Instance profile per workload EC2

Le applicazioni su EC2 devono spesso chiamare le API AWS, ma incorporare chiavi di accesso è pericoloso. La soluzione consiste nel fornire all'istanza una propria identità tramite un profilo dell'istanza, che distribuisce automaticamente credenziali temporanee del ruolo. Questo è uno dei modelli più frequentemente verificati per eliminare i segreti a lungo termine dai carichi di lavoro.

Un profilo dell'istanza è un contenitore per un ruolo IAM che viene associato a un'istanza EC2. Sebbene concettualmente si assegni un ruolo, EC2 associa in realtà il profilo dell'istanza che lo contiene. Quando si crea un ruolo per EC2 nella console, viene creato automaticamente un profilo dell'istanza con lo stesso nome; con la CLI o l'API potrebbe essere necessario crearlo esplicitamente.

Una volta associato un profilo dell'istanza, l'istanza può recuperare credenziali temporanee dall'Instance Metadata Service (IMDS), un endpoint speciale di tipo link-local all'indirizzo 169.254.169.254. AWS SDK e CLI recuperano e aggiornano queste credenziali in modo trasparente, così il codice dell'applicazione non gestisce mai direttamente le chiavi.

Le credenziali si trovano in un percorso dei metadati associato al nome del ruolo. Gli SDK lo interrogano automaticamente, ma comprendere il percorso è utile per risolvere i problemi relativi a permessi imprevisti di un'istanza. Il comando seguente mostra dove sono esposte le credenziali sull'istanza.

Un vantaggio importante è che le credenziali IMDS vengono ruotate automaticamente molto prima della loro scadenza. Non è necessario archiviare nulla, non c'è alcuna chiave che possa essere divulgata in modo permanente e non occorre creare un processo di rotazione. Per questo AWS consiglia i profili delle istanze rispetto a qualsiasi schema che inserisca chiavi statiche in un server.

Il servizio dei metadati originale (IMDSv1) poteva essere sfruttato tramite attacchi SSRF (Server-Side Request Forgery) per sottrarre le credenziali del ruolo. IMDSv2 richiede prima un token di sessione ottenuto tramite una richiesta PUT, bloccando così la maggior parte degli exploit SSRF. Nell'esame ci si aspetta che Lei imponga IMDSv2 e, idealmente, imposti a 1 il limite di hop per impedire ai container di raggiungerlo.

Il ruolo del profilo dell'istanza dovrebbe seguire il principio del privilegio minimo: conceda solo le azioni e le risorse specifiche necessarie al carico di lavoro. Un ruolo EC2 con autorizzazioni eccessive è pericoloso, perché qualsiasi compromissione dell'istanza, anche tramite SSRF, espone tali autorizzazioni. Limiti attentamente l'ambito delle policy e utilizzi le condizioni per ridurre il raggio d'impatto.

Se trova chiavi di accesso statiche codificate direttamente in un'applicazione o un file di credenziali su un'istanza, la soluzione consiste nell'associare un profilo dell'istanza ed eliminare le chiavi. Spesso l'esame presenta questo scenario come la correzione di un risultato: la risposta corretta rimuove il segreto a lungo termine e si affida alle credenziali basate sul ruolo fornite da IMDS.

Un'istanza EC2 può avere associato un solo profilo dell'istanza alla volta e quindi un solo ruolo. Se un carico di lavoro necessita di set di autorizzazioni diversi, progetti ruoli separati e utilizzi istanze separate oppure faccia assumere all'applicazione ruoli aggiuntivi tramite STS quando necessario, invece di ampliare eccessivamente l'ambito del singolo ruolo associato.

Poiché le credenziali del ruolo compaiono in CloudTrail come azioni eseguite da una sessione assumed-role, è possibile verificare esattamente ciò che ha fatto un'istanza. Se un'istanza viene compromessa, acquisire una snapshot e controllare in CloudTrail la sessione del ruolo permette di scoprire a quali risorse ha avuto accesso l'autore dell'attacco. Un ambito del ruolo ristretto, insieme alla visibilità offerta da CloudTrail, è la combinazione sicura preferita nell'esame.

Per proteggere l'accesso a EC2: associ un profilo dell'istanza che includa un ruolo con privilegi minimi, imponga IMDSv2, imposti a 1 il limite di hop dei metadati e rimuova tutte le chiavi statiche. L'istanza recupera e ruota automaticamente le credenziali temporanee da IMDS, fornendo alle risorse di calcolo un'identità sicura senza alcun segreto da gestire.

Verifichi le Sue conoscenze sui profili delle istanze.

Un profilo dell'istanza include un ruolo IAM e lo associa a EC2, fornendo credenziali temporanee ruotate automaticamente tramite il Instance Metadata Service. In questo modo le chiavi statiche vengono eliminate completamente. Imponga IMDSv2 e un limite di hop pari a 1 per bloccare il furto di credenziali tramite SSRF, applichi il principio del privilegio minimo al ruolo e verifichi le relative sessioni in CloudTrail.