La compute dans AWS est l'endroit où IAM rencontre l'exécution de code. Presque chaque service de compute s'exécute avec un rôle attaché, de sorte que prendre le contrôle d'une charge de travail, ou en lancer une que vous contrôlez, livre les credentials de ce rôle et tout ce qu'il peut atteindre. Les mêmes services détiennent aussi des secrets au repos : scripts user-data, snapshots, images et configuration d'environnement. Les pages ici travaillent sur les deux fronts, voler le rôle et lire les données.
Surfaces#
- EC2 : secrets et code du user data, rôle du profil d'instance, et récupération de données depuis les snapshots EBS et les AMI partagées.
- SSM : Systems Manager run command et shells Session Manager sur des instances managées, sous le rôle d'instance.
- Conteneurs : vol du rôle de tâche ECS et EKS, abus de définition de tâche, et runtime de conteneur.
- ECR : récupérer depuis des dépôts exposés et empoisonner les images que la compute en aval va exécuter.
- Elastic Beanstalk : environnements, leur rôle de profil d'instance, et secrets dans la configuration.
- Image Builder : pipelines et composants qui intègrent du code dans les AMI de référence.
- App Runner : services et leur rôle d'instance, et déploiement par source ou par image.
- Batch : définitions de jobs et environnements de compute exécutant des conteneurs sous un rôle de job.
- Lightsail : instances, clés et snapshots qui restent hors du VPC principal et de la visibilité IAM.