Instance profiles voor EC2-workloads

Toepassingen op EC2 moeten vaak AWS-API's aanroepen, maar het inbouwen van toegangssleutels is gevaarlijk. De oplossing is de instantie een eigen identiteit te geven via een instantieprofiel, dat automatisch tijdelijke rolfreferenties levert. Dit is een van de meest getoetste patronen om langetermijngeheimen uit werkbelastingen te verwijderen.

Een instantieprofiel is een container voor een IAM-rol die u aan een EC2-instantie koppelt. Hoewel u conceptueel een rol toewijst, koppelt EC2 in werkelijkheid het instantieprofiel dat die rol bevat. Wanneer u in de console een rol voor EC2 maakt, wordt automatisch een instantieprofiel met dezelfde naam gemaakt; met de CLI of API moet u dit mogelijk expliciet maken.

Nadat een instantieprofiel is gekoppeld, kan de instantie tijdelijke referenties ophalen via de Instance Metadata Service (IMDS), een speciaal link-lokaal eindpunt op 169.254.169.254. De AWS SDK en CLI halen deze referenties transparant op en vernieuwen ze, zodat toepassingscode helemaal geen sleutels verwerkt.

De referenties staan onder een metagegevenspad dat aan de rolnaam is gekoppeld. SDK's vragen dit automatisch op, maar inzicht in het pad helpt bij het onderzoeken waarom een instantie onverwachte machtigingen heeft. Met de onderstaande opdracht zie je waar referenties op de instantie beschikbaar zijn.

Een groot voordeel is dat IMDS-referenties ruim voordat ze verlopen automatisch worden geroteerd. U hoeft niets op te slaan, er is geen sleutel die permanent kan uitlekken en u hoeft geen rotatieproces te bouwen. Daarom raadt AWS instantieprofielen aan boven elke oplossing waarbij statische sleutels op een server worden geplaatst.

De oorspronkelijke metagegevensservice (IMDSv1) kon worden misbruikt via SSRF (Server-Side Request Forgery)-aanvallen om rolreferenties te stelen. IMDSv2 vereist eerst een sessietoken dat via een PUT-verzoek wordt verkregen, waardoor de meeste SSRF-exploits worden geblokkeerd. Voor het examen moet u IMDSv2 afdwingen en idealiter de hoplimiet instellen op 1, zodat containers er geen toegang toe krijgen.

De rol van het instantieprofiel moet het principe van minimale machtigingen volgen: verleen alleen de specifieke acties en resources die de werklast nodig heeft. Een te ruime EC2-rol is gevaarlijk, omdat een inbreuk op de instantie, ook via SSRF, deze machtigingen blootlegt. Beperk het bereik van beleidsregels strikt en gebruik voorwaarden om de impact te beperken.

Als u statische toegangssleutels vindt die hardgecodeerd zijn in een toepassing, of een referentiebestand op een instantie aantreft, bestaat de oplossing uit het koppelen van een instantieprofiel en het verwijderen van de sleutels. In het examen wordt dit vaak beschreven als het oplossen van een bevinding: het juiste antwoord verwijdert het langdurige geheim en gebruikt de rolgebaseerde referenties van IMDS.

Aan een EC2-instantie kan op elk moment slechts één instantieprofiel en dus één rol zijn gekoppeld. Als een werklast verschillende sets machtigingen nodig heeft, ontwerpt u afzonderlijke rollen en gebruikt u afzonderlijke instanties, of laat u de toepassing indien nodig aanvullende rollen aannemen via STS, in plaats van de ene gekoppelde rol te ruim te maken.

Omdat de rolreferenties in CloudTrail verschijnen als acties van een sessie met een aangenomen rol, kunt u precies controleren wat een instantie heeft gedaan. Als een instantie is gecompromitteerd, laat het maken van een momentopname en het controleren van CloudTrail op de sessie van die rol zien waartoe de aanvaller toegang heeft gehad. Een strikt bereik van de rol in combinatie met zichtbaarheid via CloudTrail is de veilige combinatie die het examen verkiest.

Beveilig EC2-toegang als volgt: koppel een instantieprofiel waarin een rol met minimale machtigingen is opgenomen, forceer IMDSv2, stel de hoplimiet voor metagegevens in op 1 en verwijder alle statische sleutels. De instantie haalt tijdelijke referenties op bij IMDS en roteert deze automatisch, waardoor compute een veilige identiteit krijgt zonder geheim dat u moet beheren.

Een instantieprofiel bevat een IAM-rol en koppelt deze aan EC2, waarbij automatisch geroteerde tijdelijke referenties via de Instance Metadata Service worden geleverd. Hierdoor zijn statische sleutels helemaal niet meer nodig. Forceer IMDSv2 en een hoplimiet van 1 om het stelen van referenties via SSRF te blokkeren, beperk de rol volgens het principe van minimale machtigingen en controleer de sessies ervan in CloudTrail.