AssumeRole und die Sitzungsdauer

Mit der Operation AssumeRole kann ein Principal seine eigene Identität vorübergehend gegen die Berechtigungen einer Rolle eintauschen. Das Ergebnis ist eine zeitlich begrenzte Sitzung. Wie lange diese Sitzung gültig ist und wie ihre Berechtigungen eingeschränkt werden, ist ein häufiges Thema im SCS-C02, da die Sitzungsdauer die Sicherheitsrisiken direkt beeinflusst.

Nach erfolgreicher Ausführung von AssumeRole arbeitet der Aufrufer als Sitzung mit angenommener Rolle, die durch eine ARN wie arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName identifiziert wird. Während dieser Zeit verfügt der Aufrufer über die Berechtigungen der Rolle und nicht über die ursprünglichen Berechtigungen. Der übergebene Sitzungsname bleibt für die Prüfung und Protokollierung erhalten.

Der Parameter DurationSeconds legt fest, wie lange die Sitzung gültig ist: von 900 Sekunden (15 Minuten) bis zu einem durch die Rolle festgelegten Höchstwert. Kürzere Sitzungen verkleinern den Zeitraum, in dem abgeflossene Anmeldeinformationen gültig sind. Daher empfiehlt der Grundsatz der geringsten Berechtigung die kürzestmögliche praktikable Dauer.

Jede Rolle verfügt über die Einstellung MaximumSessionDuration (1 bis 12 Stunden). Eine Anfrage für DurationSeconds, die diesen Wert überschreitet, wird abgelehnt. Durch einen sinnvollen Höchstwert für sensible Rollen begrenzen Sie, wie lange eine einzelne Rollenübernahme dauern kann – eine Einstellung, die Sie für Rollen mit hohem Risiko anpassen können.

Wenn eine angenommene Rolle eine andere Rolle annimmt, spricht man von einer Rollenverkettung. AWS begrenzt verkettete Sitzungen unabhängig vom konfigurierten Höchstwert der Rolle auf maximal eine Stunde. Diese Begrenzung erklärt, warum Anforderungen mit langer Laufzeit bei einer Rollenverkettung fehlschlagen können – ein wichtiges Detail für die Prüfung.

Da Sitzungen ablaufen, müssen Anwendungen die Rolle erneut annehmen, um weiterarbeiten zu können. SDKs erledigen dies bei Instance-Profilen und konfigurierten Rollenprofilen transparent, indem sie neue Anmeldeinformationen abrufen, bevor die alten ablaufen. Eine bestehende Sitzung kann nicht verlängert werden; Sie erhalten einfach eine neue.

Neben der Dauer akzeptiert AssumeRole Policy oder PolicyArns (Sitzungsrichtlinien zum Einschränken von Berechtigungen), Tags (Sitzungs-Tags für ABAC) sowie SerialNumber und TokenCode für MFA. Damit können Sie jede Rollenübernahme genau zum Zeitpunkt ihrer Ausführung präzise einschränken und absichern.

Die Vertrauensrichtlinie einer Rolle kann MFA voraussetzen. In diesem Fall muss AssumeRole die ARN des MFA-Geräts und einen aktuellen Token-Code enthalten. So wird verhindert, dass eine privilegierte Rolle allein mit gestohlenen Anmeldeinformationen angenommen werden kann. Die Kombination aus kurzen Sitzungen und MFA ist eine starke, für die Prüfung relevante Maßnahme für sensible Rollen.

Sie können einzelne temporäre Anmeldeinformationen nicht löschen. Sie können jedoch alle aktiven Sitzungen einer Rolle widerrufen, indem Sie eine eingebettete Richtlinie anhängen, die Aktionen für Token verweigert, die vor einem bestimmten Zeitpunkt ausgestellt wurden. Verwenden Sie dazu die Bedingung aws:TokenIssueTime. Die Konsolenschaltfläche „Aktive Sitzungen widerrufen“ führt genau dies aus und ist ein wichtiges Werkzeug für die Reaktion auf Sicherheitsvorfälle.

Kurze Sitzungsdauern sorgen dafür, dass temporäre Anmeldeinformationen selbst im Fall eines Abflusses bald unbrauchbar werden. Zusammen mit dem Widerruf, MFA und Sitzungsrichtlinien nach dem Prinzip der geringsten Berechtigung verkleinern sie das Zeitfenster für Angriffe erheblich. In der Prüfung werden Antworten bevorzugt, die minimieren, wie lange Anmeldeinformationen gültig bleiben.

AssumeRole erstellt eine zeitlich begrenzte Sitzung, deren Dauer durch DurationSeconds innerhalb von MaximumSessionDuration der Rolle bestimmt wird; bei verketteten Rollen gilt eine Begrenzung auf eine Stunde. Schränken Sie jede Sitzung mit Richtlinien, Tags und MFA ein und verwenden Sie den Widerruf über TokenIssueTime, um kompromittierte Sitzungen sofort zu beenden. Kurze, klar eingeschränkte Sitzungen sind die sichere Standardeinstellung.

Testen Sie Ihr Wissen über die Sitzungsdauer.

AssumeRole erstellt eine Sitzung mit angenommener Rolle, die von 15 Minuten bis zur MaximumSessionDuration der Rolle gültig ist (maximal 12 Stunden); bei einer Rollenverkettung gilt eine Begrenzung auf eine Stunde. Schränken Sie Sitzungen mit Sitzungsrichtlinien, Tags und MFA ein. Widerrufen Sie kompromittierte Sitzungen mit der Verweigerungsregel über aws:TokenIssueTime. Bevorzugen Sie kurze, klar eingeschränkte Sitzungen.