Instance Profiles för EC2-arbetsbelastningar

Program på EC2 behöver ofta anropa AWS-API:er, men det är farligt att bädda in åtkomstnycklar. Lösningen är att ge instansen en egen identitet genom en instansprofil, som automatiskt tillhandahåller tillfälliga inloggningsuppgifter för en roll. Detta är ett av de mönster som testas mest för att eliminera långlivade hemligheter från arbetsbelastningar.

En instansprofil är en behållare för en IAM-roll som ni kopplar till en EC2-instans. Även om ni konceptuellt tilldelar en roll kopplar EC2 i praktiken instansprofilen som omsluter rollen. När ni skapar en roll för EC2 i konsolen skapas automatiskt en instansprofil med samma namn; med CLI eller API kan ni behöva skapa den uttryckligen.

När en instansprofil har kopplats kan instansen hämta tillfälliga inloggningsuppgifter från Instance Metadata Service (IMDS), en särskild länk-lokal slutpunkt på 169.254.169.254. AWS SDK och CLI hämtar och förnyar dessa inloggningsuppgifter transparent, så programkoden hanterar aldrig nycklarna.

Autentiseringsuppgifterna finns under en metadatasökväg som är kopplad till rollnamnet. SDK:er frågar automatiskt efter dem, men om du förstår sökvägen blir det lättare att felsöka varför en instans har oväntade behörigheter. Kommandot nedan visar var autentiseringsuppgifterna exponeras på instansen.

En stor fördel är att IMDS-autentiseringsuppgifterna roteras automatiskt långt innan de löper ut. Det finns inget som behöver lagras, ingen nyckel som kan läcka permanent och ingen rotationsprocess som behöver byggas. Därför rekommenderar AWS instansprofiler framför alla lösningar där statiska nycklar placeras på en server.

Den ursprungliga metadatatjänsten (IMDSv1) kunde utnyttjas genom SSRF-attacker (Server-Side Request Forgery) för att stjäla rollautentiseringsuppgifter. IMDSv2 kräver först en sessionstoken som hämtas via en PUT-begäran, vilket blockerar de flesta SSRF-exploateringar. På provet förväntas du tvinga fram IMDSv2 och helst ange hop limit till 1 för att förhindra att containrar når tjänsten.

Rollen i instansprofilen bör följa principen om minsta privilegium: bevilja endast de specifika åtgärder och resurser som arbetsbelastningen behöver. En alltför bred EC2-roll är farlig, eftersom ett intrång i instansen, även genom SSRF, exponerar dessa behörigheter. Begränsa policyerna noggrant och använd villkor för att minska konsekvenserna av ett intrång.

Om du hittar statiska åtkomstnycklar hårdkodade i ett program eller en autentiseringsfil på en instans är åtgärden att koppla en instansprofil och ta bort nycklarna. På provet formuleras detta ofta som att ett konstaterat problem ska åtgärdas: rätt svar tar bort den långlivade hemligheten och förlitar sig på de rollbaserade autentiseringsuppgifterna från IMDS.

En EC2-instans kan ha endast en instansprofil kopplad åt gången och därmed en roll. Om en arbetsbelastning behöver olika behörighetsuppsättningar bör du utforma separata roller och antingen använda separata instanser eller låta programmet anta ytterligare roller via STS vid behov, i stället för att göra den enda kopplade rollen alltför bred.

Eftersom rollens autentiseringsuppgifter visas i CloudTrail som åtgärder utförda av en session med antagen roll kan du granska exakt vad en instans har gjort. Om en instans har utsatts för intrång visar en ögonblicksbild tillsammans med en kontroll av CloudTrail för rollens session vad angriparen kom åt. En strikt rollomfattning i kombination med CloudTrail-synlighet är den säkra kombination som föredras på provet.

För att säkra EC2-åtkomst: koppla en instansprofil som innehåller en roll med minsta privilegium, tvinga fram IMDSv2, ange metadatas hop limit till 1 och ta bort alla statiska nycklar. Instansen hämtar och roterar tillfälliga autentiseringsuppgifter automatiskt från IMDS, vilket ger beräkningsresurserna en säker identitet utan någon hemlighet som du behöver hantera.

En instansprofil innehåller en IAM-roll och kopplar den till EC2, vilket tillhandahåller automatiskt roterade tillfälliga autentiseringsuppgifter via Instance Metadata Service. Detta eliminerar statiska nycklar helt. Tvinga fram IMDSv2 och en hop limit på 1 för att blockera stöld av SSRF-autentiseringsuppgifter, begränsa rollen enligt principen om minsta privilegium och granska dess sessioner i CloudTrail.