Chaque appel ARM et de plan de données nécessite un jeton ou une clé, de sorte que les récolter est le moyen d'élargir l'accès. Les identifiants Azure se présentent sous la forme de jetons d'identité managée générés depuis le service de métadonnées d'instance, de jetons d'accès et de rafraîchissement d'utilisateurs et de services principaux, de clés de compte de stockage qui déverrouillent tout le plan de données d'un compte, et des secrets que des services comme Key Vault, les Automation Accounts et App Service renvoient à la lecture.
Ce qui s'y rattache#
- Métadonnées d'instance : générer le jeton d'identité managée d'une ressource depuis IMDS, directement ou via SSRF.
- Key Vault : secrets, clés et certificats sur le plan de données du coffre.
- Clés de stockage :
listKeyspour un accès complet au plan de données d'un compte. - Jetons d'accès : jetons
azet MSAL en cache pillés sur le disque. - Assets Automation : assets credential, variable et connexion des Automation Accounts.
- App settings et chaînes de connexion : secrets de configuration des Function et Web Apps.
Les pages IMDS sont la face Azure de la technique web de server-side request forgery, référencée en renvoi plutôt que dupliquée.