Så utfärdar STS tillfälliga autentiseringsuppgifter

Security Token Service (STS) är AWS-tjänsten som utfärdar tillfälliga säkerhetsuppgifter. Varje gång en roll antas eller en identitet federeras delar STS ut kortlivade uppgifter i stället för permanenta nycklar. Att förstå STS är centralt på provet, eftersom tillfälliga uppgifter ligger till grund för nästan alla säkra åtkomstmönster i AWS.

STS-uppgifter består av tre delar: ett access key ID, en secret access key och en session token. Session token är det som skiljer dem från långlivade nycklar; den måste följa med varje signerad begäran. Alla tre upphör samtidigt efter en angiven giltighetstid, vilket gör uppgifterna självbegränsande.

Eftersom de upphör automatiskt (efter 15 minuter till 12 timmar) begränsar tillfälliga uppgifter kraftigt skadan vid en läcka. Det finns inga nycklar som måste roteras manuellt och inget permanent att stjäla. Därför rekommenderar AWS tillfälliga uppgifter framför långlivade access keys nästan överallt, något som provet upprepade gånger betonar.

STS tillhandahåller ett fåtal operationer:

• AssumeRole — anta en roll i samma eller ett annat konto.
• AssumeRoleWithSAML — federera via en SAML identity provider.
• AssumeRoleWithWebIdentity — federera via OIDC/web identity.
• GetSessionToken / GetFederationToken — för MFA och federation av IAM-användare.

Det vanligaste anropet är AssumeRole. Anroparen, som redan är autentiserad, begär en roll; STS verifierar att rollens trust policy tillåter anroparen och returnerar sedan tillfälliga uppgifter med rollens behörigheter. Anroparen använder dem tills de upphör och antar därefter rollen igen för att förnya dem.

Detta CLI-anrop antar en roll och returnerar tillfälliga uppgifter. Rollens ARN och ett sessionsnamn krävs; sessionsnamnet visas i CloudTrail för granskning.

STS använde historiskt en enda global endpoint, men AWS erbjuder nu regionala STS-endpoints. Att använda den regionala endpointen minskar fördröjningen och förbättrar motståndskraften, och vissa efterlevnadskonfigurationer kräver den. Nyare regioner kan inte nås via den globala endpointen, så att aktivera regional STS är en rekommenderad konfiguration.

Operationen GetCallerIdentity returnerar konto, användar-ID och ARN för den som gör anropet. Den kräver inga särskilda behörigheter och är det självklara sättet att bekräfta vilken identitet Era uppgifter för närvarande representerar. Detta är användbart vid felsökning av sessioner med antagna roller under en utredning.

Varje STS-anrop loggas i CloudTrail, inklusive vem som antog vilken roll och vilket sessionsnamn personen valde. Denna logg gör det möjligt för utredare att exakt spåra vilken människa eller tjänst som fick tillfälliga uppgifter och vad den sedan gjorde. Meningsfulla sessionsnamn gör denna granskning betydligt mer användbar.

Program som använder tillfälliga uppgifter måste skicka med session token i varje begäran; AWS SDK och CLI gör detta automatiskt när de har konfigurerats. Om Ni någon gång ser autentiseringsfel med tillfälliga uppgifter är en saknad eller felaktig session token en vanlig orsak att kontrollera.

STS är motorn bakom roller och federation: tjänsten utfärdar kortlivade uppsättningar med access key, secret och session token som upphör av sig själva och är mycket säkrare än permanenta nycklar. Använd operationer i AssumeRole-familjen, föredra regionala endpoints, ge sessioner meningsfulla namn för CloudTrail och ersätt långlivade uppgifter med tillfälliga där det är möjligt.

Security Token Service (STS) utfärdar tillfälliga autentiseringsuppgifter: en åtkomstnyckel, en hemlig nyckel och en sessionstoken som upphör att gälla efter 15 minuter till 12 timmar. Centrala API:er omfattar AssumeRole, AssumeRoleWithSAML och AssumeRoleWithWebIdentity. Föredra regionala slutpunkter, använd meningsfulla sessionsnamn för CloudTrail och ersätt långlivade nycklar med tillfälliga.