Profil Tikaaan untuk Beban Kerja EC2

Aplikasi pada EC2 sering perlu memanggil API AWS, tetapi menyematkan kunci akses adalah berbahaya. Penyelesaiannya ialah memberikan tika itu identitinya sendiri melalui profil tika, yang menyampaikan kelayakan peranan sementara secara automatik. Ini ialah salah satu corak yang paling kerap diuji untuk menghapuskan rahsia jangka panjang daripada beban kerja.

Profil tika ialah bekas untuk peranan IAM yang anda lampirkan pada tika EC2. Walaupun anda menetapkan peranan secara konsep, EC2 sebenarnya melampirkan profil tika yang membungkus peranan tersebut. Apabila anda mencipta peranan untuk EC2 dalam konsol, profil tika dengan nama yang sama dicipta secara automatik; dengan CLI atau API, anda mungkin perlu menciptanya secara eksplisit.

Setelah profil tika dilampirkan, tika itu boleh mendapatkan kelayakan sementara daripada Instance Metadata Service (IMDS), iaitu titik akhir pautan setempat khas di 169.254.169.254. AWS SDK dan CLI mengambil serta menyegarkan kelayakan ini secara telus, jadi kod aplikasi langsung tidak mengendalikan kunci.

Kelayakan terletak di bawah laluan metadata yang dikaitkan dengan nama peranan. SDK menanyakannya secara automatik, tetapi memahami laluan ini membantu apabila menyelesaikan masalah berkaitan sebab tika mempunyai kebenaran yang tidak dijangka. Perintah di bawah menunjukkan tempat kelayakan didedahkan pada tika.

Manfaat utama ialah kelayakan IMDS diputar secara automatik jauh sebelum tamat tempoh. Tiada apa-apa yang perlu disimpan, tiada kunci yang boleh terbocor secara kekal, dan tiada proses putaran yang perlu dibina. Oleh sebab itu, AWS mengesyorkan profil tika berbanding apa-apa skim yang meletakkan kunci statik pada pelayan.

Perkhidmatan metadata asal (IMDSv1) boleh disalahgunakan melalui serangan SSRF (Pemalsuan Permintaan Sisi Pelayan) untuk mencuri kelayakan peranan. IMDSv2 memerlukan token sesi yang diperoleh terlebih dahulu melalui permintaan PUT, lalu menyekat kebanyakan eksploitasi SSRF. Peperiksaan menjangkakan anda menguatkuasakan IMDSv2 dan sebaik-baiknya menetapkan had lompatan kepada 1 untuk menghalang bekas daripada mencapainya.

Peranan profil tika hendaklah mematuhi prinsip keistimewaan minimum: berikan hanya tindakan dan sumber khusus yang diperlukan oleh beban kerja. Peranan EC2 yang terlalu luas berbahaya kerana sebarang pencerobohan tika, termasuk melalui SSRF, mendedahkan kebenaran tersebut. Hadkan skop dasar dengan ketat dan gunakan syarat untuk mengehadkan kesan pencerobohan.

Jika anda menemui kunci akses statik yang dikodkan secara keras dalam aplikasi atau fail kelayakan pada tika, langkah pemulihan ialah melampirkan profil tika dan memadamkan kunci tersebut. Peperiksaan sering membingkaikan perkara ini sebagai pembetulan penemuan: jawapan yang betul membuang rahsia jangka panjang dan bergantung pada kelayakan berasaskan peranan daripada IMDS.

Satu tika EC2 boleh mempunyai hanya satu profil tika yang dilampirkan pada satu-satu masa, dan oleh itu hanya satu peranan. Jika beban kerja memerlukan set kebenaran yang berbeza, reka bentuk peranan yang berasingan dan gunakan sama ada tika yang berasingan atau benarkan aplikasi mengandaikan peranan tambahan melalui STS mengikut keperluan, dan bukannya meluaskan peranan tunggal yang dilampirkan secara berlebihan.

Oleh sebab kelayakan peranan muncul dalam CloudTrail sebagai tindakan oleh sesi peranan yang diandaikan, anda boleh mengaudit dengan tepat perkara yang dilakukan oleh sesuatu tika. Jika tika terjejas, mengambil petikan dan menyemak CloudTrail untuk sesi peranan tersebut mendedahkan perkara yang diakses oleh penyerang. Skop peranan yang ketat bersama keterlihatan CloudTrail ialah gabungan selamat yang digemari dalam peperiksaan.

Untuk melindungi akses EC2: lampirkan profil tika yang membungkus peranan berkeistimewaan minimum, kuatkuasakan IMDSv2, tetapkan had lompatan metadata kepada 1, dan buang semua kunci statik. Tika mendapatkan serta memutar kelayakan sementara secara automatik daripada IMDS, lalu memberikan identiti selamat kepada pengkomputeran tanpa sebarang rahsia yang perlu anda uruskan.

Profil tika membungkus peranan IAM dan melampirkannya pada EC2, lalu menyampaikan kelayakan sementara yang diputar secara automatik melalui Perkhidmatan Metadata Tika. Ini membuang kunci statik sepenuhnya. Kuatkuasakan IMDSv2 dan had lompatan 1 untuk menyekat pencurian kelayakan melalui SSRF, hadkan skop peranan dengan keistimewaan minimum, dan audit sesinya dalam CloudTrail.