Kebijakan Kepercayaan dan Pihak yang Dapat AssumeRole

Kebijakan kepercayaan adalah dokumen yang dilampirkan ke peran dan secara tepat menentukan principal mana yang diizinkan mengambilnya. Kebijakan ini bertindak sebagai penjaga gerbang: meskipun kebijakan izin memberikan akses yang kuat, tidak seorang pun dapat menggunakan peran tersebut kecuali namanya tercantum dalam kebijakan kepercayaan. Dalam ujian, kesalahan kebijakan kepercayaan sering menyebabkan akses terputus maupun pemberian izin yang berbahaya dan terlalu luas.

Elemen Principal dalam kebijakan kepercayaan dapat merujuk ke:

• AWS — ARN akun, pengguna, atau peran (Amazon Resource Name).
• Service — service AWS seperti lambda.amazonaws.com.
• Federated — penyedia SAML atau penyedia identitas web.

Memilih jenis principal yang tepat dan menentukannya secara spesifik sangat penting untuk menghindari pemberian kepercayaan yang lebih luas daripada yang dimaksudkan.

Pengambilan lintas akun mengharuskan kedua pihak menyetujuinya. Kebijakan kepercayaan peran di akun target harus mengizinkan principal pemanggil, dan principal tersebut harus memiliki kebijakan identitas yang mengizinkan sts:AssumeRole pada ARN peran. Jika salah satu bagian tidak ada, permintaan akan ditolak. Jabat tangan dua arah ini merupakan jebakan klasik dalam ujian.

Kebijakan kepercayaan ini memungkinkan peran tertentu dalam akun 111122223333 mengambil peran tersebut. Menyebutkan ARN yang tepat, bukan seluruh akun, lebih ketat dan aman.

Menentukan principal sebagai arn:aws:iam::ACCOUNT:root berarti mempercayai seluruh akun: principal mana pun di sana yang juga memiliki izin sts:AssumeRole dapat mengambil peran tersebut. Ini bersifat luas. Jika memungkinkan, sebutkan ARN pengguna atau peran yang tepat untuk mengikuti hak akses minimum dan memperkecil permukaan kepercayaan.

Kebijakan kepercayaan mendukung blok Condition yang memperketat siapa yang dapat mengambil peran dan caranya. Kunci yang umum mencakup sts:ExternalId (untuk mencegah masalah wakil yang bingung), aws:MultiFactorAuthPresent (mewajibkan MFA), dan aws:SourceIp. Syarat memungkinkan Anda memberikan izin pengambilan hanya dalam keadaan tertentu yang dapat diverifikasi.

Pola yang kuat adalah mewajibkan MFA sebelum peran sensitif dapat diambil. Kondisi dalam kebijakan kepercayaan memeriksa bahwa sesi pemanggil diautentikasi dengan MFA. Artinya, bahkan kredensial jangka panjang yang dicuri tidak dapat mengambil peran istimewa tanpa faktor kedua, sehingga secara signifikan meningkatkan tingkat kesulitan bagi penyerang.

Beberapa peran merupakan peran yang tertaut ke service, yang telah ditentukan sebelumnya oleh AWS dengan kebijakan kepercayaan yang tidak dapat Anda edit. Peran ini memungkinkan service mengelola sumber daya atas nama Anda dengan tepat sesuai kepercayaan yang diperlukan AWS. Mengenalinya penting karena izin dan kepercayaannya dikendalikan secara ketat serta terikat pada siklus hidup service.

Mempercayai principal internal (akun yang sama) umumnya berisiko lebih rendah daripada mempercayai akun eksternal atau vendor SaaS pihak ketiga. Untuk kepercayaan eksternal, selalu gabungkan principal yang spesifik dengan syarat seperti ExternalId. Perlakukan setiap pernyataan kepercayaan eksternal sebagai titik masuk yang sangat ingin dieksploitasi penyerang.

Penganalisis Akses IAM secara otomatis meninjau kebijakan kepercayaan dan kebijakan sumber daya untuk menemukan peran yang dapat diambil oleh akun eksternal atau publik. Fitur ini menandai kepercayaan lintas akun atau publik yang tidak diinginkan agar Anda dapat memperketatnya. Meninjau temuan Penganalisis Akses merupakan pengendalian yang direkomendasikan dan relevan untuk ujian guna menemukan kepercayaan yang terlalu luas.

Untuk merancang kepercayaan dengan aman: sebutkan principal yang paling spesifik, tambahkan syarat seperti ExternalId dan MFA jika sesuai, utamakan peran daripada kepercayaan terhadap root akun, dan lakukan peninjauan dengan Penganalisis Akses. Ingat, kebijakan kepercayaan menjawab siapa, sedangkan kebijakan izin menjawab apa; keduanya harus selaras agar akses berfungsi dan tetap mengikuti hak akses minimum.

Uji pengetahuan Anda tentang kebijakan kepercayaan.

Kebijakan kepercayaan menentukan principal mana yang dapat mengambil peran dan menjadi penjaga gerbang terlepas dari kebijakan izin. Pengambilan lintas akun memerlukan jabat tangan dua arah: kebijakan kepercayaan ditambah izin sts:AssumeRole milik pemanggil. Utamakan ARN principal yang spesifik daripada root akun, tambahkan syarat seperti ExternalId dan MFA, lalu lakukan audit dengan Penganalisis Akses IAM.