Stratus Red Team 项目中的AWS SSO配置问题解析

背景介绍

Stratus Red Team是一个用于模拟红队攻击技术的开源项目，它使用Terraform作为基础设施编排工具。在最新版本中，用户报告了与AWS SSO(Single Sign-On)配置相关的问题，导致无法正常执行攻击模拟。

问题现象

当用户尝试执行stratus detonate命令时，系统会抛出错误信息："profile 'my-dev' is configured to use SSO but is missing required configuration: sso_region, sso_start_url"。这个问题主要出现在使用新版AWS CLI配置SSO的情况下。

技术分析

根本原因

该问题的根源在于AWS SSO配置格式的变更。新版AWS CLI(2.x版本)引入了新的SSO配置方式，使用独立的sso-session区块来存储SSO相关配置，而旧版Terraform AWS Provider无法正确解析这种新格式。

具体来说，新格式的AWS配置文件中包含：

[profile my-dev]
sso_session = my-dev
[sso-session my-dev]
sso_start_url = https://xxx
sso_region = us-east-1

而旧版Terraform AWS Provider期望所有SSO配置都直接位于profile区块下。

影响范围

这一问题影响了所有使用新版AWS CLI配置SSO的用户，特别是：

1. 使用AWS CLI 2.x版本配置SSO的用户
2. 在macOS和Linux系统上执行操作的用户
3. 尝试执行需要AWS凭证的攻击模拟场景时

解决方案

项目维护者通过以下方式解决了该问题：

1. 升级Terraform AWS Provider版本：将AWS Provider版本升级至4.54.0或更高，这些版本已支持新的SSO配置格式。

2. 保持Terraform核心版本稳定：为避免引入不必要的变化，项目决定不升级Terraform核心版本(保持1.1.2)，仅升级Provider。

3. 修复VPC模块版本约束：在后续版本中发现相关VPC模块的版本约束存在问题，及时修复了模块版本限制。

用户操作指南

对于遇到此问题的用户，建议采取以下步骤：

1. 确保使用最新版本的Stratus Red Team(v2.23.1或更高)
2. 确认AWS CLI已正确配置SSO：

   aws sso login --profile my-dev
   

3. 设置必要的环境变量：

   export AWS_PROFILE=my-dev
   export AWS_REGION=us-east-1
   

技术深度解析

AWS SSO配置演进

AWS SSO的配置方式经历了多次演进：

1. 最初：直接在profile中配置SSO参数
2. 中期：引入credential_process方式
3. 最新：使用独立的sso-session区块

这种演进提高了配置的灵活性和安全性，但也带来了兼容性挑战。

Terraform的兼容性处理

Terraform通过Provider机制处理不同云平台的API变化。在这个案例中，AWS Provider需要适应AWS SSO配置格式的变化，而Terraform核心则保持稳定以确保其他功能的可靠性。

总结

Stratus Red Team项目通过及时更新依赖组件，解决了AWS SSO新配置格式带来的兼容性问题。这一案例展示了开源项目如何快速响应基础设施变化，确保用户体验的连贯性。对于安全研究人员和红队成员来说，保持工具链的更新是确保工作顺利进行的重要前提。