BluePallet betreibt Amazon ECS auf EC2. Eine interne Prüfung ergab, dass Container 169.254.169.254 erreichen konnten, um Instance-Profil-Anmeldeinformationen abzurufen, wodurch das Least Privilege auf Aufgabenebene umgangen wurde. Sie können nicht zu Fargate migrieren. Was ist die effektivste Änderung, um zu verhindern, dass Container auf Instance-Metadaten zugreifen, während die Task-IAM-Rollen beibehalten werden?

Die effektivste Lösung ist die Umstellung auf den awsvpc-Netzwerkmodus und das Setzen von ECSAWSVPCBLOCKIMDS=true auf den Container-Instances. Dieser Modus weist jedem Task eine eigene ENI zu, und die Umgebungsvariable blockiert den Zugriff auf den Instance Metadata Service (IMDS) von den Containern aus. Dadurch wird verhindert, dass Container Instance-Profil-Anmeldeinformationen abrufen, während gleichzeitig Task-IAM-Rollen für den Anwendungszugriff genutzt werden können, um das Prinzip der geringsten Rechte (Least Privilege) auf Aufgabenebene durchzusetzen. Das Minimieren des Instance-Profils ist eine bewährte Methode, um die Angriffsfläche zu reduzieren. Der Bridge-Netzwerkmodus erfordert manuelle iptables-Regeln, was komplex und fehleranfällig ist. Das Setzen des IMDSv2-Hop-Limits auf 1 würde den Zugriff für alle Nicht-Host-Netzwerk-Namespaces blockieren, aber das Entfernen der Task-Rolle aus den Aufgaben würde die Anwendungen funktionsunfähig machen. Ein VPC-Interface-Endpoint für STS ist für den Zugriff auf den STS-Dienst gedacht, nicht zum Blockieren des IMDS-Zugriffs.