعًا متكررًا في SCS-C02، لأن مدة الجلسة تؤثر مباشرةً في مستوى التعرض الأمني.

بعد نجاح AssumeRole، يعمل المستدعي باعتباره جلسة دور مفترض، ويُعرَّف بمعرّف ARN مثل arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName. وطوال مدة الجلسة، يمتلك المستدعي صلاحيات الدور وليس صلاحياته الأصلية. ويُحتفظ باسم الجلسة الذي تمررونه لأغراض التدقيق.

تحدد المعلمة DurationSeconds مدة الجلسة، بدءًا من 900 ثانية (15 دقيقة) وحتى الحد الأقصى الذي يحدده الدور. تقلل الجلسات الأقصر الفترة التي تظل خلالها بيانات الاعتماد المسربة صالحة، ولذلك يفضّل مبدأ الحد الأدنى من الصلاحيات أقصر مدة عملية ممكنة.

يحتوي كل دور على إعداد MaximumSessionDuration يتراوح بين ساعة واحدة و12 ساعة. ويُرفض أي طلب يحدد قيمة لـ DurationSeconds تتجاوز هذا الحد. ويؤدي تحديد حد أقصى مناسب للأدوار الحساسة إلى تقييد مدة أي عملية افتراض واحدة، وهو إجراء يمكن ضبطه للأدوار عالية المخاطر.

عندما يفترض دور مفترض دورًا آخر، يُسمى ذلك تتابع الأدوار. تقيّد AWS الجلسات المتتابعة بحد أقصى قدره ساعة واحدة، بغض النظر عن الحد الأقصى المكوّن للدور. ويساعد إدراك هذا الحد في تفسير سبب فشل بعض الطلبات ذات المدد الطويلة عند تتابع الأدوار، وهي نقطة دقيقة في الاختبار.

نظرًا إلى انتهاء صلاحية الجلسات، يجب على التطبيقات إعادة افتراض الدور لمواصلة العمل. وتتولى SDKs ذلك تلقائيًا بالنسبة إلى ملفات تعريف المثيلات وملفات تعريف الأدوار المكوّنة، إذ تجلب بيانات اعتماد جديدة قبل انتهاء صلاحية القديمة. ولا توجد طريقة لتمديد جلسة قائمة؛ بل تحصلون ببساطة على جلسة جديدة.

بالإضافة إلى المدة، تقبل AssumeRole المعلمتين Policy أو PolicyArns (سياسات جلسة لتضييق نطاق الصلاحيات)، وTags (علامات جلسة لاستخدام ABAC)، بالإضافة إلى SerialNumber وTokenCode للمصادقة متعددة العوامل MFA. وتتيح لكم هذه المعلمات تحديد نطاق كل عملية افتراض وحمايتها بدقة عند حدوثها.

يمكن لسياسة الثقة الخاصة بالدور أن تشترط MFA، وفي هذه الحالة يجب أن تتضمن AssumeRole معرّف ARN لجهاز MFA ورمزًا حاليًا. ويضمن ذلك عدم إمكانية افتراض دور ذي صلاحيات عالية باستخدام بيانات اعتماد مسروقة وحدها. ويُعد الجمع بين الجلسات القصيرة وMFA إجراءً قويًا تؤكده أسئلة الاختبار للأدوار الحساسة.

لا يمكنكم حذف بيانات اعتماد مؤقتة فردية، لكن يمكنكم إبطال جميع الجلسات النشطة لدور من خلال إرفاق سياسة مضمنة ترفض الإجراءات للرموز المصدرة قبل وقت محدد، باستخدام شرط aws:TokenIssueTime. ويؤدي زر "Revoke active sessions" في وحدة التحكم الوظيفة نفسها، وهو أداة أساسية للاستجابة للحوادث.

تعني مدد الجلسات القصيرة أنه حتى إذا تسربت بيانات الاعتماد المؤقتة، فسوف تصبح عديمة الفائدة سريعًا. وعند جمعها مع الإبطال وMFA وسياسات جلسات الحد الأدنى من الصلاحيات، فإنها تقلص فترة الهجوم بدرجة كبيرة. ويفضّل الاختبار الإجابات التي تقلل المدة التي تظل خلالها أي بيانات اعتماد صالحة.

تنشئ AssumeRole جلسة محددة المدة يحكمها DurationSeconds ضمن MaximumSessionDuration الخاص بالدور، مع تقييد الأدوار المتتابعة بحد أقصى قدره ساعة واحدة. حدّدوا نطاق كل جلسة باستخدام السياسات والعلامات وMFA، واستخدموا حيلة الإبطال عبر TokenIssueTime لإنهاء الجلسات المخترقة فورًا. والجلسات القصيرة محددة النطاق هي الإعداد الآمن الافتراضي.

اختبروا معرفتكم بمدة الجلسات.

تنشئ AssumeRole جلسة دور مفترض تستمر من 15 دقيقة وحتى MaximumSessionDuration الخاص بالدور (بحد أقصى 12 ساعة)، مع تقييد تتابع الأدوار بحد أقصى قدره ساعة واحدة. حدّدوا نطاق الجلسات باستخدام سياسات الجلسات والعلامات وMFA. وأبطلوا الجلسات المخترقة باستخدام حيلة الرفض عبر aws:TokenIssueTime. ويُفضّل استخدام جلسات قصيرة محددة النطاق.