Policy di trust e soggetti autorizzati all'assunzione

Una policy di attendibilità è il documento associato a un ruolo che definisce esattamente quali principal sono autorizzati ad assumerlo. È il controllo d'accesso: anche se una policy di autorizzazione concede un accesso potente, nessuno può utilizzare il ruolo se la policy di attendibilità non lo include. Nell'esame, gli errori nelle policy di attendibilità sono una causa frequente sia di accessi non funzionanti sia di autorizzazioni eccessive pericolose.

L'elemento Principal di una policy di attendibilità può fare riferimento a:

• AWS — un account, un utente o un ARN di ruolo (Amazon Resource Name).
• Service — un servizio AWS come lambda.amazonaws.com.
• Federated — un provider SAML o un provider di identità web.

Scegliere il tipo di principal corretto e specificarlo con precisione è essenziale per evitare di concedere un'attendibilità maggiore del previsto.

L'assunzione tra account richiede l'accordo di entrambe le parti. La policy di attendibilità del ruolo nell'account di destinazione deve consentire l'accesso al principal chiamante e anche tale principal deve disporre di una policy di identità che autorizzi sts:AssumeRole sull'ARN del ruolo. L'assenza di una delle due condizioni blocca la richiesta. Questo doppio consenso è un classico trabocchetto d'esame.

Questa policy di attendibilità consente a un ruolo specifico dell'account 111122223333 di assumere il ruolo. Indicare un ARN esatto anziché l'intero account è più restrittivo e sicuro.

Specificare un principal come arn:aws:iam::ACCOUNT:root significa considerare attendibile l'intero account: qualsiasi principal al suo interno che disponga anche dell'autorizzazione sts:AssumeRole può assumere il ruolo. Si tratta di un'impostazione ampia. Quando possibile, indichi l'ARN esatto dell'utente o del ruolo, in conformità con il principio del privilegio minimo e per ridurre la superficie di attendibilità.

Le policy di attendibilità supportano blocchi Condition che rendono più restrittive le condizioni per l'assunzione e le modalità di esecuzione. Le chiavi comuni includono sts:ExternalId (per impedire il problema del confused deputy), aws:MultiFactorAuthPresent (per richiedere MFA) e aws:SourceIp. Le condizioni consentono di autorizzare l'assunzione solo in circostanze specifiche e verificabili.

Un modello efficace consiste nel richiedere MFA prima di poter assumere un ruolo sensibile. La condizione della policy di attendibilità verifica che la sessione chiamante sia stata autenticata con MFA. In questo modo, anche una credenziale a lunga durata rubata non può assumere il ruolo privilegiato senza il secondo fattore, aumentando notevolmente la difficoltà per gli attaccanti.

Alcuni ruoli sono ruoli collegati ai servizi, predefiniti da AWS con una policy di attendibilità che non è possibile modificare. Consentono a un servizio di gestire risorse per conto dell'utente con esattamente il livello di attendibilità richiesto da AWS. Riconoscerli è importante perché le relative autorizzazioni e l'attendibilità sono strettamente controllate e legate al ciclo di vita del servizio.

Considerare attendibile un principal interno (nello stesso account) comporta generalmente un rischio inferiore rispetto a considerare attendibile un account esterno o un fornitore SaaS di terze parti. Per l'attendibilità esterna, combini sempre un principal specifico con condizioni come ExternalId. Consideri ogni dichiarazione di attendibilità esterna come un punto d'ingresso che un attaccante sarebbe lieto di sfruttare.

IAM Access Analyzer esamina automaticamente le policy di attendibilità e le policy delle risorse per individuare i ruoli che possono essere assunti da account esterni o dal pubblico. Segnala l'attendibilità tra account o pubblica non prevista, consentendo di renderla più restrittiva. La revisione dei risultati di Access Analyzer è un controllo consigliato e rilevante per l'esame, utile a individuare un'attendibilità eccessivamente ampia.

Per progettare un'attendibilità sicura, indichi il principal più specifico possibile, aggiunga condizioni come ExternalId e MFA quando appropriato, preferisca i ruoli all'attendibilità del root dell'account e verifichi la configurazione con Access Analyzer. Ricordi che la policy di attendibilità risponde alla domanda chi, mentre le policy di autorizzazione rispondono alla domanda cosa; entrambe devono essere coerenti affinché l'accesso funzioni e rispetti il principio del privilegio minimo.

Verifichi le Sue conoscenze sulle policy di attendibilità.

Una policy di attendibilità definisce quali principal possono assumere un ruolo ed esercita la funzione di controllo indipendentemente dalle policy di autorizzazione. L'assunzione tra account richiede un doppio consenso: la policy di attendibilità più l'autorizzazione sts:AssumeRole del chiamante. Preferisca ARN di principal specifici al root dell'account, aggiunga condizioni come ExternalId e MFA e verifichi la configurazione con IAM Access Analyzer.