EC2-työkuormien instanssiprofiilit

EC2-sovellusten on usein kutsuttava AWS-rajapintoja, mutta käyttöavainten upottaminen sovellukseen on vaarallista. Ratkaisu on antaa instanssille oma identiteetti instanssiprofiilin avulla. Se toimittaa väliaikaiset roolitunnistetiedot automaattisesti. Tämä on yksi eniten testatuista toimintamalleista pitkäkestoisten salaisuuksien poistamiseen työkuormista.

Instanssiprofiili on IAM-roolin sisältävä säilö, joka liitetään EC2-instanssiin. Vaikka määritätte käsitteellisesti roolin, EC2 liittää todellisuudessa instanssiprofiilin, joka sisältää kyseisen roolin. Kun luotte EC2:lle roolin konsolissa, samanniminen instanssiprofiili luodaan automaattisesti. CLI:tä tai API:a käytettäessä se on ehkä luotava erikseen.

Kun instanssiprofiili on liitetty, instanssi voi noutaa väliaikaiset tunnistetiedot Instance Metadata Service (IMDS) -palvelusta, joka on erityinen link-local-päätepiste osoitteessa 169.254.169.254. AWS SDK ja CLI noutavat ja päivittävät nämä tunnistetiedot läpinäkyvästi, joten sovelluskoodi ei käsittele avaimia lainkaan.

Tunnistetiedot sijaitsevat metadatapolussa, joka liittyy roolin nimeen. SDK:t hakevat ne automaattisesti, mutta polun ymmärtäminen auttaa selvittämään tilanteita, joissa instanssilla on odottamattomia käyttöoikeuksia. Alla oleva komento näyttää, missä tunnistetiedot ovat instanssissa saatavilla.

Yksi merkittävistä eduista on, että IMDS-tunnistetiedot kierrätetään automaattisesti hyvissä ajoin ennen niiden vanhenemista. Mitään ei tarvitse tallentaa, pysyvästi vuotavaa avainta ei ole eikä kiertoprosessia tarvitse rakentaa itse. Siksi AWS suosittelee instanssiprofiileja kaikkien sellaisten ratkaisujen sijaan, joissa palvelimelle sijoitetaan staattisia avaimia.

Alkuperäistä metadatapalvelua (IMDSv1) voitiin käyttää väärin SSRF-hyökkäyksillä (Server-Side Request Forgery) roolin tunnistetietojen varastamiseen. IMDSv2 edellyttää ensin PUT-pyynnöllä hankittavaa istuntotunnusta, mikä estää useimmat SSRF-hyökkäykset. Kokeessa odotetaan, että pakotatte IMDSv2:n käytön ja asetatte ihannetapauksessa hyppyrajaksi 1:n, jotta säilöt eivät pääse siihen käsiksi.

Instanssiprofiilin roolin tulee noudattaa vähimpien oikeuksien periaatetta: myöntäkää vain työkuorman tarvitsemat tarkat toiminnot ja resurssit. Liian laaja EC2-rooli on vaarallinen, koska mikä tahansa instanssin vaarantuminen, myös SSRF:n kautta, paljastaa nämä käyttöoikeudet. Rajatkaa käytännöt tarkasti ja rajoittakaa vaikutusalaa ehtojen avulla.

Jos löydätte sovellukseen kovakoodattuja staattisia käyttöavaimia tai instanssissa olevan tunnistetietotiedoston, korjaus on liittää instanssiprofiili ja poistaa avaimet. Kokeessa tämä esitetään usein löydöksen korjaamisena: oikea vastaus poistaa pitkäaikaisen salaisuuden ja käyttää sen sijaan IMDS:n tarjoamia roolipohjaisia tunnistetietoja.

EC2-instanssiin voidaan liittää kerrallaan vain yksi instanssiprofiili ja siten yksi rooli. Jos työkuorma tarvitsee erilaisia käyttöoikeusjoukkoja, suunnitelkaa erilliset roolit ja käyttäkää joko erillisiä instansseja tai antakaa sovelluksen ottaa tarvittaessa käyttöön lisärooleja STS:n kautta sen sijaan, että laajentaisitte liitetyn roolin oikeuksia liikaa.

Koska roolin tunnistetiedot näkyvät CloudTrailissa oletetun rooli-istunnon suorittamina toimintoina, voitte auditoida tarkasti, mitä instanssi teki. Jos instanssi vaarantuu, tilannekuvan ottaminen ja CloudTrail-tietojen tarkistaminen kyseisen roolin istunnon osalta paljastaa, mitä hyökkääjä käytti. Roolin tiukka rajaus yhdistettynä CloudTrail-näkyvyyteen on turvallinen ja kokeessa suosittu yhdistelmä.

Suojaatte EC2-käytön liittämällä instanssiprofiilin, joka sisältää vähimpien oikeuksien periaatetta noudattavan roolin, pakottamalla IMDSv2:n käytön, asettamalla metadatan hyppyrajaksi 1:n ja poistamalla kaikki staattiset avaimet. Instanssi noutaa tilapäiset tunnistetiedot IMDS:stä ja kierrättää ne automaattisesti, jolloin laskentaresurssilla on turvallinen identiteetti ilman hallittavaa salaisuutta.

Instanssiprofiili sisältää IAM-roolin ja liittää sen EC2:een toimittaen automaattisesti kierrätettävät tilapäiset tunnistetiedot Instance Metadata Servicen kautta. Näin staattisia avaimia ei tarvita lainkaan. Pakottakaa käyttöön IMDSv2 ja hyppyraja 1 SSRF:n kautta tapahtuvan tunnistetietojen varastamisen estämiseksi, rajatkaa rooli vähimpien oikeuksien periaatteen mukaisesti ja auditoikaa sen istunnot CloudTrailissa.