Fédération

Entrer dans AWS via une identité fédérée : confiance de fournisseurs SAML et OIDC, OIDC GitHub Actions, IdP tiers de confiance et certificats IAM Roles Anywhere.

1 min de lecturemis à jour le 12 oct. 2026florianamette1 contributeur
Demander à votre assistant (MCP)Modifier sur GitHub

La fédération permet à un fournisseur d'identité externe de forger des identifiants de rôle AWS sans utilisateur IAM. La confiance est déclarée par un objet identity provider IAM plus un rôle dont la stratégie de confiance accepte les jetons provenant de lui, restreinte par Condition sur des revendications telles que sub et aud. Lorsque ces conditions sont trop permissives, un attaquant qui contrôle ou peut forger un jeton correspondant assume le rôle.

Ce qui est regroupé ici#

  • SAML : sts:AssumeRoleWithSAML et confiance de fournisseur SAML trop large.
  • OIDC : sts:AssumeRoleWithWebIdentity et conditions sub/aud faibles sur un fournisseur OIDC.
  • GitHub Actions : le fournisseur OIDC de GitHub avec une condition sub assez permissive pour accepter d'autres dépôts ou branches.
  • Trusted IdP : IdP tiers (Auth0, Okta, Google) de confiance en tant que fournisseurs de web-identity.
  • Roles Anywhere : confiance de certificat X.509 qui forge des identifiants de rôle en dehors d'AWS.

Références#

PrécédentConfused deputySuivant SAML