Wie STS temporäre Zugangsdaten ausstellt

Der Security Token Service (STS) ist der AWS-Service, der temporäre Sicherheitsanmeldeinformationen ausstellt. Jedes Mal, wenn eine Rolle übernommen oder eine Identität föderiert wird, stellt STS kurzlebige Anmeldeinformationen anstelle dauerhafter Schlüssel aus. Das Verständnis von STS ist für die Prüfung zentral, da temporäre Anmeldeinformationen die Grundlage fast aller sicheren Zugriffsmuster in AWS bilden.

STS-Anmeldeinformationen bestehen aus drei Teilen: einer Access-Key-ID, einem geheimen Zugriffsschlüssel und einem Sitzungstoken. Das Sitzungstoken unterscheidet sie von langfristig gültigen Schlüsseln; es muss jeder signierten Anfrage beigefügt werden. Alle drei laufen nach einer festgelegten Gültigkeitsdauer gemeinsam ab, wodurch die Anmeldeinformationen sich selbst begrenzen.

Da sie automatisch ablaufen (nach 15 Minuten bis 12 Stunden), begrenzen temporäre Anmeldeinformationen den Schaden bei einem Datenleck erheblich. Es gibt keine Schlüssel, die Sie manuell rotieren müssen, und nichts Dauerhaftes, das gestohlen werden kann. Deshalb empfiehlt AWS fast überall temporäre Anmeldeinformationen anstelle langfristig gültiger Zugriffsschlüssel — ein Punkt, den die Prüfung wiederholt hervorhebt.

STS stellt eine Handvoll Operationen bereit:

• AssumeRole — eine Rolle im selben oder in einem anderen Konto übernehmen.
• AssumeRoleWithSAML — über einen SAML-Identitätsanbieter föderieren.
• AssumeRoleWithWebIdentity — über OIDC bzw. eine Webidentität föderieren.
• GetSessionToken / GetFederationToken — für MFA und die Föderation von IAM-Benutzern.

Der häufigste Aufruf ist AssumeRole. Der bereits authentifizierte Aufrufer fordert eine Rolle an. STS prüft, ob die Vertrauensrichtlinie der Rolle den Aufrufer zulässt, und gibt anschließend temporäre Anmeldeinformationen mit den Berechtigungen der Rolle zurück. Der Aufrufer verwendet sie bis zum Ablauf und übernimmt die Rolle dann erneut, um sie zu erneuern.

Dieser CLI-Aufruf übernimmt eine Rolle und gibt temporäre Anmeldeinformationen zurück. Der ARN der Rolle und ein Sitzungsname sind erforderlich; der Sitzungsname erscheint zur Prüfung in CloudTrail.

STS verwendete ursprünglich einen einzigen globalen Endpunkt, aber AWS bietet inzwischen regionale STS-Endpunkte an. Die Verwendung des regionalen Endpunkts verringert die Latenz und verbessert die Ausfallsicherheit; manche Compliance-Konfigurationen setzen ihn außerdem voraus. Neuere Regionen sind über den globalen Endpunkt nicht erreichbar. Daher wird empfohlen, regionale STS-Endpunkte zu aktivieren.

Die Operation GetCallerIdentity gibt das Konto, die Benutzer-ID und den ARN der Identität zurück, die den Aufruf ausführt. Sie erfordert keine besonderen Berechtigungen und ist die bevorzugte Möglichkeit zu bestätigen, welche Identität Ihre Anmeldeinformationen derzeit repräsentieren. Das ist besonders nützlich, wenn Sie während einer Untersuchung Sitzungen mit übernommenen Rollen untersuchen.

Jeder STS-Aufruf wird in CloudTrail protokolliert, einschließlich der Information, wer welche Rolle übernommen hat und welchen Sitzungsnamen diese Person oder dieser Dienst gewählt hat. Anhand dieser Protokollspur können Untersuchende genau nachvollziehen, welche Person oder welcher Dienst temporäre Anmeldeinformationen erhalten hat und was anschließend damit getan wurde. Aussagekräftige Sitzungsnamen machen diese Prüfung deutlich nützlicher.

Anwendungen, die temporäre Anmeldeinformationen verwenden, müssen das Sitzungstoken mit jeder Anfrage senden. Das AWS SDK und die AWS CLI erledigen dies nach der Konfiguration automatisch. Wenn bei temporären Anmeldeinformationen Authentifizierungsfehler auftreten, ist ein fehlendes oder nicht übereinstimmendes Sitzungstoken eine häufige Ursache, die Sie prüfen sollten.

STS ist die Grundlage für Rollen und Föderation: Der Service stellt kurzlebige Kombinationen aus Zugriffsschlüssel, geheimem Schlüssel und Sitzungstoken aus, die automatisch ablaufen und damit wesentlich sicherer sind als dauerhafte Schlüssel. Verwenden Sie Operationen aus der Familie von AssumeRole, bevorzugen Sie regionale Endpunkte, vergeben Sie aussagekräftige Sitzungsnamen für CloudTrail und ersetzen Sie langfristig gültige Schlüssel überall dort durch temporäre Anmeldeinformationen, wo dies möglich ist.

Testen Sie Ihre STS-Grundlagen.

Der Security Token Service (STS) stellt temporäre Anmeldeinformationen aus: einen Zugriffsschlüssel, ein Geheimnis und ein Sitzungstoken, die nach 15 Minuten bis 12 Stunden ablaufen. Zu den zentralen APIs gehören AssumeRole, AssumeRoleWithSAML und AssumeRoleWithWebIdentity. Bevorzugen Sie regionale Endpunkte, verwenden Sie aussagekräftige Sitzungsnamen für CloudTrail und ersetzen Sie langfristig gültige Schlüssel durch temporäre.