クライアントのデバイスに保存するのは安全ですか？AWS Temporary Credentials（STS）？

Question

APIを呼び出すモバイルデバイスにAWSの一時的な資格情報（Access Key ID,Secret Access Key、Session Token）が保存されている場合は、に安全であるかどうか尋ねたがりますか？ 多くの情報源はこれを認証プロセスの必要部分として説明しています。 AWSリソースの画像の下に言及したによ​​ると：

私はassumeRoleWithWebIdentityまたはgetCredentialsForIdentityすることによって得ることができる資格の話して。

代わりにJWTトークンを使用してこれらの資格情報をハッキングするのを防ぎ、リソースによって保護されたアクセス権を取得するのは安全ですか？

Answer 1

STSから取得した認証情報は、JWTトークンと異なる（上位レベルの）ものではありません。それらはどちらも一時的なものであり、「ハッカー」が両方のタイプの資格証明を取得する場合、結果は同じになります。通常、一時的な資格情報を使用することの主な利点は、それらが侵害された場合、短期間（通常は1時間）のみ有効であることです。

デバイスに一時クレデンシャルを格納することは別のトピックですが、JWTトークンはSTSセッションクレデンシャルとまったく同じではありません。

私にはリンクがありませんが、デバイス上のアプリケーションにセッションクレデンシャルを保存する上での公開ディスカッションやドキュメントがあります。