AWS認証情報の保持（NetApp Workload Factory）
変更を提案
PDF
Workload Factoryは、有効期限の短いAWS STS認証情報、暗号化されたロールメタデータ、および保持期間を限定した動作によって、認証情報の取り扱いを保護します。認証情報モデルは、保持されるロールメタデータと、API操作に使用される一時的なAWS認証情報を分離します。一時的な認証情報は限られた期間のみキャッシュされ、AWSの規定により自動的に期限切れとなります。認証情報を削除すると、Workload Factoryはそのアカウントの新しい認証情報を取得できなくなります。また、キャッシュされた認証情報はその後まもなく期限切れとなります。
主要な動作
-
Workload Factoryは、長期的なAWSアクセスキーを保存しません。
Workload Factory は、ポインタ（ロール ARN）と共有シークレット（外部 ID）のみを保存します。どちらも単独では AWS へのアクセス権を付与しません。
-
一時的なAWS STS認証情報には、AWSによって定められた最大1時間の有効期限があります。
Workload Factory は、新しい STS 呼び出しを強制する前に、最大 30 分間、それらを Redis にキャッシュします。
-
キャッシュされた認証情報セットの有効期限が15分未満になると、Workload Factoryはそれを破棄し、新しい認証情報を取得します。
-
顧客による認証情報の削除により、Workload Factory がそのアカウントにアクセスする権限は即座に失効します。
次のAssumeRole呼び出しが失敗し、キャッシュされた認証情報は数分以内に期限切れになります。
保持および保管の概要
| データ | 保管場所 | 保持期間 | 自動期限切れ？ | 削除方法 |
|---|---|---|---|---|
IAMロールARN + 外部ID |
MySQL（保存時は暗号化） |
無期限（お客様が明示的に削除するまで保存されます） |
× |
顧客がUIで「認証情報を削除」をクリックする |
一時的なAWS STS認証情報（アクセスキー＋シークレット＋セッショントークン） |
Redis（インメモリキャッシュ） |
最大30分（キャッシュの有効期限）。基となるSTS認証情報は、最大1時間（AWSのデフォルト設定）有効です。キャッシュは安全マージンとして、有効期限の5分前に削除されます。 |
はい（Redis の TTL により自動的に削除されます。AWS 認証情報の有効期限は AWS によって管理されます） |
自動 |
ONTAP管理者パスワード |
MySQL（KMSを使用したAES-256-CBCエンベロープ暗号化） |
無期限（お客様が認証情報を削除するか、ファイルシステムを削除するまで保存される） |
× |
顧客が認証情報を削除するか、ファイルシステムの削除によってクリーンアップがトリガーされる |
復号化されたONTAPパスワード（平文） |
メモリ内のみ（ディスクやキャッシュには書き込まれません） |
1回のリクエストにかかる時間（ミリ秒） |
はい（リクエスト完了後にガベージコレクションされます） |
自動 |
セキュリティ管理
-
外部IDは、混乱した代理攻撃を防ぎます。
-
セッションポリシーは、リクエストごとに最小権限の原則を適用します。
-
Workload Factory は、有効期限切れのリスクが高い期間が経過する前に、短期間有効な一時的な AWS STS 認証情報を更新します。
-
Standard、GovCloud、および中国の環境では、リージョンとアカウントタイプの処理が異なります。
-
Workload Factoryは、AWSの長期アクセスキーを一切保存しません。
-
Workload Factory は、IAM ロールの権限を一切変更しません。
-
Workload Factory は、ロールポリシーで付与された権限を超えて権限を昇格することはありません。
-
セッションポリシーは権限を縮小することしかできず、Workload Factory が権限を拡大することはありません。