Workload identity federation

En vez de darle a una carga de trabajo una clave cloud guardada, la federación le permite demostrar su identidad ante un proveedor externo y cambiar esa demostración por credenciales cloud temporales. Un trabajo de integración continua, por ejemplo, presenta un token OpenID Connect emitido por su plataforma; la cuenta cloud tiene un rol configurado para confiar en ese proveedor bajo condiciones concretas, verifica el token y devuelve credenciales de corta duración. No se guarda nada de larga duración en ninguna parte, y las credenciales caducan enseguida. La seguridad del montaje descansa por completo en las condiciones de confianza: el rol debería asumirse solo para un repositorio, una rama o una carga de trabajo concretos, comprobados contra las afirmaciones de sujeto y de audiencia del token. Con las condiciones bien puestas, esto sustituye un secreto guardado por uno acotado y efímero.

El fallo es una condición de confianza demasiado amplia. Un rol configurado para confiar en el proveedor sin fijar el sujeto se asumirá para cualquier carga de trabajo de ese proveedor, así que cualquier repositorio o trabajo de la misma plataforma (incluido un fork, o una solicitud de cambios de alguien de fuera) puede obtener las credenciales del rol de producción. Desde el lado del atacante esto es una escalada limpia: ninguna clave robada, ningún exploit, solo un token al que su propio trabajo tiene derecho, cambiado por un acceso que jamás debería tener. En los despliegues que revisamos, las condiciones vienen con frecuencia copiadas de un ejemplo y dejadas permisivas, o la audiencia no se comprueba, y eso convierte un mecanismo pensado para quitar riesgo en una puerta abierta.

Revisamos las políticas de confianza que hay detrás de la federación: en qué proveedores se confía, con cuánta precisión están fijadas las condiciones de sujeto y de audiencia, y si alguna carga de trabajo externa o sin confianza podría satisfacerlas. Cuando una condición está floja, demostramos que se puede asumir el rol desde una carga de trabajo que no debería cumplir los requisitos. Se evalúa junto a las demás rutas por las que una identidad no humana obtiene acceso cloud, incluida la confianza entre cuentas. El hallazgo se escribe contra la condición demasiado amplia. Esto forma parte de cómo revisamos el acceso federado a tu cloud.