AssumeRole ve Oturum Süresi

AssumeRole işlemi, bir sorumlu varlığın kendi kimliğini geçici olarak bir rolün izinleriyle değiştirmesini sağlar. Sonuç, süreyle sınırlı bir oturumdur. Bu oturumun ne kadar süreceğini ve izinlerinin kapsamını denetlemek, oturum ömrü güvenlik riskini doğrudan etkilediği için SCS-C02'de sıkça ele alınır.

AssumeRole başarılı olduktan sonra çağrıyı yapan taraf, arn:aws:sts::ACCOUNT:assumed-role/RoleName/SessionName benzeri bir ARN ile tanımlanan üstlenilen rol oturumu olarak çalışır. Bu süre boyunca çağrıyı yapan taraf rolün izinlerine sahip olur; kendi özgün izinlerine sahip olmaz. Sağladığınız oturum adı denetim amacıyla korunur.

DurationSeconds parametresi, oturumun ne kadar süreceğini belirler: 900 saniyeden (15 dakikadan) başlayıp rolün belirlediği üst sınıra kadar. Daha kısa oturumlar, sızdırılmış kimlik bilgilerinin geçerli olduğu süreyi azaltır; bu nedenle en az ayrıcalık ilkesi, pratikte mümkün olan en kısa süreyi tercih eder.

Her rolün 1 ile 12 saat arasında bir MaximumSessionDuration ayarı vardır. DurationSeconds için bundan daha uzun bir istek reddedilir. Hassas rollerde makul bir üst sınır belirlemek, tek bir rol üstlenme işleminin ne kadar sürebileceğini sınırlar; bu, yüksek riskli roller için ayarlanabilen bir denetimdir.

Üstlenilmiş bir rol başka bir rolü üstlendiğinde buna rol zincirleme denir. AWS, rolün yapılandırılmış üst sınırından bağımsız olarak zincirlenmiş oturumları en fazla bir saatle sınırlar. Bu sınırı bilmek, roller zincirlendiğinde bazı uzun süreli isteklerin neden başarısız olduğunu açıklar; bu, sınavda karşılaşabileceğiniz ince bir ayrıntıdır.

Oturumların süresi dolduğu için uygulamaların çalışmayı sürdürmek üzere rolü yeniden üstlenmesi gerekir. SDK'ler, örnek profilleri ve yapılandırılmış rol profilleri için bu işlemi şeffaf biçimde yöneterek eskileri süresi dolmadan önce yeni kimlik bilgilerini alır. Mevcut bir oturumun süresini uzatmanın bir yolu yoktur; yalnızca yeni bir oturum alabilirsiniz.

AssumeRole, sürenin yanı sıra izinleri daraltan Policy veya PolicyArns (oturum politikaları), etiketler (ABAC için oturum etiketleri) ve MFA için SerialNumber ile TokenCode parametrelerini kabul eder. Bunlar, her rol üstlenme işleminin kapsamını ve güvenliğini tam olarak gerçekleştiği anda belirlemenizi sağlar.

Bir rolün güven politikası MFA gerektirebilir; bu durumda AssumeRole çağrısında MFA cihazının ARN'si ve güncel bir belirteç kodu bulunmalıdır. Böylece ayrıcalıklı bir rolün yalnızca çalınmış bir kimlik bilgisiyle üstlenilmesi önlenir. Kısa oturumları MFA ile birleştirmek, hassas roller için güçlü ve sınavlarda önerilen bir denetimdir.

Tek bir geçici kimlik bilgisini silemezsiniz; ancak seçtiğiniz bir zamandan önce düzenlenmiş belirteçler için işlemleri reddeden satır içi bir politika ekleyerek bir role ait tüm etkin oturumları iptal edebilirsiniz. Bunun için aws:TokenIssueTime koşulu kullanılır. Konsoldaki "Etkin oturumları iptal et" düğmesi tam olarak bunu yapar ve olay müdahalesi için önemli bir araçtır.

Kısa oturum ömürleri, geçici kimlik bilgileri sızsa bile kısa süre içinde işe yaramaz hâle gelmelerini sağlar. İptal, MFA ve en az ayrıcalıklı oturum politikalarıyla birlikte kullanıldıklarında saldırı aralığını büyük ölçüde daraltırlar. Sınav, herhangi bir kimlik bilgisinin geçerli kaldığı süreyi en aza indiren yanıtları tercih eder.

AssumeRole, rolün MaximumSessionDuration değeri içinde DurationSeconds tarafından belirlenen süreyle sınırlı bir oturum oluşturur; zincirlenmiş roller için bu süre bir saatle sınırlıdır. Her oturumun kapsamını politikalar, etiketler ve MFA ile belirleyin; güvenliği ihlal edilmiş oturumları hemen sonlandırmak için TokenIssueTime iptal yöntemini kullanın. Kısa ve kapsamı sınırlandırılmış oturumlar güvenli varsayılandır.

Oturum ömrü bilginizi test edin.

AssumeRole, 15 dakika ile rolün MaximumSessionDuration değeri (en fazla 12 saat) arasında süren bir üstlenilen rol oturumu oluşturur; rol zincirleme süresi bir saatle sınırlıdır. Oturumların kapsamını oturum politikaları, etiketler ve MFA ile belirleyin. Güvenliği ihlal edilmiş oturumları aws:TokenIssueTime kullanarak işlemleri reddetme yöntemiyle iptal edin. Kısa ve kapsamı sınırlandırılmış oturumları tercih edin.