IAM Role

Définition

Un rôle IAM est une identité AWS qui peut être assumée temporairement par des services AWS, des instances EC2, des fonctions Lambda, des conteneurs ECS/EKS, des utilisateurs IAM d'autres comptes, ou des identités fédérées externes (SAML, OIDC). Contrairement aux utilisateurs IAM qui ont des credentials permanents (clés d'accès long-lived), les rôles IAM fournissent des credentials temporaires via AWS STS (Security Token Service), valables de 15 minutes à 12 heures. L'usage des rôles IAM plutôt que des clés d'accès long-lived est une best practice fondamentale de sécurité AWS. Les credentials temporaires fournis par un rôle expirent automatiquement, réduisant drastiquement le risque de compromission en cas de fuite. Les Instance Profiles permettent aux instances EC2 d'assumer automatiquement un rôle sans stocker de credentials dans le code ou les fichiers de configuration. La structure d'un rôle IAM comprend deux éléments critiques : la trust policy (politique de confiance) qui définit qui peut assumer le rôle (les "principals" : services AWS, comptes AWS, IdP OIDC/SAML), et les permission policies qui définissent les droits accordés une fois le rôle assumé. La trust policy est souvent négligée malgré son importance critique pour la sécurité. Les vecteurs d'attaque sur les rôles IAM incluent : l'assumption non autorisée via une trust policy trop permissive (sts:AssumeRole avec Principal: "*"), l'escalade de privilèges via iam:PassRole (permettre à une instance EC2 ou Lambda d'assumer un rôle plus privilégié), la persistance via la création de nouveaux rôles de backdoor, et l'abus des rôles de service-linked roles mal configurés. Pour les environnements Kubernetes (EKS), l'intégration IAM Roles for Service Accounts (IRSA) permet aux pods Kubernetes d'assumer des rôles IAM via des annotations sur les ServiceAccounts, en utilisant la fédération OIDC entre le cluster EKS et AWS STS. Cette approche est préférable à l'utilisation des credentials de l'instance EC2 sous-jacente.