AssumeRole i czas trwania sesji

Operacja AssumeRole pozwala podmiotowi tymczasowo zamienić własną tożsamość na uprawnienia roli. W rezultacie powstaje ograniczona czasowo sesja. Kontrolowanie czasu trwania sesji i zakresu jej uprawnień jest częstym tematem SCS-C02, ponieważ czas życia sesji bezpośrednio wpływa na ekspozycję na zagrożenia.

Po pomyślnym wykonaniu AssumeRole wywołujący działa jako sesja przyjętej roli, identyfikowana przez ARN taki jak arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName. Przez czas trwania sesji wywołujący ma uprawnienia roli, a nie uprawnienia pierwotnej tożsamości. Przekazana nazwa sesji jest zachowywana na potrzeby audytu.

Parametr DurationSeconds określa czas trwania sesji — od 900 sekund (15 minut) do maksymalnej wartości zdefiniowanej dla roli. Krótsze sesje skracają czas, w którym wyciekłe dane uwierzytelniające pozostają ważne, dlatego zasada najmniejszych uprawnień przemawia za najkrótszym praktycznym czasem trwania.

Każda rola ma ustawienie MaximumSessionDuration (od 1 do 12 godzin). Żądanie wartości DurationSeconds większej niż ta wartość zostaje odrzucone. Ustawienie rozsądnego maksimum dla ról wrażliwych ogranicza czas trwania każdego pojedynczego przyjęcia roli — jest to kontrola, którą można dostosować dla ról wysokiego ryzyka.

Gdy jedna przyjęta rola przyjmuje inną rolę, mamy do czynienia z łańcuchowaniem ról. AWS ogranicza czas trwania sesji w takim łańcuchu do maksymalnie jednej godziny, niezależnie od maksymalnego czasu skonfigurowanego dla roli. Znajomość tego ograniczenia wyjaśnia, dlaczego niektóre żądania długich sesji kończą się niepowodzeniem przy łańcuchowaniu ról — to subtelny szczegół egzaminacyjny.

Ponieważ sesje wygasają, aplikacje muszą ponownie przyjąć rolę, aby kontynuować działanie. SDK robią to automatycznie w przypadku profili instancji i skonfigurowanych profili ról, pobierając nowe dane uwierzytelniające przed wygaśnięciem starych. Nie można przedłużyć istniejącej sesji — trzeba po prostu uzyskać nową.

Oprócz czasu trwania AssumeRole przyjmuje Policy lub PolicyArns (polityki sesji ograniczające uprawnienia), Tags (tagi sesji na potrzeby ABAC), a także SerialNumber i TokenCode na potrzeby MFA. Pozwala to precyzyjnie określić zakres i zabezpieczyć każde przyjęcie roli w chwili jego wykonywania.

Polityka zaufania roli może wymagać MFA. W takim przypadku wywołanie AssumeRole musi zawierać ARN urządzenia MFA oraz aktualny kod tokena. Dzięki temu uprzywilejowanej roli nie można przyjąć wyłącznie za pomocą skradzionych danych uwierzytelniających. Połączenie krótkich sesji z MFA to skuteczna kontrola zalecana na egzaminie dla ról wrażliwych.

Nie można usunąć pojedynczych tymczasowych danych uwierzytelniających, ale można odwołać wszystkie aktywne sesje roli, dołączając zaszytą politykę odrzucającą działania dla tokenów wystawionych przed wybraną chwilą za pomocą warunku aws:TokenIssueTime. Przycisk konsoli "Revoke active sessions" robi dokładnie to — jest to ważne narzędzie reagowania na incydenty.

Krótki czas życia sesji oznacza, że nawet jeśli tymczasowe dane uwierzytelniające wyciekną, wkrótce staną się bezużyteczne. W połączeniu z odwoływaniem, MFA i politykami sesji opartymi na zasadzie najmniejszych uprawnień znacznie ograniczają one czas trwania ataku. Na egzaminie preferowane są odpowiedzi minimalizujące czas, przez który dane uwierzytelniające pozostają ważne.

AssumeRole tworzy ograniczoną czasowo sesję zarządzaną przez DurationSeconds w ramach MaximumSessionDuration roli, przy czym sesje w łańcuchu ról są ograniczone do jednej godziny. Określaj zakres każdej sesji za pomocą polityk, tagów i MFA, a do natychmiastowego unieważniania przejętych sesji używaj mechanizmu odwoływania opartego na TokenIssueTime. Bezpieślnym ustawieniem domyślnym są krótkie sesje o precyzyjnie ograniczonym zakresie.

Sprawdź wiedzę o czasie życia sesji.

AssumeRole tworzy sesję przyjętej roli trwającą od 15 minut do wartości MaximumSessionDuration roli (maksymalnie 12 godzin), przy czym łańcuchowanie ról jest ograniczone do jednej godziny. Ograniczaj zakres sesji za pomocą polityk sesji, tagów i MFA. Odwołuj przejęte sesje, używając mechanizmu odmowy opartego na aws:TokenIssueTime. Preferuj krótkie sesje o precyzyjnie ograniczonym zakresie.