Instance Profile

Définition

Un Instance Profile AWS est un conteneur pour un rôle IAM qui peut être associé à une instance EC2. Il permet à l'instance EC2 d'assumer automatiquement le rôle IAM et d'obtenir des credentials temporaires via le service de métadonnées d'instance (IMDS - Instance Metadata Service), sans nécessiter de stocker des clés d'accès dans le code, les fichiers de configuration, ou les variables d'environnement. Techniquement, un Instance Profile est une ressource IAM distincte d'un rôle IAM, bien qu'il lui soit toujours associé. Lors du lancement d'une instance EC2, on spécifie l'Instance Profile (pas directement le rôle). L'AWS CLI et les SDKs interrogent automatiquement l'endpoint de métadonnées (http://169.254.169.254/latest/meta-data/iam/security-credentials/) pour obtenir les credentials temporaires associés au rôle. L'Instance Profile est le mécanisme recommandé par AWS pour authentifier les applications s'exécutant sur EC2. Il élimine le besoin de gérer des credentials statiques et les risques associés (clés hardcodées dans le code source, fuites via les dépôts Git, absence de rotation). Les credentials sont automatiquement renouvelés par AWS avant leur expiration. Du point de vue de la sécurité, l'Instance Profile est un vecteur d'attaque significatif. Si une instance EC2 est compromise (via RCE, SSRF, ou accès non autorisé), un attaquant peut interroger l'endpoint IMDS pour voler les credentials temporaires du rôle associé. Ces credentials peuvent ensuite être utilisés depuis n'importe où (hors de l'instance) pour effectuer des actions AWS jusqu'à leur expiration. L'activation obligatoire de IMDSv2 (Instance Metadata Service v2) est la contre-mesure principale : elle exige un token PUT avant tout accès aux métadonnées, rendant les attaques SSRF basiques inefficaces pour accéder aux credentials de l'Instance Profile.