AWS Assume Role Security

Description

AWS Assume Role est le mécanisme STS (Security Token Service) permettant à une identité IAM d'acquérir temporairement les permissions d'un autre rôle via sts:AssumeRole. Les credentials temporaires (15min à 12h) remplacent les clés d'accès long-terme.

Contexte cloud

Utilisé pour le cross-account access, les pipelines CI/CD (GitHub Actions OIDC), et les lambdas inter-comptes. La commande CLI est aws sts assume-role --role-arn arn:aws:iam::ACCOUNT:role/ROLE --role-session-name SESSION. Les conditions de confiance (trust policy) définissent qui peut assumer le rôle.

Points clés

• Audit des chaînes d'AssumeRole via CloudTrail : event AssumedRole avec sessionIssuer
• Risque de privilege escalation si une politique de confiance est trop permissive (Principal: "*")
• Outil Pacu et aws_escalate permettent de tester les chemins d'escalade IAM automatiquement