Cara STS Mengeluarkan Kelayakan Sementara

Security Token Service (STS) ialah perkhidmatan AWS yang mengeluarkan kelayakan keselamatan sementara. Setiap kali sesuatu peranan diambil atau identiti difederasikan, STS memberikan kelayakan berjangka pendek dan bukannya kunci kekal. Memahami STS penting untuk peperiksaan kerana kelayakan sementara menjadi asas kepada hampir semua corak akses selamat di AWS.

Kelayakan STS terdiri daripada tiga bahagian: ID kunci akses, kunci akses rahsia dan token sesi. Token sesi membezakannya daripada kunci jangka panjang; token itu mesti disertakan bersama setiap permintaan yang ditandatangani. Ketiga-tiganya tamat tempoh bersama-sama selepas tempoh hayat yang ditetapkan, menjadikan kelayakan itu mengehadkan dirinya sendiri.

Oleh sebab kelayakan ini tamat tempoh secara automatik (dari 15 minit hingga 12 jam), kelayakan sementara mengehadkan kerosakan akibat kebocoran dengan ketara. Tiada kunci yang perlu diputar secara manual dan tiada apa-apa yang kekal untuk dicuri. Inilah sebab AWS mengesyorkan kelayakan sementara berbanding kunci akses jangka panjang hampir di semua tempat, perkara yang berulang kali ditekankan dalam peperiksaan.

STS menyediakan beberapa operasi:

• AssumeRole — mengambil peranan dalam akaun yang sama atau akaun lain.
• AssumeRoleWithSAML — melakukan federasi melalui penyedia identiti SAML.
• AssumeRoleWithWebIdentity — melakukan federasi melalui OIDC/identiti web.
• GetSessionToken / GetFederationToken — untuk MFA dan federasi pengguna IAM.

Panggilan yang paling lazim ialah AssumeRole. Pemanggil yang telah disahkan meminta sesuatu peranan; STS mengesahkan bahawa dasar kepercayaan peranan membenarkan pemanggil, kemudian mengembalikan kelayakan sementara yang membawa kebenaran peranan tersebut. Pemanggil menggunakannya sehingga tamat tempoh, kemudian mengambil peranan itu semula untuk menyegarkannya.

Panggilan CLI ini mengambil sesuatu peranan dan mengembalikan kelayakan sementara. ARN peranan dan nama sesi diperlukan; nama sesi muncul dalam CloudTrail untuk tujuan pengauditan.

STS secara sejarahnya menggunakan satu titik akhir global, tetapi AWS kini menawarkan titik akhir STS serantau. Penggunaan titik akhir serantau mengurangkan kependaman dan meningkatkan daya tahan, dan sesetengah persediaan pematuhan memerlukannya. Rantau yang lebih baharu tidak boleh dicapai melalui titik akhir global, jadi mengaktifkan STS serantau ialah konfigurasi yang disyorkan.

Operasi GetCallerIdentity mengembalikan akaun, ID pengguna dan ARN sesiapa yang membuat panggilan tersebut. Operasi ini tidak memerlukan kebenaran khas dan merupakan cara utama untuk mengesahkan identiti yang sedang diwakili oleh kelayakan anda, yang berguna apabila menyahpepijat sesi peranan yang diambil semasa penyiasatan.

Setiap panggilan STS direkodkan dalam CloudTrail, termasuk siapa yang mengambil peranan tertentu dan nama sesi yang dipilih. Jejak ini membolehkan penyiasat menjejaki dengan tepat manusia atau perkhidmatan yang memperoleh kelayakan sementara serta perkara yang dilakukan selepas itu. Nama sesi yang bermakna menjadikan audit ini jauh lebih berguna.

Aplikasi yang menggunakan kelayakan sementara mesti menghantar token sesi bersama setiap permintaan; AWS SDK dan CLI melakukan perkara ini secara automatik selepas dikonfigurasikan. Jika anda melihat kegagalan pengesahan dengan kelayakan sementara, token sesi yang tiada atau tidak sepadan ialah punca lazim yang perlu diperiksa.

STS ialah enjin di sebalik peranan dan federasi: STS mengeluarkan set kunci akses, kunci rahsia dan token sesi berjangka pendek yang tamat tempoh sendiri, jauh lebih selamat daripada kunci kekal. Gunakan operasi keluarga AssumeRole, utamakan titik akhir serantau, berikan nama yang bermakna kepada sesi untuk CloudTrail, dan gantikan kelayakan jangka panjang dengan kelayakan sementara apabila boleh.

Security Token Service (STS) mengeluarkan kelayakan sementara: kunci akses, rahsia dan token sesi yang luput selepas 15 minit hingga 12 jam. API teras termasuk AssumeRole, AssumeRoleWithSAML dan AssumeRoleWithWebIdentity. Utamakan titik akhir serantau, gunakan nama sesi yang bermakna untuk CloudTrail dan gantikan kunci jangka panjang dengan kunci sementara.