AWS Security Token Service (STS)
Cấp credential tạm thời
Cấp credential tạm thời (access key, secret, session token có hạn) qua các API như AssumeRole, AssumeRoleWithWebIdentity, GetSessionToken để truy cập AWS mà không dùng key dài hạn.
- Chi phí$ Rẻ
- Độ khó●●●●●
- Để không có tốn tiền?Không
- Serverless
- Có trong đềSAA · DVA · SOA
Hình dungNhư thẻ khách có hạn sử dụng trong ngày, hết giờ tự vô hiệu.
Khi nào nên dùng
✓ Nên dùng khi
Truy cập chéo account, federation, hoặc ứng dụng cần credential ngắn hạn.
✗ Không nên dùng khi
Lưu mật khẩu/API key của bên thứ ba → Secrets Manager.
Ví dụ hay gặp
- AssumeRole sang account khác
- Federation từ IdP SAML/OIDC
- Bắt MFA cho thao tác nhạy cảm
Tốn bao nhiêu tiền?
- Cách tính: Miễn phí.
Đề hỏi “truy cập chéo tài khoản, không dùng access key dài hạn” thì chọn IAM role + STS AssumeRole; “người dùng từ IdP doanh nghiệp (SAML) vào AWS” thì chọn federation/AssumeRoleWithSAML; “ứng dụng mobile đăng nhập Google/Facebook rồi gọi AWS” thì chọn Cognito.
Câu hỏi thường gặp
Vì sao nên dùng credential tạm thời của STS thay vì access key IAM user?
Credential tạm thời tự hết hạn nên nếu bị lộ thì thiệt hại có giới hạn, còn access key dài hạn tồn tại cho tới khi ai đó xoá. Vì vậy ứng dụng chạy trên AWS nên dùng IAM role (EC2, Lambda, ECS… lấy credential qua STS tự động), và người dùng nên đăng nhập qua federation hoặc IAM Identity Center.
AssumeRole dùng khi nào và cần cấu hình gì?
AssumeRole để một người dùng hoặc service lấy quyền của một role khác, phổ biến nhất là truy cập chéo tài khoản. Cần hai phía: trust policy của role cho phép bên gọi, và identity policy của bên gọi cho phép sts:AssumeRole. Với bên thứ ba bên ngoài tổ chức, nên dùng thêm external ID để tránh lỗi confused deputy.
STS hỗ trợ federation với danh tính bên ngoài thế nào?
AssumeRoleWithSAML dùng cho IdP doanh nghiệp (như Active Directory qua SAML), AssumeRoleWithWebIdentity dùng cho đăng nhập qua web identity như Google hay Facebook. Với ứng dụng web/mobile, AWS khuyên dùng Amazon Cognito thay vì tự gọi trực tiếp. Tất cả đều trả về credential tạm thời có thời hạn.
Dịch vụ liên quan
Ôn thi SAA-C03
STS xuất hiện trong các chủ đề ôn thi sau: