Skip to main content
Information Security for Workload Factory
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Come fluiscono le credenziali AWS attraverso NetApp Workload Factory

Collaboratori netapp-rlithman
PDF

Il flusso delle credenziali AWS descrive come NetApp Workload Factory gestisce gli identificatori di ruolo, gli ID esterni e le credenziali AWS STS a breve termine durante l'onboarding e le operazioni in fase di esecuzione. Durante la configurazione iniziale, crei un ruolo IAM nel tuo account AWS e configuri una policy di attendibilità che richiede il service principal di Workload Factory e l'ID esterno corretto. In fase di esecuzione, Workload Factory utilizza l'ARN del ruolo e l'ID esterno memorizzati per richiedere credenziali temporanee definite da una policy di sessione per richiesta e riutilizza le credenziali memorizzate nella cache fino alla loro scadenza.

Configurazione una tantum

Per una configurazione una tantum, il flusso è il seguente:

Passaggi

  1. Avvii uno stack CloudFormation o crei manualmente un ruolo IAM nel tuo account AWS.

  2. La policy di attendibilità del ruolo IAM specifica due condizioni:

    1. Solo il service principal per Workload Factory può assumerlo.

    2. Chi effettua la chiamata deve presentare l'ID esterno corretto.

  3. Workload Factory memorizza l'ARN del ruolo e l'ID esterno (crittografato) nel suo database.

Tempo di esecuzione (ogni operazione API)

In fase di esecuzione, Workload Factory utilizza l'ARN del ruolo memorizzato e l'ID esterno per ottenere credenziali AWS STS temporanee per ogni operazione API. Il flusso è il seguente:

Passaggi

  1. Workload Factory recupera l'ARN del ruolo e l'ID esterno memorizzati da MySQL.

  2. Verifica in Redis la presenza di un set memorizzato nella cache di credenziali temporanee AWS STS per questo ruolo.

  3. In caso di cache miss, Workload Factory effettua una chiamata sts:AssumeRole con l'ARN del ruolo e l'ID esterno. La chiamata include una policy di sessione inline per richiesta che limita le autorizzazioni alle sole azioni AWS specifiche necessarie per tale operazione.

  4. AWS STS restituisce credenziali temporanee (access key ID, secret access key, session token) con un timestamp di scadenza.

  5. Workload Factory memorizza queste credenziali nella cache di Redis e le usa per chiamare le API AWS di destinazione.

  6. In caso di cache hit, Workload Factory salta la chiamata STS e utilizza direttamente le credenziali memorizzate nella cache.

Politica della sessione

Ogni chiamata STS include una session policy inline limitata alle azioni AWS minime richieste.