AWS - Federation Abuse
SAML
SAML के बारे में जानकारी के लिए कृपया जाँचें:
SAML के माध्यम से एक पहचान संघ कैसे कॉन्फ़िगर करें इसके लिए आपको एक नाम और सभी SAML कॉन्फ़िगरेशन (एंडपॉइंट्स, सार्वजनिक कुंजी के साथ प्रमाणपत्र) को समेत करने वाले मेटाडेटा XML प्रदान करना होगा।
OIDC - Github क्रियाएँ दुरुपयोग
एक गिटहब क्रिया को पहचान प्रदाता के रूप में जोड़ने के लिए:
प्रदाता प्रकार के लिए, OpenID Connect का चयन करें।
प्रदाता URL के लिए,
https://token.actions.githubusercontent.com
दर्ज करें।प्रदाता का थंबप्रिंट प्राप्त करने के लिए थंबप्रिंट प्राप्त करें पर क्लिक करें
दर्शक के लिए,
sts.amazonaws.com
दर्ज करें।गिटहब क्रिया को जो अनुमतियाँ चाहिए उन्हें और एक भरोसा नीति बनाएं जो प्रदाता को विश्वास करती है जैसे:
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws:iam::0123456789:oidc-provider/token.actions.githubusercontent.com" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "token.actions.githubusercontent.com:sub": [ "repo:ORG_OR_USER_NAME/REPOSITORY:pull_request", "repo:ORG_OR_USER_NAME/REPOSITORY:ref:refs/heads/main" ], "token.actions.githubusercontent.com:aud": "sts.amazonaws.com" } } } ] }
OIDC - EKS दुरुपयोग
एक EKS क्लस्टर में OIDC प्रदाताओं को एक नए ओपन आईडी आईडेंटिटी प्रदाता के रूप में सेट करके सरलता से उत्पन्न किया जा सकता है। यह एक सामान्य डिफ़ॉल्ट नीति है:
यह नीति सही ढंग से इस बात की निर्देशित कर रही है कि केवल आईएकेएस क्लस्टर जिसका आईडी 20C159CDF6F2349B68846BEC03BE031B
है, वह भूमिका अनुमान कर सकता है। हालांकि, यह नहीं दिखा रहा है कि कौन सी सेवा खाता इसे अनुमान कर सकती है, जिसका मतलब है कि कोई भी सेवा खाता जिसके पास एक वेब पहचान टोकन है भूमिका अनुमान कर सकती है।
भूमिका अनुमान करने के लिए कौन सी सेवा खाता अनुमान कर सकती है, इसे निर्धारित करने के लिए, एक शर्त निर्दिष्ट करना आवश्यक है, जहां सेवा खाता नाम निर्दिष्ट है, जैसे:
संदर्भ
Last updated