Sitzungsrichtlinien und tagbasierte Eingrenzung

Manchmal möchten Sie eine Rolle gewähren, aber ohne die Rolle selbst zu ändern einschränken, was eine bestimmte Sitzung tun kann. Mit Sitzungsrichtlinien und Sitzungs-Tags können Sie die Berechtigungen genau in dem Moment reduzieren, in dem eine Rolle angenommen wird. Diese erweiterten STS-Funktionen ermöglichen eine fein abgestufte und skalierbare Umsetzung des Prinzips der geringsten Berechtigung, die in der Prüfung besonders berücksichtigt wird.

Eine Sitzungsrichtlinie ist eine eingebettete oder verwaltete Richtlinie, die an AssumeRole übergeben wird (über Policy oder PolicyArns). Sie gewährt keine neuen Berechtigungen, sondern kann nur die vorhandenen Berechtigungen der Rolle für diese Sitzung filtern. Die effektiven Berechtigungen sind der Schnitt aus den Richtlinien der Rolle und der Sitzungsrichtlinie.

Da das Ergebnis eine Schnittmenge ist, kann eine Sitzungsrichtlinie einer Sitzung niemals mehr erlauben, als die Rolle bereits zulässt. Wenn die Rolle s3:* gewährt, die Sitzungsrichtlinie aber nur s3:GetObject erlaubt, kann die Sitzung nur Objekte abrufen. Dadurch sind Sitzungsrichtlinien eine sichere Möglichkeit, einen eingeschränkten Ausschnitt einer umfassenderen Rolle bereitzustellen.

Ein typischer Anwendungsfall: Ein leistungsfähiges gemeinsames Rollenprofil wird von einem Orchestrierungstool angenommen, das für jeden Auftrag eine Sitzungsrichtlinie anhängt, die den Auftrag auf einen Bucket oder eine Ressourcengruppe beschränkt. Jede Sitzung ist eng eingegrenzt, obwohl die zugrunde liegende Rolle weitreichend ist. So müssen Sie nicht Dutzende speziell zugeschnittene Rollen erstellen.

Dieses CLI-Snippet zeigt, wie eine eingebettete Sitzungsrichtlinie übergeben wird, die die Sitzung zusätzlich einschränkt. Die Rolle muss diese Aktionen bereits erlauben, damit sie wirksam werden.

Sitzungs-Tags sind Schlüssel-Wert-Attribute, die beim Aufruf von AssumeRole an eine Sitzung angehängt werden. Sie werden über den Parameter Tags übergeben, sind anschließend Teil des Anfragekontexts und können in Richtlinien über aws:PrincipalTag ausgewertet werden. Sitzungs-Tags übertragen Attribute darüber, wer die Rolle annimmt, in jede Autorisierungsentscheidung.

Sitzungs-Tags bilden das Rückgrat der attributbasierten Zugriffskontrolle (ABAC) für angenommene Rollen. Eine Richtlinie kann verlangen, dass aws:PrincipalTag/Project der Sitzung mit aws:ResourceTag/Project der Ressource übereinstimmt. Zugriff wird dann nur gewährt, wenn die Projekt-Tags übereinstimmen. Eine einzige Richtlinie kann so für viele Projekte verwendet werden und lässt sich sauber skalieren.

Bei einer Rollenverkettung werden gewöhnliche Sitzungs-Tags nicht weitergegeben. Wenn Sie ein Tag als transitiv markieren, bleibt es bei nachfolgenden Rollenübernahmen innerhalb der Kette erhalten. So folgen Attribute wie die Abteilung des ursprünglichen Benutzers der Identität über mehrere Schritte hinweg – wichtig für ein konsistentes ABAC.

Zum Übergeben von Sitzungs-Tags ist zusätzlich zu sts:AssumeRole die Berechtigung sts:TagSession erforderlich. Die Vertrauensrichtlinie kann außerdem einschränken, welche Tag-Schlüssel oder -Werte zulässig sind. Wenn Sie kontrollieren, wer welche Sitzungs-Tags setzen darf, verhindern Sie, dass sich Benutzer durch das eigenständige Zuweisen privilegierter Tag-Werte selbst Zugriff gewähren.

Sitzungsrichtlinien und Sitzungs-Tags ergänzen sich: Tags geben für den ABAC-Abgleich an, wer durch die Sitzung repräsentiert wird, während Sitzungsrichtlinien begrenzen, was die Sitzung tun darf. Zusammen ermöglichen sie es, eine breit gefasste Rolle sicher für viele eng begrenzte Sitzungen zu verwenden – genau die elegante, skalierbare Gestaltung, die in der Prüfung hervorgehoben wird.

Verwenden Sie Sitzungsrichtlinien, um die Berechtigungen einer Rolle pro Sitzung durch eine Schnittmenge zu begrenzen und zu reduzieren, niemals um sie zu erweitern. Verwenden Sie Sitzungs-Tags (mit sts:TagSession), um über aws:PrincipalTag ABAC zu steuern, und markieren Sie Tags beim Rollenverkettungsprozess als transitiv. Diese STS-Funktionen ermöglichen Least Privilege pro Sitzung mit wenigen wiederverwendbaren Rollen.

Testen Sie die Begrenzung von Sitzungen.

Die an AssumeRole übergebenen Sitzungsrichtlinien bilden eine Schnittmenge mit den Berechtigungen der Rolle und reduzieren sie, erweitern sie aber niemals. Sitzungs-Tags (für die sts:TagSession erforderlich ist) speisen ABAC über aws:PrincipalTag, und transitive Tags bleiben beim Rollenverkettungsprozess erhalten. Zusammen ermöglichen sie Least Privilege pro Sitzung mit wenigen wiederverwendbaren Rollen.