Profile instancji dla obciążeń EC2

Aplikacje na EC2 często muszą wywoływać interfejsy API AWS, ale osadzanie kluczy dostępu jest niebezpieczne. Rozwiązaniem jest nadanie instancji własnej tożsamości za pomocą profilu instancji, który automatycznie dostarcza tymczasowe dane uwierzytelniające roli. Jest to jeden z najczęściej sprawdzanych sposobów eliminowania długoterminowych danych uwierzytelniających z obciążeń.

Profil instancji to kontener na rolę IAM, który przypisuje się do instancji EC2. Choć koncepcyjnie przypisują Państwo rolę, EC2 w rzeczywistości przypisuje profil instancji zawierający tę rolę. Podczas tworzenia roli dla EC2 w konsoli profil instancji o tej samej nazwie jest tworzony automatycznie; w przypadku CLI lub API może być konieczne utworzenie go jawnie.

Po przypisaniu profilu instancji instancja może pobierać tymczasowe dane uwierzytelniające z usługi Instance Metadata Service (IMDS) — specjalnego punktu końcowego typu link-local pod adresem 169.254.169.254. AWS SDK i CLI pobierają oraz odświeżają te dane w sposób przezroczysty, dzięki czemu kod aplikacji w ogóle nie obsługuje kluczy.

Dane uwierzytelniające znajdują się pod ścieżką metadanych powiązaną z nazwą roli. SDK odpytują ją automatycznie, ale zrozumienie tej ścieżki pomaga podczas diagnozowania sytuacji, w której instancja ma nieoczekiwane uprawnienia. Poniższe polecenie pokazuje, gdzie dane uwierzytelniające są udostępniane w instancji.

Jedną z głównych zalet jest to, że dane uwierzytelniające IMDS są automatycznie rotowane na długo przed wygaśnięciem. Nie trzeba ich nigdzie przechowywać, nie ma klucza, który mógłby zostać trwale ujawniony, ani procesu rotacji, który trzeba zbudować. Dlatego AWS zaleca profile instancji zamiast rozwiązań, w których statyczne klucze są umieszczane na serwerze.

Pierwotna usługa metadanych (IMDSv1) mogła być wykorzystywana w atakach SSRF (Server-Side Request Forgery) do kradzieży danych uwierzytelniających roli. IMDSv2 wymaga wcześniejszego uzyskania tokenu sesji za pomocą żądania PUT, co blokuje większość exploitów SSRF. Na egzaminie oczekuje się wymuszenia IMDSv2 i, najlepiej, ustawienia limitu przeskoków na 1, aby uniemożliwić kontenerom dostęp do tej usługi.

Rola profilu instancji powinna być zgodna z zasadą najmniejszych uprawnień: należy przyznać tylko konkretne działania i dostęp do zasobów wymagane przez obciążenie. Zbyt szeroka rola EC2 jest niebezpieczna, ponieważ każde przejęcie instancji, także za pośrednictwem SSRF, ujawnia te uprawnienia. Należy ściśle ograniczać zakres zasad i używać warunków, aby zmniejszyć potencjalny zasięg ataku.

Jeśli w aplikacji znajdą Państwo zakodowane na stałe statyczne klucze dostępu lub plik z danymi uwierzytelniającymi na instancji, należy dołączyć profil instancji i usunąć te klucze. Na egzaminie często przedstawia się to jako naprawę wykrytego problemu: właściwa odpowiedź usuwa długoterminowy sekret i korzysta z danych uwierzytelniających opartych na roli, dostarczanych przez IMDS.

Do instancji EC2 można jednocześnie dołączyć tylko jeden profil instancji, a tym samym jedną rolę. Jeśli obciążenie wymaga różnych zestawów uprawnień, należy zaprojektować osobne role i użyć oddzielnych instancji albo w razie potrzeby zlecać aplikacji przyjmowanie dodatkowych ról za pośrednictwem STS, zamiast nadmiernie rozszerzać zakres pojedynczej dołączonej roli.

Ponieważ dane uwierzytelniające roli pojawiają się w CloudTrail jako działania sesji assumed-role, można dokładnie kontrolować, co zrobiła instancja. Jeśli instancja zostanie przejęta, wykonanie jej migawki i sprawdzenie w CloudTrail sesji tej roli pozwala ustalić, do czego uzyskał dostęp atakujący. Ściśle ograniczony zakres roli w połączeniu z widocznością zapewnianą przez CloudTrail to bezpieczne rozwiązanie preferowane na egzaminie.

Aby zabezpieczyć dostęp EC2: należy dołączyć profil instancji zawierający rolę z najmniejszymi uprawnieniami, wymusić IMDSv2, ustawić limit przeskoków metadanych na 1 i usunąć wszystkie statyczne klucze. Instancja pobiera z IMDS tymczasowe dane uwierzytelniające i automatycznie je rotuje, zapewniając obciążeniu bezpieczną tożsamość bez sekretu, którym trzeba zarządzać.

Sprawdź swoją wiedzę o profilach instancji.

Profil instancji zawiera rolę IAM i dołącza ją do EC2, dostarczając automatycznie rotowane tymczasowe dane uwierzytelniające za pośrednictwem Instance Metadata Service. Eliminuje to całkowicie statyczne klucze. Należy wymusić używanie IMDSv2 i limitu przeskoków równego 1, aby blokować kradzież danych uwierzytelniających przez SSRF, ograniczyć zakres roli zgodnie z zasadą najmniejszych uprawnień i audytować jej sesje w CloudTrail.