Une identité managée est un principal de service Entra qu'Azure lie à une ressource et dont la plateforme fait tourner les credentials. Tout code qui s'exécute sur la ressource peut demander au point de terminaison de métadonnées local un token pour cette identité, donc contrôler la ressource revient à agir en tant que l'identité avec tout son RBAC. Les identités managées sont le moteur derrière la plupart des escalades et des déplacements latéraux Azure.
Les deux types#
- System-assigned : créée avec une ressource unique et liée à elle, supprimée avec elle.
- User-assigned : une identité autonome qui peut être attachée à plusieurs ressources, donc sa compromission est réutilisable.
Obtenir le token est une technique de credentials (le point de terminaison IMDS) ; attacher une identité privilégiée à une ressource que vous contrôlez est l'escalade par attribution d'identité managée.