Instance Profile untuk Beban Kerja EC2

Aplikasi di EC2 sering kali perlu memanggil API AWS, tetapi menyematkan kunci akses berbahaya. Solusinya adalah memberikan identitasnya sendiri kepada instans melalui profil instans, yang secara otomatis menyediakan kredensial peran sementara. Ini merupakan salah satu pola yang paling sering diuji untuk menghilangkan rahasia jangka panjang dari beban kerja.

Profil instans adalah wadah untuk peran IAM yang Anda lampirkan ke instans EC2. Meskipun secara konsep Anda menetapkan sebuah peran, EC2 sebenarnya melampirkan profil instans yang membungkus peran tersebut. Saat Anda membuat peran untuk EC2 di konsol, profil instans dengan nama yang sama dibuat secara otomatis; dengan CLI atau API, Anda mungkin perlu membuatnya secara eksplisit.

Setelah profil instans dilampirkan, instans dapat mengambil kredensial sementara dari Instance Metadata Service (IMDS), yaitu titik akhir khusus pada tautan lokal di 169.254.169.254. AWS SDK dan CLI mengambil serta memperbarui kredensial ini secara transparan, sehingga kode aplikasi sama sekali tidak perlu menangani kunci.

Kredensial berada di bawah jalur metadata yang terkait dengan nama peran. SDK menanyakannya secara otomatis, tetapi memahami jalur ini membantu saat memecahkan masalah mengapa suatu instans memiliki izin yang tidak terduga. Perintah di bawah ini menunjukkan lokasi kredensial diekspos pada instans.

Manfaat utamanya adalah kredensial IMDS dirotasi secara otomatis jauh sebelum masa berlakunya berakhir. Tidak ada yang perlu disimpan, tidak ada kunci yang dapat bocor secara permanen, dan tidak ada proses rotasi yang perlu dibuat. Inilah alasan AWS merekomendasikan profil instans dibandingkan skema apa pun yang menempatkan kunci statis di server.

Layanan metadata asli (IMDSv1) dapat disalahgunakan melalui serangan SSRF (Pemalsuan Permintaan Sisi Server) untuk mencuri kredensial peran. IMDSv2 mengharuskan token sesi diperoleh terlebih dahulu melalui permintaan PUT, yang memblokir sebagian besar eksploitasi SSRF. Dalam ujian, Anda diharapkan menerapkan IMDSv2 dan idealnya menetapkan batas lompatan ke 1 agar kontainer tidak dapat menjangkaunya.

Peran profil instans harus mengikuti prinsip hak akses minimum: berikan hanya tindakan dan sumber daya tertentu yang diperlukan beban kerja. Peran EC2 yang terlalu luas berbahaya karena setiap kompromi pada instans, termasuk melalui SSRF, akan mengekspos izin tersebut. Batasi cakupan kebijakan dengan ketat dan gunakan kondisi untuk membatasi dampak.

Jika Anda menemukan kunci akses statis yang ditulis langsung dalam aplikasi atau berkas kredensial pada instans, perbaikannya adalah memasang profil instans dan menghapus kunci tersebut. Ujian sering menyajikan ini sebagai perbaikan atas suatu temuan: jawaban yang benar menghapus rahasia jangka panjang dan mengandalkan kredensial berbasis peran dari IMDS.

Satu instans EC2 hanya dapat memiliki satu profil instans yang terpasang pada satu waktu, dan karenanya hanya satu peran. Jika beban kerja memerlukan kumpulan izin yang berbeda, rancang peran terpisah dan gunakan instans terpisah, atau minta aplikasi mengambil peran tambahan melalui STS sesuai kebutuhan, alih-alih memperluas peran yang terpasang secara berlebihan.

Karena kredensial peran muncul di CloudTrail sebagai tindakan oleh sesi peran yang diambil, Anda dapat mengaudit secara tepat apa yang dilakukan suatu instans. Jika instans disusupi, membuat snapshot dan memeriksa CloudTrail untuk sesi peran tersebut akan mengungkap apa yang diakses penyerang. Cakupan peran yang ketat ditambah visibilitas CloudTrail merupakan kombinasi aman yang disukai dalam ujian.

Untuk mengamankan akses EC2: pasang profil instans yang membungkus peran dengan hak akses minimum, terapkan IMDSv2, tetapkan batas lompatan metadata ke 1, dan hapus semua kunci statis. Instans mengambil serta merotasi otomatis kredensial sementara dari IMDS, sehingga komputasi memiliki identitas yang aman tanpa rahasia apa pun yang harus Anda kelola.

Periksa pengetahuan Anda tentang profil instans.

Profil instans membungkus peran IAM dan memasangnya pada EC2, lalu menyediakan kredensial sementara yang dirotasi otomatis melalui Layanan Metadata Instans. Hal ini menghapus kunci statis sepenuhnya. Terapkan IMDSv2 dan batas lompatan 1 untuk memblokir pencurian kredensial melalui SSRF, batasi cakupan peran dengan hak akses minimum, dan audit sesinya di CloudTrail.