AssumeRole og sessionens levetid

Handlingen AssumeRole giver en principal mulighed for midlertidigt at bytte sin egen identitet ud med en roles tilladelser. Resultatet er en tidsbegrænset session. Hvor længe sessionen varer, og hvordan dens tilladelser afgrænses, er et hyppigt emne i SCS-C02, fordi sessionens levetid har direkte betydning for sikkerhedsrisikoen.

Når AssumeRole lykkes, fungerer den kaldende part som en session med en antagen rolle, identificeret af en ARN som arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName. I denne periode har den kaldende part rollens tilladelser og ikke sine oprindelige tilladelser. Sessionsnavnet, du angiver, bevares til revision.

Parameteren DurationSeconds angiver, hvor længe sessionen varer, fra 900 sekunder (15 minutter) op til den maksimale varighed, der er defineret for rollen. Kortere sessioner reducerer det tidsrum, hvor lækkede legitimationsoplysninger er gyldige, så princippet om mindst mulige tilladelser taler for den kortest praktisk mulige varighed.

Hver rolle har indstillingen MaximumSessionDuration (1 til 12 timer). En anmodning om DurationSeconds, der er længere end dette, afvises. Ved at angive en fornuftig maksimumsvarighed for følsomme roller begrænser du, hvor længe en enkelt antagelse kan vare, og du kan tilpasse denne kontrol til roller med høj risiko.

Når en antagen rolle antager en anden rolle, kaldes det kædning af roller. AWS begrænser kædede sessioner til højst én time, uanset rollens konfigurerede maksimum. Når du kender denne begrænsning, forstår du, hvorfor nogle anmodninger om lang varighed mislykkes, når roller kædes sammen – en fin detalje til eksamen.

Da sessioner udløber, skal applikationer antage rollen igen for at fortsætte arbejdet. SDK'er håndterer dette transparent for instansprofiler og konfigurerede rolleprofiler ved at hente nye legitimationsoplysninger, før de gamle udløber. Der findes ingen måde at forlænge en eksisterende session på; du henter blot en ny.

Ud over varighed accepterer AssumeRole Policy eller PolicyArns (sessionspolitikker, der begrænser tilladelser), Tags (sessionstags til ABAC) samt SerialNumber og TokenCode til MFA. På den måde kan du afgrænse og beskytte hver enkelt antagelse præcist i det øjeblik, den sker.

En roles tillidspolitik kan kræve MFA. I så fald skal AssumeRole indeholde MFA-enhedens ARN og en aktuel tokencode. Det sikrer, at en privilegeret rolle ikke kan antages med en stjålet legitimationsoplysning alene. Kombinationen af korte sessioner og MFA er en stærk kontrol for følsomme roller, som også anbefales til eksamen.

Du kan ikke slette en enkelt midlertidig legitimationsoplysning, men du kan tilbagekalde alle aktive sessioner for en rolle ved at tilknytte en indlejret politik, der afviser handlinger for tokens udstedt før et valgt tidspunkt ved hjælp af betingelsen aws:TokenIssueTime. Knappen "Revoke active sessions" i konsollen gør netop dette og er et vigtigt værktøj til håndtering af sikkerhedshændelser.

Korte sessioners levetid betyder, at midlertidige legitimationsoplysninger hurtigt bliver ubrugelige, selv hvis de lækkes. Sammen med tilbagekaldelse, MFA og sessionspolitikker med mindst mulige tilladelser reducerer de angrebsvinduet markant. Eksamen favoriserer svar, der minimerer, hvor længe en legitimationsoplysning forbliver gyldig.

AssumeRole opretter en tidsbegrænset session, der styres af DurationSeconds inden for rollens MaximumSessionDuration, mens kædede roller er begrænset til én time. Afgræns hver session med politikker, tags og MFA, og brug tilbagekaldelsestricket med TokenIssueTime til straks at lukke kompromitterede sessioner. Korte, afgrænsede sessioner er det sikre standardvalg.

AssumeRole opretter en session med en antagen rolle, der varer fra 15 minutter op til rollens MaximumSessionDuration (højst 12 timer), mens kædning af roller er begrænset til én time. Afgræns sessioner med sessionspolitikker, tags og MFA. Tilbagekald kompromitterede sessioner ved hjælp af afvisningstricket med aws:TokenIssueTime. Foretræk korte, afgrænsede sessioner.