Politiques de session et restriction par balises

Vous pouvez parfois vouloir accorder un rôle tout en limitant ce qu'une session donnée peut faire, sans modifier le rôle lui-même. Les politiques de session et les balises de session vous permettent de réduire les autorisations au moment précis où le rôle est assumé. Ces fonctionnalités avancées de STS permettent d'appliquer à grande échelle un moindre privilège précis, ce qui est valorisé à l'examen.

Une politique de session est une politique intégrée ou gérée transmise à AssumeRole (via Policy ou PolicyArns). Elle n'accorde pas de nouvelles autorisations ; elle peut uniquement filtrer les autorisations existantes du rôle pour cette session. Les autorisations effectives correspondent à l'intersection des politiques du rôle et de la politique de session.

Comme le résultat est une intersection, une politique de session ne peut jamais permettre à une session de faire plus que ce que le rôle autorise déjà. Si le rôle accorde s3:* mais que la politique de session autorise uniquement s3:GetObject, la session peut seulement récupérer des objets. Les politiques de session permettent ainsi de distribuer en toute sécurité une partie restreinte d'un rôle plus large.

Un cas courant consiste à faire assumer un rôle puissant par un outil d'orchestration qui lui associe, pour chaque tâche, une politique de session limitant cette tâche à un compartiment ou à un groupe de ressources. Chaque session est strictement limitée, même si le rôle sous-jacent est large. Cela évite de créer des dizaines de rôles conçus pour un périmètre étroit.

Cet extrait de CLI montre comment transmettre une politique de session intégrée qui restreint davantage la session. Le rôle doit déjà autoriser ces actions pour qu'elles puissent être exécutées.

Les balises de session sont des attributs clé-valeur associés à une session au moment de l'appel à AssumeRole. Transmises via le paramètre Tags, elles deviennent partie intégrante du contexte de la demande et peuvent être lues dans les politiques via aws:PrincipalTag. Les balises de session transportent dans chaque décision d'autorisation des attributs relatifs à l'identité qui assume le rôle.

Les balises de session constituent la base du contrôle d'accès fondé sur les attributs (ABAC) pour les rôles assumés. Une politique peut exiger que aws:PrincipalTag/Project de la session soit égal à aws:ResourceTag/Project de la ressource, en accordant l'accès uniquement lorsque les balises de projet correspondent. Une seule politique peut ainsi servir de nombreux projets et s'adapter proprement à leur nombre.

Lorsque des rôles sont chaînés, les balises de session ordinaires ne sont pas transmises. Marquer une balise comme transitive la fait persister lors des prises de rôle successives dans la chaîne. Les attributs tels que le service de l'utilisateur d'origine suivent ainsi l'identité à travers plusieurs étapes, ce qui est important pour assurer la cohérence de l'ABAC.

La transmission de balises de session nécessite l’autorisation sts:TagSession en plus de sts:AssumeRole. La politique de confiance peut également limiter les clés ou les valeurs de balise autorisées. Contrôler qui peut définir quelles balises de session empêche les utilisateurs de s’accorder eux-mêmes un accès en attribuant des valeurs de balise privilégiées.

Les politiques de session et les balises de session fonctionnent ensemble : les balises indiquent qui la session représente pour la mise en correspondance ABAC, tandis que les politiques de session plafonnent ce que la session peut faire. Ensemble, elles permettent à un rôle étendu de servir en toute sécurité de nombreuses sessions à portée strictement limitée, ce qui correspond à une conception élégante et évolutive mise en avant par l’examen.

Utilisez les politiques de session pour intersecter et réduire les autorisations d’un rôle pour chaque session, jamais pour les augmenter. Utilisez les balises de session (avec sts:TagSession) pour piloter ABAC via aws:PrincipalTag, en marquant les balises comme transitives lors du chaînage. Ces fonctionnalités STS fournissent le principe du moindre privilège pour chaque session à partir d’un petit nombre de rôles réutilisables.

Testez la portée d’une session.

Les politiques de session transmises à AssumeRole s’intersectent avec les autorisations du rôle, les réduisant sans jamais les étendre. Les balises de session (qui nécessitent sts:TagSession) alimentent ABAC via aws:PrincipalTag, et les balises transitives persistent lors du chaînage de rôles. Ensemble, elles permettent d’appliquer le principe du moindre privilège à chaque session à partir de quelques rôles réutilisables.