Sådan udsteder STS midlertidige legitimationsoplysninger

Security Token Service (STS) er den AWS-tjeneste, der udsteder midlertidige sikkerhedslegitimationsoplysninger. Hver gang en rolle antages, eller en identitet fødereres, udsteder STS kortvarige legitimationsoplysninger i stedet for permanente nøgler. Det er centralt at forstå STS til eksamen, fordi midlertidige legitimationsoplysninger ligger til grund for næsten alle sikre adgangsmønstre i AWS.

STS-legitimationsoplysninger består af tre dele: et adgangsnøgle-id, en hemmelig adgangsnøgle og et sessions-token. Sessions-tokenet adskiller dem fra langsigtede nøgler; det skal følge med hver signeret anmodning. Alle tre udløber samtidig efter en fastlagt levetid, hvilket gør legitimationsoplysningerne selvbegrænsende.

Fordi de udløber automatisk (efter 15 minutter til 12 timer), begrænser midlertidige legitimationsoplysninger skaden ved et læk betydeligt. Der er ingen nøgler, der skal roteres manuelt, og intet permanent, der kan stjæles. Derfor anbefaler AWS midlertidige legitimationsoplysninger frem for langsigtede adgangsnøgler næsten overalt, hvilket eksamen gentagne gange understreger.

STS stiller en håndfuld handlinger til rådighed:

• AssumeRole — antag en rolle i den samme eller en anden konto.
• AssumeRoleWithSAML — føderér via en SAML-identitetsudbyder.
• AssumeRoleWithWebIdentity — føderér via OIDC-/webidentitet.
• GetSessionToken / GetFederationToken — til MFA og føderering af IAM-brugere.

Det mest almindelige kald er AssumeRole. Den kaldende part, som allerede er godkendt, anmoder om en rolle. STS kontrollerer, at rollens tillidspolitik tillader den kaldende part, og returnerer derefter midlertidige legitimationsoplysninger med rollens tilladelser. Den kaldende part bruger dem, indtil de udløber, og antager derefter rollen igen for at forny dem.

Dette CLI-kald antager en rolle og returnerer midlertidige legitimationsoplysninger. Rolle-ARN'en og et sessionsnavn er påkrævet; sessionsnavnet vises i CloudTrail til revision.

STS brugte historisk ét globalt slutpunkt, men AWS tilbyder nu regionale STS-slutpunkter. Det regionale slutpunkt reducerer latenstiden og forbedrer robustheden, og nogle opsætninger af hensyn til overholdelse kræver det. Nyere regioner kan ikke nås via det globale slutpunkt, så aktivering af regional STS er en anbefalet konfiguration.

Handlingen GetCallerIdentity returnerer kontoen, bruger-id'et og ARN'en for den, der foretager kaldet. Den kræver ingen særlige tilladelser og er den foretrukne måde at bekræfte, hvilken identitet dine legitimationsoplysninger aktuelt repræsenterer. Det er nyttigt ved fejlfinding af sessioner med antagne roller under en undersøgelse.

Alle STS-kald logges i CloudTrail, herunder hvem der antog hvilken rolle, og hvilket sessionsnavn de valgte. Dette revisionsspor gør det muligt for efterforskere at spore præcis, hvilket menneske eller hvilken tjeneste der hentede midlertidige legitimationsoplysninger, og hvad de derefter gjorde. Meningsfulde sessionsnavne gør denne revision langt mere nyttig.

Programmer, der bruger midlertidige legitimationsoplysninger, skal sende sessions-tokenet med hver anmodning; AWS SDK'et og CLI'en gør dette automatisk, når de er konfigureret. Hvis du oplever godkendelsesfejl med midlertidige legitimationsoplysninger, er et manglende eller forkert sessions-token en hyppig årsag, der bør kontrolleres.

STS er motoren bag roller og føderering: Den udsteder kortvarige sæt af adgangsnøgle, hemmelig nøgle og sessions-token, som udløber af sig selv og er langt sikrere end permanente nøgler. Brug handlinger i AssumeRole-familien, foretræk regionale slutpunkter, giv sessioner meningsfulde navne til brug i CloudTrail, og erstat langsigtede legitimationsoplysninger med midlertidige, hvor du kan.

Security Token Service (STS) udsteder midlertidige legitimationsoplysninger: en adgangsnøgle, en hemmelig nøgle og et sessionstoken, som udløber efter 15 minutter til 12 timer. De vigtigste API'er omfatter AssumeRole, AssumeRoleWithSAML og AssumeRoleWithWebIdentity. Foretræk regionale slutpunkter, brug sigende sessionsnavne til CloudTrail, og erstat langsigtede nøgler med midlertidige nøgler.