Utiliser un IAM rôle pour accorder des autorisations aux applications exécutées sur des EC2 instances Amazon

Les applications qui s'exécutent sur une EC2 instance Amazon doivent inclure AWS informations d'identification dans le AWS APIdemandes. Vous pourriez avoir votre boutique pour développeurs AWS informations d'identification directement dans l'EC2instance Amazon et autorisez les applications de cette instance à utiliser ces informations d'identification. Mais les développeurs devraient alors gérer les informations d'identification et s'assurer de les transmettre de manière sécurisée à chaque instance et de mettre à jour chaque EC2 instance Amazon au moment de mettre à jour les informations d'identification. Ceci représente beaucoup de travail supplémentaire.

Au lieu de cela, vous pouvez et devez utiliser un IAM rôle pour gérer les informations d'identification temporaires pour les applications qui s'exécutent sur une EC2 instance Amazon. Lorsque vous utilisez un rôle, vous n'avez pas à distribuer des informations d'identification à long terme (telles que des informations de connexion ou des clés d'accès) à une EC2 instance Amazon. Au lieu de cela, le rôle fournit des autorisations temporaires que les applications peuvent utiliser lorsqu'elles appellent d'autres AWS ressources. Lorsque vous lancez une EC2 instance Amazon, vous spécifiez un IAM rôle à associer à l'instance. Les applications qui s'exécutent sur l'instance peuvent ensuite utiliser les informations d'identification temporaires fournies par le rôle pour signer API les demandes.

L'utilisation de rôles pour accorder des autorisations aux applications qui s'exécutent sur des EC2 instances Amazon nécessite une configuration supplémentaire. Une application exécutée sur une EC2 instance Amazon est extraite de AWS par le système d'exploitation virtualisé. En raison de cette séparation supplémentaire, vous avez besoin d'une étape supplémentaire pour attribuer un AWS rôle et ses autorisations associées à une EC2 instance Amazon et les mettre à la disposition de ses applications. Cette étape supplémentaire est la création d'un profil d'instance attaché à l'instance. Le profil d'instance contient le rôle et peut fournir les informations d'identification temporaires du rôle à une application qui s'exécute sur l'instance. Ces informations d'identification temporaires peuvent ensuite être utilisées dans les API appels de l'application pour accéder aux ressources et pour limiter l'accès aux seules ressources spécifiées par le rôle.

Une telle utilisation des rôles présente plusieurs avantages. Dans la mesure où les informations d'identification des rôles sont temporaires et font automatiquement l'objet d'une mise à jour, vous n'avez pas à les gérer ni à vous soucier de risques de sécurité à long terme. Par ailleurs, si vous utilisez le même rôle pour plusieurs instances, toute modification apportée au rôle se propage automatiquement à toutes les instances.

Comment fonctionnent les rôles pour EC2 les instances Amazon ?

Dans la figure suivante, un développeur exécute une application sur une EC2 instance Amazon qui nécessite l'accès au compartiment S3 nomméamzn-s3-demo-bucket-photos. Un administrateur crée le rôle de Get-pics service et l'attache à l'EC2instance Amazon. Le rôle inclut une politique d'autorisations qui accorde un accès en lecture seule au compartiment S3 spécifié. Il inclut également une politique de confiance qui permet à l'EC2instance Amazon d'assumer le rôle et de récupérer les informations d'identification temporaires. Lorsque l'application s'exécute sur l'instance, elle peut accéder au compartiment photos en utilisant les informations d'identification temporaires du rôle. L'administrateur n'a pas besoin d'accorder au développeur l'autorisation d'accéder au compartiment photos et le développeur n'a à aucun moment besoin de partager ou gérer les informations d'identification.

Autorisations requises pour utiliser les rôles auprès d'Amazon EC2

Pour lancer une instance avec un rôle, le développeur doit être autorisé à lancer des EC2 instances Amazon et à transmettre IAM des rôles.

L'exemple de politique suivant permet aux utilisateurs d'utiliser AWS Management Console pour lancer une instance avec un rôle. La politique inclut des caractères génériques (*) pour permettre à un utilisateur de transmettre n'importe quel rôle et d'effectuer les EC2 actions Amazon répertoriées. L'ListInstanceProfilesaction permet aux utilisateurs de visualiser tous les rôles disponibles dans le Compte AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IamPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Sid": "ListEc2AndListInstanceProfiles",
            "Effect": "Allow",
            "Action": [
                "iam:ListInstanceProfiles",
                "ec2:Describe*",
                "ec2:Search*",
                "ec2:Get*"
            ],
            "Resource": "*"
        }
    ]
}

Restreindre les rôles pouvant être transmis aux EC2 instances Amazon (en utilisant PassRole)

Vous pouvez utiliser cette PassRole autorisation pour restreindre le rôle qu'un utilisateur peut transmettre à une EC2 instance Amazon lorsqu'il lance l'instance. Cela évite que l'utilisateur exécute des applications ayant davantage d'autorisations qu'il n'en possède, autrement dit qu'il soit en mesure d'obtenir des droits élevés. Par exemple, imaginez que l'utilisateur Alice est uniquement autorisée à lancer des EC2 instances Amazon et à utiliser des compartiments Amazon S3, mais que le rôle qu'elle transmet à une EC2 instance Amazon est autorisé à travailler avec Amazon IAM DynamoDB. Dans ce cas, Alice pourra peut-être lancer l'instance, s'y connecter, obtenir des informations d'identification de sécurité temporaires, puis effectuer des IAM actions DynamoDB pour lesquelles elle n'est pas autorisée.

Pour limiter les rôles qu'un utilisateur peut transmettre à une EC2 instance Amazon, vous devez créer une politique qui autorise cette PassRole action. Vous attachez ensuite la politique à l'utilisateur (ou à un IAM groupe auquel appartient l'utilisateur) qui lancera les EC2 instances Amazon. Dans l'Resourceélément de la politique, vous listez le ou les rôles que l'utilisateur est autorisé à transmettre aux EC2 instances Amazon. Lorsque l'utilisateur lance une instance et y associe un rôle, Amazon EC2 vérifie s'il est autorisé à transmettre ce rôle. Il est entendu que vous devez également vous assurer que le rôle que l'utilisateur est autorisé à transmettre n'inclut pas plus d'autorisations qu'il n'est censé en avoir.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:RunInstances",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::account-id:role/Get-pics"
    }
  ]
}

Permettre à un rôle de profil d'instance de passer à un rôle dans un autre compte

Vous pouvez autoriser une application exécutée sur une EC2 instance Amazon à exécuter des commandes dans un autre compte. Pour ce faire, vous devez autoriser le rôle d'EC2instance Amazon dans le premier compte à passer à un rôle dans le second compte.

Imaginez que vous utilisez deux Comptes AWS et vous souhaitez autoriser l'exécution d'une application exécutée sur une EC2 instance Amazon AWS CLIcommandes dans les deux comptes. Supposons que l'EC2instance Amazon existe dans le compte111111111111. Cette instance inclut le rôle de profil d'instance abcd qui permet à l'appli d'effectuer les tâches Amazon S3 amzn-s3-demo-bucket1 en lecture seule sur le compartiment dans le même compte 111111111111. Toutefois, l'application doit également être autorisée à endosser le rôle efgh entre comptes pour accéder au compartiment amzn-s3-demo-bucket2 Amazon S3 dans le compte 222222222222.

Le rôle de profil d'EC2instance abcd Amazon doit respecter la politique d'autorisation suivante pour permettre à l'application d'accéder au compartiment amzn-s3-demo-bucket1 Amazon S3 :

Politique d'autorisations de rôle abcd du compte 111111111111

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccountLevelS3Actions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowListAndReadS3ActionOnMyBucket",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        },
        {
            "Sid": "AllowIPToAssumeCrossAccountRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::222222222222:role/efgh"
        }
    ]
}

Le abcd rôle doit faire confiance au EC2 service Amazon pour assumer le rôle. Pour ce faire, le rôle abcd doit avoir la politique de confiance suivante :

Politique de confiance de rôle abcd du compte 111111111111

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "abcdTrustPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {"Service": "ec2.amazonaws.com"}
        }
    ]
}

Supposons que le rôle efgh entre comptes permet aux tâches Amazon S3 en lecture seule sur le compartiment amzn-s3-demo-bucket2 dans le même compte 222222222222. Pour ce faire, le rôle efgh entre comptes doit avoir la politique d'autorisations suivante :

Politique d'autorisations de rôle efgh du compte 222222222222

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccountLevelS3Actions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowListAndReadS3ActionOnMyBucket",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket2/*",
                "arn:aws:s3:::amzn-s3-demo-bucket2"
            ]
        }
    ]
}

Le rôle efgh doit autoriser le rôle de profil d'instance abcd à l'endosser. Pour ce faire, le rôle efgh doit avoir la politique de confiance suivante :

Politique de confiance de rôle efgh du compte 222222222222

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "efghTrustPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {"AWS": "arn:aws:iam::111111111111:role/abcd"}
        }
    ]
}

Comment puis-je commencer ?

Pour comprendre comment les rôles fonctionnent avec les EC2 instances Amazon, vous devez utiliser la IAM console pour créer un rôle, lancer une EC2 instance Amazon qui utilise ce rôle, puis examiner l'instance en cours d'exécution. Vous pouvez examiner les métadonnées de l'instance pour voir comment les informations d'identification temporaires du rôle sont mises à la disposition d'une instance. Il est également possible d'étudier la façon dont une application exécutée sur l'instance peut utiliser un rôle donné. Consultez les ressources suivantes pour en savoir plus.

Informations connexes

Pour plus d'informations sur la création de rôles ou de rôles pour EC2 les instances Amazon, consultez les informations suivantes :