AssumeRole и срок действия сеанса

Операция AssumeRole позволяет субъекту временно обменять собственное удостоверение на разрешения роли. В результате создается сеанс с ограниченным сроком действия. Управление продолжительностью этого сеанса и областью его разрешений — частая тема SCS-C02, поскольку срок действия сеанса напрямую влияет на уровень риска для безопасности.

После успешного выполнения AssumeRole вызывающая сторона работает как сеанс принятой роли, идентифицируемый ARN вида arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName. В течение этого времени вызывающая сторона обладает разрешениями роли, а не исходными разрешениями. Переданное вами имя сеанса сохраняется для аудита.

Параметр DurationSeconds задает продолжительность сеанса: от 900 секунд (15 минут) до максимального значения, определенного для роли. Более короткие сеансы уменьшают период, в течение которого утекшие учетные данные остаются действительными, поэтому принцип минимальных привилегий предполагает максимально короткую практически применимую продолжительность.

Для каждой роли задан параметр MaximumSessionDuration (от 1 до 12 часов). Запрос с DurationSeconds, превышающим это значение, отклоняется. Разумное максимальное значение для ролей, работающих с конфиденциальными данными, ограничивает продолжительность любого отдельного принятия роли. Это ограничение можно настроить для ролей с высоким уровнем риска.

Когда одна принятая роль принимает другую роль, это называется последовательным принятием ролей. AWS ограничивает продолжительность таких сеансов максимум одним часом, независимо от настроенного для роли максимального значения. Знание этого ограничения объясняет, почему некоторые запросы на длительный сеанс завершаются ошибкой при последовательном принятии ролей. Это важная деталь экзамена.

Поскольку срок действия сеансов истекает, приложения должны повторно принимать роль, чтобы продолжить работу. SDK прозрачно обрабатывают это для профилей экземпляров и настроенных профилей ролей, получая новые учетные данные до истечения срока действия старых. Продлить существующий сеанс невозможно: вместо этого необходимо получить новый.

Помимо продолжительности, AssumeRole принимает Policy или PolicyArns (политики сеанса для сужения разрешений), Tags (теги сеанса для ABAC), а также SerialNumber и TokenCode для MFA. Благодаря этому область действия и защита каждого принятия роли настраиваются точно в момент его выполнения.

Политика доверия роли может требовать MFA. В этом случае запрос AssumeRole должен содержать ARN устройства MFA и действительный код маркера. Это гарантирует, что для принятия привилегированной роли одной украденной учетной записи будет недостаточно. Сочетание коротких сеансов с MFA — надежная мера защиты конфиденциальных ролей, рекомендуемая на экзамене.

Удалить отдельные временные учетные данные невозможно, но можно отозвать все активные сеансы роли, добавив встроенную политику, запрещающую действия для маркеров, выданных до выбранного времени, с использованием условия aws:TokenIssueTime. Кнопка консоли «Отозвать активные сеансы» делает именно это и является важным инструментом реагирования на инциденты.

Короткий срок действия сеанса означает, что даже утекшие временные учетные данные вскоре станут бесполезными. В сочетании с отзывом, MFA и политиками сеанса с минимальными привилегиями это значительно сокращает период, доступный для атаки. На экзамене предпочтение обычно отдается ответам, которые сводят к минимуму время действия любых учетных данных.

AssumeRole создает сеанс с ограниченным сроком действия, определяемым параметром DurationSeconds в пределах MaximumSessionDuration роли; для последовательно принятых ролей действует ограничение в один час. Ограничивайте область действия каждого сеанса с помощью политик, тегов и MFA, а для немедленного завершения скомпрометированных сеансов используйте прием с отзывом через TokenIssueTime. Безопасный вариант по умолчанию — короткие сеансы с узкой областью действия.

AssumeRole создает сеанс принятой роли продолжительностью от 15 минут до значения MaximumSessionDuration роли (максимум 12 часов); для последовательного принятия ролей действует ограничение в один час. Ограничивайте область действия сеансов с помощью политик сеанса, тегов и MFA. Отзывайте скомпрометированные сеансы с помощью запрета через aws:TokenIssueTime. Предпочитайте короткие сеансы с узкой областью действия.