Comment STS émet des identifiants temporaires

Le Security Token Service (STS) est le service AWS qui délivre des identifiants de sécurité temporaires. Chaque fois qu’un rôle est assumé ou qu’une identité est fédérée, STS fournit des identifiants à durée limitée au lieu de clés permanentes. Comprendre STS est essentiel à l’examen, car les identifiants temporaires sont au cœur de presque tous les modèles d’accès sécurisé sur AWS.

Les identifiants STS se composent de trois éléments : un identifiant de clé d’accès, une clé d’accès secrète et un jeton de session. Le jeton de session les distingue des clés à long terme ; il doit accompagner chaque demande signée. Les trois éléments expirent ensemble après une durée définie, ce qui limite automatiquement la durée de validité des identifiants.

Comme ils expirent automatiquement (après 15 minutes à 12 heures), les identifiants temporaires limitent fortement les dommages causés par une fuite. Il n’y a aucune clé à renouveler manuellement ni rien de permanent à voler. C’est pourquoi AWS recommande presque partout les identifiants temporaires plutôt que les clés d’accès à long terme, un point que l’examen souligne à plusieurs reprises.

STS propose plusieurs opérations :

• AssumeRole — assumer un rôle dans le même compte ou dans un autre.
• AssumeRoleWithSAML — fédérer via un fournisseur d’identité SAML.
• AssumeRoleWithWebIdentity — fédérer via OIDC ou une identité Web.
• GetSessionToken / GetFederationToken — pour MFA et la fédération d’utilisateurs IAM.

L’appel le plus courant est AssumeRole. L’appelant, déjà authentifié, demande un rôle ; STS vérifie que la politique d’approbation du rôle autorise l’appelant, puis renvoie des identifiants temporaires associés aux autorisations du rôle. L’appelant les utilise jusqu’à leur expiration, puis assume à nouveau le rôle pour les renouveler.

Cet appel CLI assume un rôle et renvoie des identifiants temporaires. L’ARN du rôle et un nom de session sont requis ; le nom de session apparaît dans CloudTrail à des fins d’audit.

STS utilisait historiquement un seul point de terminaison mondial, mais AWS propose désormais des points de terminaison STS régionaux. L’utilisation du point de terminaison régional réduit la latence et améliore la résilience, et certaines configurations de conformité l’exigent. Les régions plus récentes ne sont pas accessibles via le point de terminaison mondial ; l’activation de STS régional est donc une configuration recommandée.

L’opération GetCallerIdentity renvoie le compte, l’identifiant utilisateur et l’ARN de l’auteur de l’appel. Elle ne nécessite aucune autorisation spéciale et constitue la méthode privilégiée pour confirmer l’identité actuellement représentée par vos identifiants, ce qui est utile lors du débogage de sessions associées à un rôle assumé pendant une investigation.

Chaque appel STS est enregistré dans CloudTrail, notamment l’identité qui a assumé chaque rôle et le nom de session choisi. Cette trace permet aux enquêteurs de déterminer précisément quelle personne ou quel service a obtenu des identifiants temporaires et ce qu’il a ensuite fait. Des noms de session explicites rendent cet audit beaucoup plus utile.

Les applications qui utilisent des identifiants temporaires doivent envoyer le jeton de session avec chaque demande ; le SDK AWS et la CLI le font automatiquement une fois configurés. Si vous rencontrez des échecs d’authentification avec des identifiants temporaires, l’absence ou la discordance d’un jeton de session est une cause fréquente à vérifier.

STS est le moteur des rôles et de la fédération : il délivre des ensembles à durée limitée composés d’une clé d’accès, d’une clé secrète et d’un jeton de session, qui expirent automatiquement et sont bien plus sûrs que les clés permanentes. Utilisez les opérations de la famille AssumeRole, privilégiez les points de terminaison régionaux, donnez des noms explicites aux sessions pour CloudTrail et remplacez les identifiants à long terme par des identifiants temporaires partout où vous le pouvez.

Testez vos connaissances de base sur STS.

Le Security Token Service (STS) délivre des identifiants temporaires : une clé d'accès, une clé secrète et un jeton de session qui expirent après 15 minutes à 12 heures. Les API principales incluent AssumeRole, AssumeRoleWithSAML et AssumeRoleWithWebIdentity. Privilégiez les points de terminaison régionaux, utilisez des noms de session explicites pour CloudTrail et remplacez les clés à long terme par des clés temporaires.