AssumeRole e durata della sessione

L'operazione AssumeRole consente a un principal di scambiare temporaneamente la propria identità con le autorizzazioni di un ruolo. Il risultato è una sessione con durata limitata. Controllare la durata della sessione e definire l'ambito delle relative autorizzazioni è un argomento frequente dell'esame SCS-C02, perché la durata della sessione influisce direttamente sull'esposizione ai rischi di sicurezza.

Dopo che AssumeRole ha avuto esito positivo, il chiamante opera come sessione di ruolo assunto, identificata da un ARN come arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName. Per tutta la durata della sessione, il chiamante dispone delle autorizzazioni del ruolo e non di quelle originali. Il nome della sessione specificato viene conservato ai fini del controllo.

Il parametro DurationSeconds stabilisce la durata della sessione, da 900 secondi (15 minuti) fino al massimo definito dal ruolo. Le sessioni più brevi riducono l'intervallo durante il quale credenziali divulgate restano valide; per questo, il principio del privilegio minimo favorisce la durata pratica più breve possibile.

Ogni ruolo dispone di un'impostazione MaximumSessionDuration (da 1 a 12 ore). Una richiesta di DurationSeconds superiore a questo valore viene rifiutata. Impostare un limite massimo adeguato per i ruoli sensibili limita la durata di ogni singuna assunzione: è un controllo che può calibrare per i ruoli ad alto rischio.

Quando un ruolo assunto assume un altro ruolo, si parla di concatenamento dei ruoli. AWS limita le sessioni concatenate a un massimo di un'ora, indipendentemente dal limite massimo configurato per il ruolo. Riconoscere questo limite spiega perché alcune richieste di lunga durata non riescono quando i ruoli sono concatenati: è un dettaglio d'esame piuttosto insidioso.

Poiché le sessioni scadono, le applicazioni devono assumere nuovamente il ruolo per continuare a funzionare. Gli SDK gestiscono questa operazione in modo trasparente per i profili di istanza e i profili di ruolo configurati, recuperando nuove credenziali prima della scadenza di quelle precedenti. Non è possibile estendere una sessione esistente: è sufficiente ottenerne una nuova.

Oltre alla durata, AssumeRole accetta Policy o PolicyArns (policy di sessione per restringere le autorizzazioni), Tags (tag di sessione per ABAC) e SerialNumber insieme a TokenCode per MFA. Questi parametri consentono di definire e proteggere con precisione ogni assunzione nel momento in cui avviene.

La policy di attendibilità di un ruolo può richiedere MFA; in tal caso, AssumeRole deve includere l'ARN del dispositivo MFA e un codice token corrente. In questo modo, un ruolo con privilegi non può essere assunto utilizzando soltanto credenziali rubate. Abbinare sessioni brevi e MFA è un controllo efficace, raccomandato dall'esame per i ruoli sensibili.

Non è possibile eliminare una singola credenziale temporanea, ma è possibile revocare tutte le sessioni attive per un ruolo collegando una policy inline che nega le azioni per i token emessi prima di un momento specificato, utilizzando la condizione aws:TokenIssueTime. Il pulsante della console "Revoca sessioni attive" fa esattamente questo ed è uno strumento fondamentale per la risposta agli incidenti.

Una durata breve delle sessioni fa sì che, anche se le credenziali temporanee vengono divulgate, diventino presto inutilizzabili. Insieme a revoca, MFA e policy di sessione con privilegi minimi, riduce drasticamente la finestra di attacco. L'esame privilegia le risposte che riducono al minimo il periodo di validità di ogni credenziale.

AssumeRole crea una sessione con durata limitata, regolata da DurationSeconds entro il limite MaximumSessionDuration del ruolo, mentre per i ruoli concatenati la durata massima è di un'ora. Definisca l'ambito di ogni sessione con policy, tag e MFA e utilizzi il meccanismo di revoca basato su TokenIssueTime per terminare immediatamente le sessioni compromesse. Le sessioni brevi e con ambito ristretto sono l'impostazione predefinita sicura.

Verifichi le Sue conoscenze sulla durata delle sessioni.

AssumeRole crea una sessione di ruolo assunto con durata compresa tra 15 minuti e il valore MaximumSessionDuration del ruolo (massimo 12 ore); per il concatenamento dei ruoli il limite è di un'ora. Definisca l'ambito delle sessioni con policy di sessione, tag e MFA. Revochi le sessioni compromesse utilizzando il meccanismo di negazione basato su aws:TokenIssueTime. Preferisca sessioni brevi e con ambito ristretto.