EC2ワークロード向けインスタンスプロファイル

EC2上のアプリケーションでは AWS API の呼び出しが必要になることがよくありますが、アクセスキーを埋め込むのは危険です。解決策は、インスタンスプロファイルを通じてインスタンス自体に ID を与え、一時的なロール認証情報を自動的に提供することです。これは、ワークロードから長期的な秘密情報を排除するパターンとして、試験で特によく問われます。

インスタンスプロファイルは、EC2 インスタンスにアタッチする IAM ロールのコンテナです。概念上はロールを割り当てますが、EC2 が実際にアタッチするのは、そのロールをラップしたインスタンスプロファイルです。コンソールで EC2 用のロールを作成すると、同じ名前のインスタンスプロファイルが自動的に作成されます。CLI や API を使用する場合は、明示的な作成が必要になることがあります。

インスタンスプロファイルをアタッチすると、インスタンスはInstance Metadata Service (IMDS)から一時的な認証情報を取得できます。IMDS は 169.254.169.254 にある特殊なリンクローカルエンドポイントです。AWS SDK と CLI が認証情報の取得と更新を透過的に行うため、アプリケーションコードがキーを扱う必要はありません。

認証情報は、ロール名に関連付けられたメタデータパスに格納されています。SDK はこのパスを自動的に参照しますが、インスタンスに想定外の権限がある理由をトラブルシューティングする際には、パスを理解しておくと役立ちます。以下のコマンドは、インスタンス上で認証情報が公開されている場所を示します。

大きなメリットは、IMDS の認証情報が有効期限のかなり前に自動的にローテーションされることです。保存するものも、恒久的に漏洩するキーも、構築が必要なローテーション処理もありません。そのため AWS は、静的キーをサーバー上に配置する方式よりもインスタンスプロファイルを推奨しています。

元のメタデータサービス（IMDSv1）は、SSRF（Server-Side Request Forgery）攻撃によって悪用され、ロールの認証情報を盗まれる可能性がありました。IMDSv2では、まず PUT リクエストで取得したセッショントークンが必要になるため、ほとんどの SSRF エクスプロイトを防げます。試験では IMDSv2 を強制し、コンテナからのアクセスを防ぐために、ホップ制限を 1 に設定することが理想的だと想定されています。

インスタンスプロファイルのロールには、最小権限の原則を適用する必要があります。ワークロードに必要な特定のアクションとリソースだけを許可してください。EC2 ロールの権限が広すぎると、SSRF などによってインスタンスが侵害された場合に、その権限がすべて露出するため危険です。ポリシーの範囲を厳密に限定し、条件を使用して被害範囲を抑えてください。

アプリケーションに静的アクセスキーがハードコードされていたり、インスタンス上の認証情報ファイルに保存されていたりする場合は、インスタンスプロファイルをアタッチしてキーを削除するのが対処方法です。試験では、この対応を検出結果の修正として問うことがよくあります。正解は、長期的なシークレットを削除し、IMDS から取得するロールベースの認証情報に依存するものです。

EC2 インスタンスに同時にアタッチできるインスタンスプロファイルは 1 つだけであり、したがってロールも 1 つだけです。ワークロードに異なる権限セットが必要な場合は、単一のアタッチ済みロールの権限を過度に広げるのではなく、別々のロールを設計し、インスタンスを分けるか、必要に応じてアプリケーションから STS を使用して追加のロールを引き受けてください。

ロールの認証情報を使用した操作は、CloudTrail に引き受けたロールのセッションによるアクションとして記録されるため、インスタンスが何を実行したかを正確に監査できます。インスタンスが侵害された場合は、スナップショットを取得し、そのロールのセッションについて CloudTrail を確認することで、攻撃者がアクセスした対象を把握できます。厳密に限定したロールの範囲と CloudTrail の可視性を組み合わせることが、安全性の高い、試験で推奨される方法です。

EC2 へのアクセスを保護するには、最小権限のロールを内包するインスタンスプロファイルをアタッチし、IMDSv2 を強制し、メタデータのホップ制限を 1 に設定して、静的キーをすべて削除します。インスタンスは IMDS から一時的な認証情報を取得して自動的にローテーションするため、管理が必要なシークレットなしで、コンピューティングリソースに安全なアイデンティティを与えられます。

インスタンスプロファイルに関する知識を確認しましょう。

インスタンスプロファイルは IAM ロールを内包して EC2 にアタッチし、Instance Metadata Service を通じて自動ローテーションされる一時的な認証情報を提供します。これにより静的キーを完全に排除できます。IMDSv2とホップ制限 1 を強制して SSRF による認証情報の窃取を防ぎ、最小権限でロールの範囲を限定し、CloudTrail でそのセッションを監査してください。