Che cos'è davvero un ruolo IAM

Un ruolo IAM è un'identità che è possibile assumere per ottenere un insieme di autorizzazioni, ma, a differenza di un utente, non dispone di credenziali permanenti. Quando un'entità assume un ruolo, AWS emette invece credenziali di sicurezza temporanee che scadono dopo un periodo prestabilito. I ruoli sono il metodo sicuro e moderno per concedere l'accesso ad AWS e compaiono in tutto l'esame SCS-C02.

Ogni ruolo comprende due parti relative alle policy:

• Una policy di attendibilità (detta anche policy assume-role), che indica chi è autorizzato ad assumere il ruolo.
• Una o più policy di autorizzazione, che indicano cosa può fare il ruolo una volta assunto.

Questa separazione è il cuore del modo in cui i ruoli consentono una delega sicura: si decide chi può prendere in prestito l'identità e, separatamente, cosa tale identità può fare.

Quando un ruolo viene assunto, il Security Token Service (STS) emette un set di credenziali contenente un ID della chiave di accesso, una chiave segreta e un token di sessione, tutti validi per un periodo limitato (da 15 minuti a 12 ore). Poiché scadono automaticamente, le credenziali temporanee divulgate diventano rapidamente inutilizzabili, riducendo notevolmente il rischio rispetto alle chiavi di accesso a lunga durata.

La policy di attendibilità elenca i principal che possono assumere il ruolo. Possono essere:

• Un servizio AWS (come EC2 o Lambda), per fornire un'identità a un carico di lavoro.
• Un utente o ruolo IAM nello stesso account o in un altro account, per l'accesso tra account.
• Un'identità federata proveniente da un provider SAML o OIDC.

Se un principal non è indicato nella policy di attendibilità, non potrà mai assumere il ruolo, indipendentemente da quanto consentito dalle policy di autorizzazione.

L'uso più comune consiste nel consentire a un servizio AWS di agire per conto dell'utente. Ad esempio, un'istanza EC2 con un ruolo associato può chiamare S3 senza chiavi incorporate; AWS ruota automaticamente le credenziali in background. L'esame richiede di riconoscere che i ruoli di servizio eliminano i segreti statici dalle applicazioni.

Di seguito è riportato un frammento di policy di attendibilità che consente al servizio EC2 di assumere un ruolo. Il Principal identifica chi può assumerlo e l'azione è sempre sts:AssumeRole.

I ruoli sono particolarmente efficaci per l'accesso tra account. L'account A crea un ruolo che considera attendibile l'account B; un principal in B lo assume e riceve credenziali temporanee per operare in A. Non vengono condivise chiavi, l'accesso è circoscritto dalla policy di autorizzazione ed entrambe le parti possono revocare l'attendibilità in qualsiasi momento. Questa è l'alternativa consigliata alla distribuzione di chiavi a lunga durata tra gli account.

Anche le identità esterne, come gli utenti aziendali autenticati tramite SAML o gli utenti di un'applicazione tramite la federazione delle identità web, assumono ruoli. Il provider di identità verifica l'utente, quindi AWS emette credenziali temporanee associate a un ruolo. In questo modo le persone non hanno mai bisogno di utenti IAM: serve soltanto un'identità verificata che venga associata a un ruolo.

Il principale vantaggio per la sicurezza dei ruoli è l'assenza di credenziali permanenti da rubare, ruotare o inserire accidentalmente in un repository di codice. Le autorizzazioni esistono solo nell'ambito di una sessione temporanea. Ciò è in linea con il principio del privilegio minimo nel tempo: l'accesso viene concesso solo quando serve e scade automaticamente.

Un aspetto importante: essere autorizzati ad assumere un ruolo concede solo le autorizzazioni del ruolo, non le proprie sommate a quelle del ruolo. Quando assume un ruolo, adotta una nuova identità. Le autorizzazioni originarie vengono accantonate per quella sessione; pertanto, nella progettazione del ruolo è necessario includere tutto ciò che l'attività richiede.

Scelga un ruolo ogni volta che un carico di lavoro deve accedere ad AWS, quando un account deve operare in un altro account o quando le persone si autenticano tramite un provider esterno. Nell'esame, i ruoli sono la risposta a quasi tutte le domande del tipo "come posso concedere l'accesso senza chiavi a lunga durata?". Combinano una policy di attendibilità (chi) con policy di autorizzazione (cosa) per fornire un accesso sicuro, temporaneo e verificabile.

Un ruolo IAM è un'identità priva di credenziali che viene assunta per ottenere autorizzazioni temporanee da STS. Combina una policy di attendibilità (chi può assumerlo) con policy di autorizzazione (cosa può fare). I ruoli consentono l'accesso ai servizi, la delega tra account e la federazione, eliminando i segreti a lungo termine. L'assunzione di un ruolo sostituisce la propria identità con quella del ruolo per la durata della sessione.