AWS - Federation Abuse
SAML
Kwa maelezo kuhusu SAML tafadhali angalia:
Ili kuunda Identity Federation kupitia SAML unahitaji tu kutoa jina na metadata XML inayoshikilia usanidi wote wa SAML (endpoints, cheti chenye funguo za umma)
OIDC - Github Actions Abuse
Ili kuongeza hatua ya github kama mtoa kitambulisho:
Kwa Aina ya Mtoa, chagua OpenID Connect.
Kwa URL ya Mtoa, ingiza
https://token.actions.githubusercontent.com
Bonyeza Pata thumbprint ili kupata thumbprint ya mtoa
Kwa Audience, ingiza
sts.amazonaws.com
Unda jukumu jipya lenye idhini zinazohitajika na hatua ya github na sera ya kuamini inayomwamini mtoa kama:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws:iam::0123456789:oidc-provider/token.actions.githubusercontent.com" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "token.actions.githubusercontent.com:sub": [ "repo:ORG_OR_USER_NAME/REPOSITORY:pull_request", "repo:ORG_OR_USER_NAME/REPOSITORY:ref:refs/heads/main" ], "token.actions.githubusercontent.com:aud": "sts.amazonaws.com" } } } ] }
OIDC - EKS Dhulumu
Ni rahisi kuunda OIDC providers katika EKS cluster kwa kuweka OIDC URL ya cluster kama mtoa kitambulisho kipya cha Open ID. Hii ni sera ya kawaida ya default:
Hii sera inasema kwa usahihi kwamba tu EKS cluster yenye id 20C159CDF6F2349B68846BEC03BE031B
inaweza kuchukua jukumu. Hata hivyo, haionyeshi ni akaunti gani ya huduma inaweza kuchukua, ambayo inamaanisha kwamba AKAUNTI YOYOTE YA HUDUMA yenye tokeni ya utambulisho wa wavuti itakuwa na uwezo wa kuchukua jukumu.
Ili kubaini ni akaunti gani ya huduma inapaswa kuwa na uwezo wa kuchukua jukumu, inahitajika kubaini hali ambapo jina la akaunti ya huduma limeainishwa, kama vile:
Marejeo
Last updated