최신 정보

Mike Pope는 AWS 보안 블로그 에서 IAM 역할을 사용하여 EC2 인스턴스를 시작할 수있는 권한 부여 (PassRole 권한) 에 대한 유용한 기사를 게시했습니다 .

초기 답변

Skaperen의 답변 은 부분적으로 정확하지만 (+1) 다음과 같이 약간 부정확하거나 오도합니다 (설명은 설명하기에 너무 복잡해 보이 므로 별도의 답변입니다).

IAM 역할로 EC2 인스턴스를 시작하려면 IAM 기능에 대한 관리 액세스 권한이 필요합니다.

이것은 정확하고 근본적인 문제를 지적하지만 필요한 관리 권한은 다소 제한적이므로 다음 결론은 …

IAM 역할은 권한을 부여하므로 분명히 해결해야 할 보안 문제가 있습니다. IAM 역할이 권한 에스컬레이션을 허용하는 수단이되기를 원하지 않습니다.

… 잠재적 인 보안 문제를 올바르게 해결할 수있는 한 약간의 오해의 소지가 있습니다. 이 주제는 Amazon EC2 인스턴스에서 실행되는 애플리케이션에 AWS 리소스에 대한 액세스 권한 부여 에서 해결됩니다 .

IAM 역할을 사용하여 Amazon EC2 인스턴스에서 실행되는 애플리케이션의 자격 증명을 관리 할 수 ​​있습니다. 역할을 사용할 때 AWS 자격 증명을 Amazon EC2 인스턴스에 배포 할 필요가 없습니다. 대신 애플리케이션이 Amazon EC2에서 실행될 때 필요한 권한으로 역할을 생성하고 다른 AWS 리소스를 호출 할 수 있습니다. 개발자가 Amazon EC2 인스턴스를 시작할 때 인스턴스와 연결하기 위해 생성 한 역할을 지정할 수 있습니다. 그런 다음 인스턴스에서 실행되는 애플리케이션은 역할 자격 증명을 사용하여 요청에 서명 할 수 있습니다.

현재 유스 케이스 내에서 언급 된 Amazon EC2 인스턴스를 시작한 개발자 는 실제로 EC2 인스턴스 자체이며, 이는 Skaperen이 설명한 캐치 22 보안 문제를 야기하는 것으로 보입니다. Amazon EC2에서 역할을 사용하는 데 필요한 권한 섹션의 샘플 정책에 나와있는 것처럼 실제로는 그렇지 않습니다 .

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect":"Allow",
      "Action":"iam:PassRole",
      "Resource":"*"
    },
    {
      "Effect":"Allow",
      "Action":"iam:ListInstanceProfiles",
      "Resource":"*"
    },
    {
      "Effect":"Allow",
      "Action":"ec2:*",
      "Resource":"*"
    }]
}

그래서 iam:PassRole기술적으로 관리 성격이가 아닌 사실 만 IAM 권한 필요하고, 동시에까지 도달하는 것을 – 물론, 위의 샘플 정책이 여전히 사용 가능한 역할을 통과 목록에 의해 차례로 권한을 확대 할 수 있도록 것입니다, 그러나 사용 사례에 전달할 안전하고 안전한 역할 만 지정하면이를 방지 할 수 있습니다. 이는 Amazon EC2 인스턴스에 전달할 수있는 역할 제한 (PassRole 사용) 섹션에 설명되어 있습니다 .

PassRole 권한을 사용하면 사용자가 이미 부여 된 것보다 많은 권한을 가진 Amazon EC2에 역할을 전달한 다음 해당 역할에 대한 높은 권한으로 애플리케이션을 실행하지 못하게 할 수 있습니다. 역할 정책에서 PassRole 작업을 허용하고 특정 역할 또는 역할 집합 만 Amazon EC2 인스턴스로 전달할 수 있음을 나타내는 리소스 (예 : arn : aws : iam :: 111122223333 : role / ec2Roles / *)를 지정하십시오. .

각 샘플 정책은 현재 사용 사례와 정확히 일치 함을 보여줍니다. 즉 , Amazon EC2 API를 사용하여 역할을 가진 인스턴스를 시작할 수있는 권한을 부여 합니다 .

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect":"Allow",
      "Action":"ec2:RunInstances",
      "Resource":"*"
    },
    {
      "Effect":"Allow",
      "Action":"iam:PassRole",
      "Resource":"arn:aws:iam::123456789012:role/Get-pics"
    }]
}

답변