Ngăn người dùng EC2 nhìn thấy thông tin xác thực và bí mật AWS

lời nói đầu:

Tôi sử dụng một phiên bản EC2 của windows có gắn vai trò cho phép phiên bản đó truy cập vào các bí mật cụ thể của Trình quản lý bí mật AWS. Chúng tôi không bao giờ sử dụng các phím truy cập trực tiếp. Ứng dụng chạy trên phiên bản cần có khả năng lấy những bí mật này.

Người dùng cuối của phiên bản này hiện được yêu cầu RDP vào phiên bản đó để thực hiện tác vụ của họ. Người dùng cuối không bao giờ trực tiếp biết rằng họ có thể truy cập các bí mật của trình quản lý bí mật, nhưng điều đó là có thể.

Người dùng cuối đang truy cập ứng dụng CLI và trang web chạy cục bộ trên máy EC2.

Vấn đề:

Vì phiên bản có vai trò cho phép nó nhìn thấy các bí mật, nên người dùng cuối có thể sử dụng AWS cli hoặc curl, v.v. trong phiên RDP để truy xuất các bí mật mà lẽ ra họ không thể truy cập trực tiếp.

Câu hỏi:

Làm cách nào để ngăn người dùng cuối truy cập vào các bí mật, đồng thời cho phép cá thể tự do cần để thực hiện chức năng của mình? Có điều gì đó có thể được thực hiện đối với quyền của người dùng trong trường hợp này không? Bất kỳ giải pháp thay thế?