Предисловие:
Я использую экземпляр Windows EC2 с прикрепленной ролью, которая разрешает ему доступ к определенным секретам AWS Secrets Manager. Мы никогда не используем ключи доступа напрямую. Приложение, работающее на экземпляре, должно иметь возможность извлекать эти секреты.
Конечный пользователь этого экземпляра в настоящее время должен подключиться к этому экземпляру по протоколу RDP для выполнения своей задачи. Конечный пользователь никогда не знает напрямую, что он может получить доступ к секретам менеджера секретов, но это возможно.
Конечный пользователь получает доступ к приложению CLI и веб-сайту, который работает локально на компьютере EC2.
Проблема:
Поскольку у экземпляра есть роль, которая позволяет ему видеть секреты, конечный пользователь может использовать AWS cli или curl и т. Д. Во время сеанса RDP для извлечения секретов, к которым они не должны были иметь прямой доступ.
Вопрос:
Как предотвратить доступ конечного пользователя к секретам, предоставляя при этом экземпляру свободу, необходимую для выполнения его функций? Можно ли что-то сделать с правами пользователя на экземпляр? Любые альтернативные решения?
