Miten STS myöntää väliaikaiset tunnistetiedot

Security Token Service (STS) on AWS-palvelu, joka myöntää väliaikaiset suojaustunnistetiedot. Aina kun rooli otetaan käyttöön tai identiteetti federoidaan, STS myöntää lyhytkestoiset tunnistetiedot pysyvien avainten sijaan. STS:n ymmärtäminen on kokeen kannalta keskeistä, koska väliaikaiset tunnistetiedot ovat lähes kaikkien AWS:n turvallisten käyttömallien perusta.

STS-tunnistetiedot koostuvat kolmesta osasta: access key ID, secret access key ja session token. Session token erottaa ne pitkäkestoisista avaimista; sen on oltava mukana jokaisessa allekirjoitetussa pyynnössä. Kaikki kolme vanhenevat yhdessä määritetyn käyttöajan jälkeen, mikä rajoittaa tunnistetietojen voimassaoloa automaattisesti.

Koska ne vanhenevat automaattisesti (15 minuutista 12 tuntiin), väliaikaiset tunnistetiedot rajoittavat merkittävästi vuodon aiheuttamia vahinkoja. Avaimia ei tarvitse kierrättää manuaalisesti, eikä mitään pysyvää ole varastettavaksi. Siksi AWS suosittelee lähes kaikkialla väliaikaisia tunnistetietoja pitkäkestoisten käyttöavainten sijaan. Koe korostaa tätä toistuvasti.

STS tarjoaa muutamia toimintoja:

• AssumeRole — ottaa käyttöön roolin samassa tai toisessa tilissä.
• AssumeRoleWithSAML — toteuttaa federoinnin SAML-identiteetintarjoajan kautta.
• AssumeRoleWithWebIdentity — toteuttaa federoinnin OIDC:n tai web-identiteetin kautta.
• GetSessionToken / GetFederationToken — MFA:ta ja IAM-käyttäjien federointia varten.

Yleisin kutsu on AssumeRole. Jo todennettu kutsuja pyytää roolin käyttöönsä; STS tarkistaa, että roolin luottamuskäytäntö sallii kutsujan, ja palauttaa sitten väliaikaiset tunnistetiedot, joihin roolin käyttöoikeudet liittyvät. Kutsuja käyttää niitä niiden vanhenemiseen asti ja ottaa sitten roolin uudelleen käyttöön tunnistetietojen päivittämiseksi.

Tämä CLI-kutsu ottaa roolin käyttöön ja palauttaa väliaikaiset tunnistetiedot. Roolin ARN ja istunnon nimi ovat pakollisia; istunnon nimi näkyy CloudTrailissa auditointia varten.

STS käytti aiemmin yhtä maailmanlaajuista päätepistettä, mutta AWS tarjoaa nykyään myös alueellisia STS-päätepisteitä. Alueellisen päätepisteen käyttö vähentää viivettä ja parantaa vikasietoisuutta, ja jotkin vaatimustenmukaisuusratkaisut edellyttävät sitä. Uudempiin alueisiin ei pääse maailmanlaajuisen päätepisteen kautta, joten alueellisen STS:n käyttöönotto on suositeltu määritys.

GetCallerIdentity-toiminto palauttaa kutsun tekevän osapuolen tilin, käyttäjätunnuksen ja ARN:n. Se ei vaadi erityisiä käyttöoikeuksia, ja se on ensisijainen tapa varmistaa, mitä identiteettiä tunnistetiedot tällä hetkellä edustavat. Tästä on hyötyä tutkittaessa oletetun roolin istuntoja vianmäärityksen yhteydessä.

Jokainen STS-kutsu kirjataan CloudTrailiin, mukaan lukien tieto siitä, kuka otti minkä roolin käyttöön ja minkä istunnon nimen hän valitsi. Tämän lokijäljen avulla tutkijat voivat selvittää tarkasti, mikä henkilö tai palvelu sai väliaikaiset tunnistetiedot ja mitä se sen jälkeen teki. Kuvaavat istuntojen nimet tekevät auditoinnista huomattavasti hyödyllisempää.

Väliaikaisia tunnistetietoja käyttävien sovellusten on lähetettävä session token jokaisen pyynnön mukana. AWS SDK ja CLI tekevät tämän automaattisesti, kun ne on määritetty oikein. Jos väliaikaisilla tunnistetiedoilla ilmenee todennusvirheitä, puuttuva tai virheellinen session token on yksi yleisimmistä tarkistettavista syistä.

STS toimii roolien ja federoinnin taustalla: se myöntää itsestään vanhenevia lyhytkestoisia access key-, secret- ja session token -tunnistetietojen kokonaisuuksia, jotka ovat huomattavasti turvallisempia kuin pysyvät avaimet. Käyttäkää AssumeRole-perheen toimintoja, suosikaa alueellisia päätepisteitä, antakaa istunnoille kuvaavat nimet CloudTrailissa ja korvatkaa pitkäkestoiset tunnistetiedot väliaikaisilla aina kun mahdollista.

Security Token Service (STS) myöntää väliaikaiset tunnistetiedot: käyttöavaimen, salaisuuden ja istuntotunnisteen, jotka vanhenevat 15 minuutin–12 tunnin kuluttua. Keskeisiä API-toimintoja ovat AssumeRole, AssumeRoleWithSAML ja AssumeRoleWithWebIdentity. Suosi alueellisia päätepisteitä, käytä CloudTrailia varten kuvaavia istuntojen nimiä ja korvaa pitkäkestoiset avaimet väliaikaisilla.