Mastodawn

DevelopersIO Aug 22, 2025

Workload identity federation で EC2 インスタンスから ODBC ドライバーで Snowflake に接続してみた
https://dev.classmethod.jp/articles/workload-identity-federation-ec2-odbc-snowflake/

#dev_classmethod #Snowflake #IAM_Role

Workload identity federation で EC2 インスタンスから ODBC ドライバーで Snowflake に接続してみた | DevelopersIO

卡拉今天看了什麼 May 6, 2025

AWS Built a Security Tool. It Introduced a Security Risk.

LinkAWS 組織帳戶評估工具引發跨帳戶權限升級風險

https://aws-security-blog.example.com/article-account-assessment-risk

📌 Summary:
本文說明 AWS 自家開發的「Account Assessment for AWS Organizations」工具，原本設計用於協助企業集中管理、評估跨帳戶資源權限，目的是提升安全控管及審核效率。然而，AWS 官方部署指引中建議將樞紐（Hub）角色部署在非管理帳戶，使其必須部署於權限較低且安全性不足的開發或沙箱帳戶，反而形成一條從低安全性環境直達高敏感度帳戶（如生產與管理帳戶）的委任信任路徑，導致嚴重的跨帳戶權限升級風險。研究團隊透過真實案例發現此漏洞，解析角色權限、攻擊路徑，並指出該工具的角色命名方式可供攻擊者快速識別與利用。事後 AWS 收到回報即展開調整方案，於 2025 年 1 月修訂官方文件，明確要求樞紐角色必須部署在安全性與管理帳戶相當的高階帳戶。受影響組織需積極檢查並移除未按新指引配置的部署，避免權限升級及資料外洩風險。此事件凸顯即使是官方安全工具，若部署指引忽略實務安全面，也可能引入重大缺陷，提醒使用者需深刻理解信任關係實作，結合工具並加強控管，纔能有效降低跨帳戶安全風險。

🎯 Key Points:
→ 【案例發現】
　- 調查中發現開發帳戶有樞紐角色可直接委任管理與生產帳戶角色，且擁有列出 IAM 角色、政策、祕密管理器（Secrets Manager）、S3 桶及 KMS 金鑰等敏感操作權限；
　- 開發環境弱點讓攻擊者得以快速橫向移動至高權限環境，形成嚴重安全缺口。

→ 【漏洞根源】
　- 工具採樞紐-輻射（hub-and-spoke）架構：樞紐角色在指定帳戶，輻射角色分佈於其它帳戶；
　- AWS 官方指出「樞紐不可部署於管理帳戶」，推動用戶將樞紐置於權限較低帳戶，造成低安全性帳戶擁有高敏感度帳戶的委任路徑，產生明顯風險；
　- 這不只增大攻擊面，也使攻擊者能輕易鑑別相關角色，增強攻擊效率。

→ 【解決方案與建議】
　- AWS 於 2025 年 1 月更新文件，明確指示樞紐需部署於安全等級相當於管理帳戶的環境，例如專門的 DevOps 或基礎架構帳戶；
　- 受影響組織應盡速覈查，利用 AWS 控制檯或 CLI 檢索角色名稱包含 "ScanSpokeResource" 或 "AccountAssessment-Spoke-ExecutionRole"；
　- 若部署時間早於 2025 年 1 月 28 日且樞紐位置位於低安全帳戶，建議卸載工具並重新配置樞紐角色於安全帳戶中；
　- AWS 提供卸載指南，移除樞紐、輻射及組織管理相關 CloudFormation 堆疊，避免漏洞持續存在。

→ 【事件管理與溝通】
　- 發現者於 2024 年 12 月報告 AWS，雙方積極合作，AWS 快速確認問題並推動文件修正，展現高度負責與回應效率；
　- 本文最後強調，安全管控不僅需依賴工具，更需深入理解信任政策實作的風險點，持續提升防護策略。

🔖 Keywords:
#AWS #Account_Assessment_for_AWS_Organizations #跨帳戶權限升級 #IAM_Role #安全部署

AWS Built a Security Tool. It Introduced a Security Risk.

In the previous post of this series, we explored four dangerous misconceptions regarding how to securely set up cross-account access in AWS environments. In this final post of the series, we’ll walk through a real-world case where even AWS got it wrong.

DevelopersIO Apr 16, 2025

AWS マネジメントコンソールのスイッチロールの履歴を一発で削除したい。
https://dev.classmethod.jp/articles/aws-management-console-switch-role-history-clear/

#dev_classmethod #AWS #AWSマネジメントコンソール #AWS_IAM #IAM_Role #Chrome拡張機能