EC2 est la surface de calcul la plus riche d'AWS parce qu'une instance relie entre eux un rôle (le profil d'instance), un script de démarrage (user data), et des disques persistants (volumes EBS, ainsi que les AMI et snapshots dont ils proviennent). Chacun est une voie d'entrée distincte : voler le rôle depuis le service de métadonnées, lire les secrets laissés dans les user data, ou récupérer les données d'une autre instance depuis un snapshot que vous pouvez monter.
Ce qui est regroupé ici#
- User data : lire les scripts de démarrage pour y trouver des secrets, ou définir les user data pour exécuter du code au prochain démarrage.
- Profil d'instance : récolter les identifiants du rôle attaché depuis le service de métadonnées.
- Snapshots : créer, partager et monter des snapshots EBS pour lire des volumes hors ligne.
- AMI : secrets intégrés dans des images machine partagées ou publiques, et lancement à partir d'elles.
Lancer une nouvelle instance avec un rôle passé est une voie d'élévation de privilèges et vit sous identity PassRole ; les pages ici couvrent les instances qui existent déjà.