AssumeRole dan Masa Berlaku Sesi

Operasi AssumeRole memungkinkan sebuah principal menukar identitasnya sendiri untuk sementara dengan izin suatu peran. Hasilnya adalah sesi yang dibatasi waktu. Mengendalikan durasi sesi dan cakupan izinnya merupakan topik yang sering muncul dalam SCS-C02 karena masa berlaku sesi secara langsung memengaruhi paparan keamanan.

Setelah AssumeRole berhasil, pemanggil beroperasi sebagai sesi peran yang diasumsikan, yang diidentifikasi oleh ARN seperti arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName. Selama durasi tersebut, pemanggil memiliki izin peran tersebut dan bukan izin aslinya. Nama sesi yang Anda teruskan akan dipertahankan untuk keperluan audit.

Parameter DurationSeconds menentukan berapa lama sesi berlangsung, mulai dari 900 detik (15 menit) hingga maksimum yang ditentukan oleh peran. Sesi yang lebih singkat mengurangi jangka waktu berlakunya kredensial yang bocor, sehingga prinsip hak akses minimum mengutamakan durasi praktis yang paling singkat.

Setiap peran memiliki pengaturan MaximumSessionDuration (1 hingga 12 jam). Permintaan DurationSeconds yang lebih lama dari nilai ini akan ditolak. Menetapkan maksimum yang wajar pada peran sensitif membatasi berapa lama setiap pengambilan peran dapat berlangsung, dan kontrol ini dapat Anda sesuaikan untuk peran berisiko tinggi.

Ketika satu peran yang diasumsikan mengambil peran lain, hal itu disebut rantai peran. AWS membatasi sesi berantai hingga maksimum satu jam, terlepas dari maksimum yang dikonfigurasi untuk peran tersebut. Memahami batas ini menjelaskan mengapa beberapa permintaan berdurasi panjang gagal saat peran dirantai, sebuah detail ujian yang cukup rumit.

Karena sesi akan kedaluwarsa, aplikasi harus mengambil kembali peran tersebut agar dapat terus bekerja. SDK menangani proses ini secara transparan untuk profil instans dan profil peran yang dikonfigurasi, dengan mengambil kredensial baru sebelum kredensial lama kedaluwarsa. Tidak ada cara untuk memperpanjang sesi yang sudah ada; Anda cukup mendapatkan sesi baru.

Selain durasi, AssumeRole menerima Policy atau PolicyArns (kebijakan sesi untuk mempersempit izin), Tags (tag sesi untuk ABAC), serta SerialNumber dan TokenCode untuk MFA. Parameter ini memungkinkan Anda membatasi cakupan dan melindungi setiap pengambilan peran secara tepat pada saat berlangsung.

Kebijakan kepercayaan suatu peran dapat mewajibkan MFA. Dalam hal ini, AssumeRole harus menyertakan ARN perangkat MFA dan kode token yang masih berlaku. Dengan demikian, peran berhak istimewa tidak dapat diambil hanya dengan kredensial yang dicuri. Menggabungkan sesi singkat dengan MFA merupakan kontrol kuat untuk peran sensitif dan direkomendasikan dalam ujian.

Anda tidak dapat menghapus satu kredensial sementara tertentu, tetapi Anda dapat mencabut semua sesi aktif untuk suatu peran dengan melampirkan kebijakan sebaris yang menolak tindakan untuk token yang diterbitkan sebelum waktu tertentu, menggunakan kondisi aws:TokenIssueTime. Tombol "Cabut sesi aktif" di konsol melakukan hal yang sama, dan merupakan alat penting untuk penanganan insiden.

Masa berlaku sesi yang singkat berarti kredensial sementara akan segera tidak berguna meskipun bocor. Jika digabungkan dengan pencabutan, MFA, dan kebijakan sesi dengan hak akses minimum, sesi singkat secara drastis mempersempit jendela serangan. Ujian mengutamakan jawaban yang meminimalkan lamanya kredensial apa pun tetap berlaku.

AssumeRole membuat sesi yang dibatasi waktu dan diatur oleh DurationSeconds dalam batas MaximumSessionDuration peran tersebut, dengan peran berantai dibatasi hingga satu jam. Batasi cakupan setiap sesi menggunakan kebijakan, tag, dan MFA, lalu gunakan trik pencabutan TokenIssueTime untuk segera menghentikan sesi yang disusupi. Sesi yang singkat dan cakupannya terbatas merupakan standar aman.

Uji pengetahuan Anda tentang masa berlaku sesi.

AssumeRole membuat sesi peran yang diasumsikan yang berlangsung dari 15 menit hingga MaximumSessionDuration peran tersebut (maksimal 12 jam), dengan rantai peran dibatasi hingga satu jam. Batasi cakupan sesi menggunakan kebijakan sesi, tag, dan MFA. Cabut sesi yang disusupi menggunakan trik penolakan aws:TokenIssueTime. Utamakan sesi yang singkat dan cakupannya terbatas.