Como o STS Emite Credenciais Temporárias

O Security Token Service (STS) é o serviço da AWS que emite credenciais de segurança temporárias. Sempre que uma função é assumida ou uma identidade é federada, o STS fornece credenciais de curta duração em vez de chaves permanentes. Entender o STS é fundamental para a prova, pois as credenciais temporárias sustentam quase todos os padrões de acesso seguro na AWS.

As credenciais do STS consistem em três partes: um ID da chave de acesso, uma chave de acesso secreta e um token de sessão. O token de sessão é o que as diferencia das chaves de longa duração; ele precisa acompanhar cada solicitação assinada. As três partes expiram juntas após um período definido, tornando as credenciais autolimitadas.

Como expiram automaticamente (de 15 minutos a 12 horas), as credenciais temporárias limitam bastante os danos causados por um vazamento. Não há chaves para alternar manualmente nem algo permanente para roubar. É por isso que a AWS recomenda credenciais temporárias em vez de chaves de acesso de longa duração em quase todos os casos, um ponto reforçado repetidamente nas provas.

O STS disponibiliza algumas operações:

• AssumeRole — assume uma função na mesma conta ou em outra conta.
• AssumeRoleWithSAML — realiza federação por meio de um provedor de identidade SAML.
• AssumeRoleWithWebIdentity — realiza federação por meio de OIDC/identidade da Web.
• GetSessionToken / GetFederationToken — usados para MFA e federação de usuários do IAM.

A chamada mais comum é AssumeRole. O solicitante, já autenticado, solicita uma função; o STS verifica se a política de confiança da função permite esse solicitante e, em seguida, retorna credenciais temporárias com as permissões da função. O solicitante as utiliza até expirarem e depois assume a função novamente para renová-las.

Esta chamada da CLI assume uma função e retorna credenciais temporárias. O ARN da função e um nome de sessão são obrigatórios; o nome da sessão aparece no CloudTrail para fins de auditoria.

Historicamente, o STS usava um único endpoint global, mas agora a AWS oferece endpoints regionais do STS. Usar o endpoint regional reduz a latência e melhora a resiliência, e algumas configurações de conformidade o exigem. Regiões mais novas não podem ser acessadas pelo endpoint global; portanto, habilitar o STS regional é uma configuração recomendada.

A operação GetCallerIdentity retorna a conta, o ID do usuário e o ARN de quem está fazendo a chamada. Ela não exige permissões especiais e é a maneira preferida de confirmar qual identidade suas credenciais representam no momento, sendo útil para depurar sessões de funções assumidas durante uma investigação.

Cada chamada do STS é registrada no CloudTrail, incluindo quem assumiu qual função e o nome de sessão escolhido. Esse registro permite que os investigadores rastreiem exatamente qual pessoa ou serviço obteve credenciais temporárias e o que fez depois. Nomes de sessão significativos tornam essa auditoria muito mais útil.

Os aplicativos que usam credenciais temporárias precisam enviar o token de sessão com cada solicitação; o AWS SDK e a CLI fazem isso automaticamente após a configuração. Se você encontrar falhas de autenticação com credenciais temporárias, verifique primeiro se o token de sessão está ausente ou não corresponde, pois essa é uma causa frequente.

O STS é o mecanismo por trás das funções e da federação: ele emite conjuntos de chave de acesso, chave secreta e token de sessão de curta duração que expiram sozinhos, sendo muito mais seguros do que chaves permanentes. Use as operações da família AssumeRole, prefira endpoints regionais, dê nomes significativos às sessões para o CloudTrail e substitua as credenciais de longa duração pelas temporárias sempre que possível.

Teste seus conhecimentos básicos sobre STS.

O Security Token Service (STS) emite credenciais temporárias: uma chave de acesso, um segredo e um token de sessão que expiram após 15 minutos a 12 horas. As APIs principais incluem AssumeRole, AssumeRoleWithSAML e AssumeRoleWithWebIdentity. Prefira endpoints regionais, use nomes de sessão significativos para o CloudTrail e substitua chaves de longo prazo por chaves temporárias.