Políticas de Sessão e Delimitação Baseada em Tags

Às vezes, você quer conceder uma função, mas restringir o que uma sessão específica pode fazer sem editar a própria função. Políticas de sessão e etiquetas de sessão permitem reduzir as permissões exatamente no momento em que a função é assumida. Esses recursos avançados do STS oferecem um menor privilégio escalável e detalhado, valorizado na prova.

Uma política de sessão é uma política em linha ou gerenciada transmitida ao AssumeRole (por meio de Policy ou PolicyArns). Ela não concede novas permissões; só pode filtrar as permissões existentes da função para aquela sessão. As permissões efetivas são a interseção entre as políticas da função e a política de sessão.

Como o resultado é uma interseção, uma política de sessão nunca pode permitir que uma sessão faça mais do que a função já permite. Se a função concede s3:* mas a política de sessão permite apenas s3:GetObject, a sessão só pode obter objetos. Isso torna as políticas de sessão uma forma segura de conceder uma parcela restrita de uma função mais ampla.

Um uso comum: uma única função poderosa é assumida por uma ferramenta de orquestração que, para cada trabalho, anexa uma política de sessão limitando esse trabalho a um único bucket ou grupo de recursos. Cada sessão fica rigorosamente delimitada, embora a função subjacente seja ampla. Assim, evita-se criar dezenas de funções personalizadas e restritas.

Este trecho da CLI mostra como transmitir uma política de sessão em linha que restringe ainda mais a sessão. A função já deve permitir essas ações para que elas tenham efeito.

Etiquetas de sessão são atributos de chave-valor anexados a uma sessão no momento do AssumeRole. Transmitidas por meio do parâmetro Tags, elas passam a fazer parte do contexto da solicitação e podem ser consultadas nas políticas por meio de aws:PrincipalTag. As etiquetas de sessão levam atributos sobre quem está assumindo a função para cada decisão de autorização.

As etiquetas de sessão são a base do controle de acesso baseado em atributos (ABAC) para funções assumidas. Uma política pode exigir que aws:PrincipalTag/Project da sessão seja igual a aws:ResourceTag/Project do recurso, concedendo acesso somente quando as etiquetas do projeto forem correspondentes. Assim, uma única política atende a muitos projetos de forma bem escalável.

Quando as funções são encadeadas, as etiquetas de sessão comuns não são transmitidas. Marcar uma etiqueta como transitiva faz com que ela persista nas assunções subsequentes de funções do encadeamento. Isso garante que atributos como o departamento do usuário original acompanhem a identidade por vários saltos, algo importante para manter o ABAC consistente.

Passar tags de sessão exige a permissão sts:TagSession, além de sts:AssumeRole. A política de confiança também pode restringir quais chaves ou valores de tags são permitidos. Controlar quem pode definir quais tags de sessão impede que os usuários concedam acesso a si mesmos atribuindo valores privilegiados às tags.

As políticas de sessão e as tags de sessão trabalham em conjunto: as tags expressam quem a sessão representa para a correspondência ABAC, enquanto as políticas de sessão limitam o que a sessão pode fazer. Juntas, elas permitem que uma única função abrangente atenda com segurança a muitas sessões rigorosamente delimitadas, o tipo de design elegante e escalável destacado no exame.

Use políticas de sessão para interseccionar e reduzir as permissões de uma função por sessão, nunca para adicioná-las. Use tags de sessão (com sts:TagSession) para conduzir o ABAC por meio de aws:PrincipalTag, marcando as tags como transitivas ao encadear funções. Esses recursos do STS oferecem privilégio mínimo por sessão a partir de um pequeno número de funções reutilizáveis.

Teste a delimitação da sessão.

As políticas de sessão passadas para AssumeRole são interseccionadas com as permissões da função, reduzindo-as, mas nunca ampliando-as. As tags de sessão (que exigem sts:TagSession) alimentam o ABAC por meio de aws:PrincipalTag, e as tags transitivas persistem durante o encadeamento de funções. Juntas, elas permitem aplicar o privilégio mínimo por sessão a partir de algumas funções reutilizáveis.