Conceito e funcionamento
STS permite assumir um role conforme trust policy e permissões do chamador. As ações subsequentes podem aparecer com identidade do tipo AssumedRole e session issuer. Nome de sessão pode ser definido pelo chamador e não comprova autoria humana. Credenciais temporárias têm validade própria e podem ser usadas por aplicações.
Como investigar e correlacionar
Procure AssumeRole em CloudTrail e relacione role ARN, principal, session issuer, session name, período e chamadas posteriores. Compare trust policy, external ID quando usado e origem legítima da integração. Observe account ID para evitar cruzar sessões de organizações diferentes.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um role com session name semelhante ao usuário administrador é utilizado por um pipeline conhecido durante uma implantação.
Procedimento orientado
Consulte AssumeRole, session issuer, principal, conta de origem e chamadas subsequentes, comparando com IaC e change request.
Resultado esperado
A análise relaciona sessão ao pipeline ou identifica lacuna de atribuição, sem confiar apenas no nome de sessão.
Cuidados adicionais
Parâmetros de sessão podem ser controlados pelo chamador e não comprovam identidade humana.
Limitações e interpretações incorretas
Uma sessão com nome conhecido não significa legitimidade. A atribuição a pessoa exige dados de identidade anteriores e contexto de credenciais. Falha ao registrar data events pode limitar a visibilidade do que o role acessou.
Checklist de validação
- Identificar role e principal
- Correlacionar eventos STS
- Verificar trust policy
- Relacionar ações posteriores
Referências técnicas
Guias para aprofundar
- auditoria identidades cloud — aguardando publicação editorial