Les ressources de calcul Azure s'attaquent de deux façons : exécuter du code sur une ressource pour atteindre l'hôte, et voler l'identité managée que la ressource porte pour atteindre l'abonnement. Une VM, un conteneur ou un cluster sur lequel vous pouvez écrire exécute votre code via une opération de gestion de premier ordre (run command, une extension, command invoke), et le jeton généré pour son identité attachée vaut généralement plus que l'hôte.
Surfaces#
- Machines virtuelles : run command, Custom Script Extension, vol d'identité managée et user data.
- AKS : identifiants admin,
command invokeet identité du pool de nœuds. - Container Registry : identifiants admin, ACR Tasks sous une identité managée et empoisonnement d'images.
- Container Instances : exécuter un conteneur sous une identité attachée.
- Scale sets : run command et extensions sur chaque instance.