STS Geçici Kimlik Bilgilerini Nasıl Verir

Security Token Service (STS), geçici güvenlik kimlik bilgileri veren AWS hizmetidir. Bir rol her üstlenildiğinde veya bir kimlik federasyonla doğrulandığında STS, kalıcı anahtarlar yerine kısa ömürlü kimlik bilgileri sağlar. STS'yi anlamak sınavın temel konularındandır; çünkü geçici kimlik bilgileri AWS üzerindeki neredeyse tüm güvenli erişim modellerinin temelini oluşturur.

STS kimlik bilgileri üç bölümden oluşur: bir erişim anahtarı kimliği, bir gizli erişim anahtarı ve bir oturum belirteci. Oturum belirteci, bunları uzun süreli anahtarlardan ayıran unsurdur; imzalanmış her istekle birlikte gönderilmelidir. Belirli bir yaşam süresinin sonunda üçünün de süresi birlikte dolar ve kimlik bilgileri kendiliğinden sınırlanır.

Süreleri otomatik olarak dolduğu için (15 dakikadan 12 saate kadar), geçici kimlik bilgileri bir sızıntının verebileceği zararı büyük ölçüde sınırlar. Elle döndürülecek anahtarlar veya çalınabilecek kalıcı bilgiler yoktur. AWS'nin neredeyse her yerde uzun süreli erişim anahtarları yerine geçici kimlik bilgilerini önermesinin nedeni budur; sınav da bu noktayı tekrar tekrar vurgular.

STS, birkaç işlem sunar:

• AssumeRole — aynı hesapta veya başka bir hesapta rol üstlenir.
• AssumeRoleWithSAML — bir SAML kimlik sağlayıcısı üzerinden federasyon sağlar.
• AssumeRoleWithWebIdentity — OIDC/web kimliği üzerinden federasyon sağlar.
• GetSessionToken / GetFederationToken — MFA ve IAM kullanıcısı federasyonu için kullanılır.

En yaygın çağrı AssumeRole çağrısıdır. Kimliği zaten doğrulanmış olan çağıran bir rol ister; STS, rolün güven ilişkisinin çağırana izin verip vermediğini doğrular ve ardından rolün izinlerini taşıyan geçici kimlik bilgileri döndürür. Çağıran, süreleri dolana kadar bunları kullanır; ardından yenilemek için rolü yeniden üstlenir.

Bu CLI çağrısı bir rolü üstlenir ve geçici kimlik bilgilerini döndürür. Rol ARN'si ve bir oturum adı gerekir; oturum adı denetim amacıyla CloudTrail'de görünür.

STS geçmişte tek bir genel uç nokta kullanıyordu, ancak AWS artık bölgesel STS uç noktaları da sunuyor. Bölgesel uç noktanın kullanılması gecikmeyi azaltır, dayanıklılığı artırır ve bazı uyumluluk yapılandırmaları bunu zorunlu kılar. Daha yeni bölgelere genel uç nokta üzerinden erişilemez; bu nedenle bölgesel STS'yi etkinleştirmek önerilen bir yapılandırmadır.

GetCallerIdentity işlemi, çağrıyı yapan kişinin hesabını, kullanıcı kimliğini ve ARN'sini döndürür. Özel izin gerektirmez ve kimlik bilgilerinizin şu anda hangi kimliği temsil ettiğini doğrulamanın en uygun yoludur. Bir inceleme sırasında üstlenilmiş rol oturumlarında hata ayıklamak için kullanışlıdır.

Hangi kişinin hangi rolü üstlendiği ve seçtiği oturum adı da dâhil olmak üzere her STS çağrısı CloudTrail tarafından günlüğe kaydedilir. Bu iz, araştırmacıların hangi insanın veya hizmetin geçici kimlik bilgilerini aldığını ve ardından ne yaptığını tam olarak takip etmesini sağlar. Anlamlı oturum adları bu denetimi çok daha yararlı hâle getirir.

Geçici kimlik bilgilerini kullanan uygulamalar, her istekle birlikte oturum belirtecini göndermelidir; AWS SDK ve CLI, yapılandırıldıktan sonra bunu otomatik olarak yapar. Geçici kimlik bilgileriyle kimlik doğrulama hataları görürseniz eksik veya eşleşmeyen oturum belirteci, kontrol edilmesi gereken sık nedenlerden biridir.

STS, rollerin ve federasyonun arkasındaki motordur: kendiliğinden süresi dolan ve kalıcı anahtarlardan çok daha güvenli olan kısa ömürlü erişim anahtarı, gizli anahtar ve oturum belirteci kümeleri sağlar. AssumeRole ailesindeki işlemleri kullanın, bölgesel uç noktaları tercih edin, CloudTrail için oturumlara anlamlı adlar verin ve mümkün olan her yerde uzun süreli kimlik bilgilerinin yerine geçici kimlik bilgilerini kullanın.

STS temellerinizi test edin.

Güvenlik Belirteci Hizmeti (STS), 15 dakika ile 12 saat arasında geçerli olan geçici kimlik bilgileri (erişim anahtarı, gizli anahtar ve oturum belirteci) düzenler. Temel API'ler arasında AssumeRole, AssumeRoleWithSAML ve AssumeRoleWithWebIdentity bulunur. Bölgesel uç noktaları tercih edin, CloudTrail için anlamlı oturum adları kullanın ve uzun süreli anahtarları geçici anahtarlarla değiştirin.