IAM 権限昇格.

既存のクラウド IAM 権限を悪用し、ポリシーの編集、ロールの引き受け、または自身への管理者権限付与によってより高い権限を獲得する手法。 サイバーセキュリティの クラウドセキュリティ カテゴリに属します。

既存のクラウド IAM 権限を悪用し、ポリシーの編集、ロールの引き受け、または自身への管理者権限付与によってより高い権限を獲得する手法。

クラウド環境での IAM 権限昇格は、権限が限定された主体が正当な API アクションを使ってより広範な権限や管理者権限へ到達することを指します。AWS の典型的な経路には、別ユーザーに対する iam:CreateAccessKey、iam:PutUserPolicy、特権ロールへの sts:AssumeRole、強力なロールを持つ関数への lambda:UpdateFunctionCode、ec2:RunInstances を介した PassRole 悪用などがあります。Azure(ロール割り当て書き込み)や GCP(setIamPolicy)にも同等の経路があります。Pacu や PMapper といったツールはこれらの連鎖を自動列挙します。防御側は iam:Pass、iam:Put、*:Update を制限し、Permission Boundary や SCP を強制し、CloudTrail で IAM 変更をすべて記録して危険な組み合わせに警告を出します。

IAM 権限昇格 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: クラウド権限昇格, IAM Privesc。