AWS STS

Définition

AWS Security Token Service (STS) est un service web AWS qui permet d'obtenir des credentials temporaires (Access Key ID, Secret Access Key, Session Token) pour des identités AWS. Ces credentials sont à durée limitée (15 minutes à 36 heures selon l'opération) et permettent d'accéder aux ressources AWS avec les permissions définies dans le rôle ou la politique associés. AWS STS est le mécanisme sous-jacent à tout usage de rôles IAM. Les principales opérations STS incluent : AssumeRole (assumer un rôle IAM dans le même compte ou un autre compte AWS), AssumeRoleWithWebIdentity (assumer un rôle via un token JWT d'un IdP OIDC comme Google, Cognito, Okta), AssumeRoleWithSAML (assumer un rôle via une assertion SAML 2.0 d'un IdP enterprise), GetSessionToken (obtenir des credentials temporaires pour un utilisateur IAM, notamment avec MFA), et GetCallerIdentity (vérifier l'identité associée aux credentials courants). Du point de vue de la sécurité, les credentials STS présentent des avantages significatifs sur les credentials long-lived : rotation automatique par expiration, possibilité de révoquer une session (via l'invalidation du rôle IAM ou via des conditions de politique avec aws:TokenIssueTime), et traçabilité via les logs CloudTrail qui enregistrent chaque AssumeRole avec le contexte complet. Les attaques ciblant STS incluent : l'exfiltration de credentials temporaires depuis les métadonnées d'instance EC2 (SSRF IMDS), le vol de tokens JWT OIDC pour abuser d'AssumeRoleWithWebIdentity, et la création de sessions persistantes via la génération répétée de credentials temporaires. AWS GuardDuty détecte les comportements anormaux d'usage STS, notamment les appels depuis des IPs inhabituelles ou des agents utilisateurs suspects. La région STS peut avoir un impact sur la latence et la disponibilité. AWS recommande d'activer les STS regional endpoints plutôt que le endpoint global pour améliorer la résilience et réduire la latence.