Навыки assume-cloudformation-role
📦
assume-cloudformation-role
Ревизия содержимого r1 Критично ⚙️ Внешние команды📁 Доступ к файловой системе🔑 Переменные окружения
Принятие AWS-ролей CloudFormation
Работа с CloudFormation часто требует краткосрочных учетных данных роли перед выполнением изменений стека. Этот навык дает Claude, Codex и Claude Code воспроизводимый рабочий процесс AWS STS для подготовки этих учетных данных.
Поддерживает: Claude Codex Code(CC)
Не устанавливайте этот Skill автоматически.
Каноническая политика требует проверки оператором перед любым действием по установке.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "assume-cloudformation-role" from https://skillstore.io/skills/daisuke897-assume-cloudformation-role.md and its manifest at https://skillstore.io/api/skills/daisuke897-assume-cloudformation-role/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «assume-cloudformation-role». Прими роль записи CloudFormation с профилем по умолчанию.
Ожидаемый результат:
Ассистент показывает команду STS assume-role, объясняет, как извлекаются учетные данные, и напоминает пользователю удалить временные файлы учетных данных.
Использование «assume-cloudformation-role». Подготовь учетные данные перед обновлением my-stack.
Ожидаемый результат:
- Подтверждает профиль AWS и ARN роли.
- Предоставляет последовательность настройки временных учетных данных.
- Предлагает проверить идентичность вызывающего субъекта перед обновлением стека.
Использование «assume-cloudformation-role». Сделай настройку учетных данных безопаснее для общего рабочего компьютера.
Ожидаемый результат:
Ассистент рекомендует уникальный временный файл, ограничительные разрешения, очистку на основе trap и переменные окружения, ограниченные процессом.
Аудит безопасности
Критичноv11 • 09.07.2026 Открыть версионный отчет
The skill intentionally runs AWS CLI and jq commands to assume a CloudFormation write role and export temporary AWS credential variables. Most backtick detections are markdown formatting false positives, but the shell command substitution, environment variable export, shared /tmp credential file, and AWS credential directory references are real security concerns that require safer handling.
1
Просканировано файлов
80
Проанализировано строк
17
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (1)
Критично
AWS credentials directory
- Specified profile (default: `web-hosting`) configured in `~/.aws/credentials` or `~/.aws/config`
The skill references ~/.aws/credentials as a prerequisite, which is a sensitive credential location. It does not read or exfiltrate the file, but marketplace review should fail closed on direct credential-directory references.
Пункты проверки возможностей (17)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Hidden file in home directory
- Specified profile (default: `web-hosting`) configured in `~/.aws/credentials` or `~/.aws/config`
The skill relies on AWS profiles stored under ~/.aws. This is normal AWS CLI usage, but it references sensitive credential configuration in the home directory.
Высокий
Temp directory access
> /tmp/creds.json
The command writes STS credential output to /tmp/creds.json. A predictable shared temporary file can expose credentials or be targeted by symlink attacks on multi-user systems.
Высокий
Temp directory access
export AWS_SECRET_ACCESS_KEY=$(jq -r '.Credentials.SecretAccessKey' /tmp/creds.json)
The command reads the AWS secret access key from /tmp/creds.json. This confirms sensitive credential material is stored in a predictable temporary file.
Высокий
AWS credential environment variables
export AWS_ACCESS_KEY_ID=$(jq -r '.Credentials.AccessKeyId' /tmp/creds.json)
The skill exports AWS_ACCESS_KEY_ID into the shell environment. Environment variables can leak to child processes, shell logs, or debugging output.
Высокий
AWS credential environment variables
export AWS_SECRET_ACCESS_KEY=$(jq -r '.Credentials.SecretAccessKey' /tmp/creds.json)
The skill exports AWS_SECRET_ACCESS_KEY into the shell environment. This is sensitive credential material and creates exposure beyond the immediate AWS command.
Высокий
AWS credential environment variables
export AWS_SESSION_TOKEN=$(jq -r '.Credentials.SessionToken' /tmp/creds.json)
The skill exports AWS_SESSION_TOKEN into the shell environment. The temporary token grants AWS permissions until expiration and can leak to child processes.
Высокий
AWS credential environment variables
- `AWS_ACCESS_KEY_ID`
The output section confirms AWS_ACCESS_KEY_ID is set by the workflow. This is intentional but security relevant credential exposure.
Высокий
AWS credential environment variables
- `AWS_SECRET_ACCESS_KEY`
The output section confirms AWS_SECRET_ACCESS_KEY is set by the workflow. This is intentional but high risk because it exposes a secret in the environment.
Высокий
AWS credential environment variables
- `AWS_SESSION_TOKEN`
The output section confirms AWS_SESSION_TOKEN is set by the workflow. This is intentional but sensitive because it grants temporary AWS access.
Средний
Shell command substitution
export AWS_ACCESS_KEY_ID=$(jq -r '.Credentials.AccessKeyId' /tmp/creds.json)
The example executes jq through shell command substitution to export AWS credentials. It is a legitimate local parsing step but still executes external commands while handling secrets.
Средний
Shell command substitution
export AWS_SECRET_ACCESS_KEY=$(jq -r '.Credentials.SecretAccessKey' /tmp/creds.json)
The example executes jq through shell command substitution to read the secret access key. This is expected for the workflow but increases exposure if shell history, tracing, or process capture is present.
Средний
Shell command substitution
export AWS_SESSION_TOKEN=$(jq -r '.Credentials.SessionToken' /tmp/creds.json)
The example executes jq through shell command substitution to read the session token. This is legitimate but still external command execution over credential material.
Средний
Template literal with command substitution
```bash
The fenced example contains command substitution later in the block. It is documentation rather than code, but the skill instructs users to run the commands, so the pattern is relevant.
Средний
Hidden file access
- Specified profile (default: `web-hosting`) configured in `~/.aws/credentials` or `~/.aws/config`
The skill instructs use of AWS configuration under ~/.aws. This is expected for AWS CLI profile use, but it is still access to sensitive hidden files.
Средний
Temp directory access
export AWS_ACCESS_KEY_ID=$(jq -r '.Credentials.AccessKeyId' /tmp/creds.json)
The command reads AWS access key material from /tmp/creds.json. The temporary file contains secrets and should not use a predictable shared path.
Средний
Temp directory access
export AWS_SESSION_TOKEN=$(jq -r '.Credentials.SessionToken' /tmp/creds.json)
The command reads the AWS session token from /tmp/creds.json. The workflow depends on a temporary file containing active credentials.
Средний
Temp directory access
rm /tmp/creds.json
The example deletes /tmp/creds.json after parsing, which reduces exposure. The predictable file still exists briefly and cleanup may fail if commands abort.
Факторы риска
⚙️ Внешние команды (15)
📁 Доступ к файловой системе (7)
🔑 Переменные окружения (6)
Обнаруженные паттерны
AWS credentials directory
Аудитор:: claude Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/daisuke897-assume-cloudformation-role/audits/11?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/daisuke897-assume-cloudformation-role?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/daisuke897-assume-cloudformation-role?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/daisuke897-assume-cloudformation-role/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/daisuke897-assume-cloudformation-role.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
Daisuke897. (2026). assume-cloudformation-role security audit report (audit version 11) [Author version unspecified]. Skillstore. https://skillstore.io/skills/daisuke897-assume-cloudformation-role/audits/11Цитата BibTeX
@techreport{daisuke897-daisuke897-assume-cloudformation-role-2026,
author = {Daisuke897},
title = {assume-cloudformation-role security audit report (audit version 11)},
institution = {Skillstore},
year = {2026},
number = {11},
url = {https://skillstore.io/skills/daisuke897-assume-cloudformation-role/audits/11},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "assume-cloudformation-role security audit report (audit version 11)"
version: "unspecified"
type: report
authors:
- name: "Daisuke897"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/daisuke897-assume-cloudformation-role/audits/11"
identifiers:
- type: other
value: "skillstore:daisuke897-assume-cloudformation-role:audit:11"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Средний 55
Архитектура
85
Сопровождаемость
87
Контент
70
Сообщество
91
Соответствие спецификации
Что вы можете построить
Подготовка учетных данных для развертывания
Принять роль записи CloudFormation перед созданием или обновлением стека из AWS CLI.
Стандартизация настройки роли
Предоставить команде согласованную последовательность для получения временных учетных данных AWS перед обслуживанием стека.
Выполнение контролируемой очистки стека
Установить временные учетные данные перед удалением известного стека CloudFormation во время обслуживания.
Попробуйте эти промпты
Принять роль по умолчанию
Используй навык assume-cloudformation-role с профилем по умолчанию и именем сеанса роли по умолчанию. Объясняй каждую команду перед тем, как я ее выполню.
Использовать пользовательский профиль AWS
Используй этот навык с моим профилем AWS CLI named staging-admin. Оставь имя сеанса роли по умолчанию, если я не укажу другое.
Подготовиться к обновлению стека
Прими роль CloudFormation, затем помоги мне подтвердить идентичность AWS перед выполнением команды update-stack.
Усилить безопасность рабочего процесса с учетными данными
Адаптируй рабочий процесс assume-role, чтобы избежать предсказуемого файла учетных данных /tmp и ограничить учетные данные одной командой CloudFormation.
Лучшие практики
- Проверяйте учетную запись AWS и идентичность вызывающего субъекта перед выполнением изменений стека.
- Используйте минимальный практически подходящий срок действия учетных данных и очищайте переменные окружения после использования.
- Храните временные файлы учетных данных с ограничительными разрешениями и автоматической очисткой.
Избегать
- Не используйте повторно жестко заданный пример ARN роли без подтверждения целевой учетной записи.
- Не оставляйте AWS_SECRET_ACCESS_KEY или AWS_SESSION_TOKEN экспортированными после завершения задачи.
- Не записывайте активные учетные данные в предсказуемые общие пути в многопользовательских системах.
Часто задаваемые вопросы
Этот навык сам создает или обновляет стеки CloudFormation?
Нет. Он подготавливает учетные данные AWS, чтобы пользователь мог затем запускать команды CloudFormation.
Какие разрешения AWS требуются?
Исходному профилю требуется разрешение sts:AssumeRole для настроенной роли записи CloudFormation.
Как долго действуют временные учетные данные?
Навык отмечает, что временные учетные данные обычно истекают примерно через один час.
Можно ли использовать другой ARN роли?
Да. ARN роли является входным параметром и должен соответствовать вашей учетной записи AWS и политике развертывания.
Безопасно ли это на общем компьютере?
С осторожностью. Документированный пример записывает учетные данные в /tmp, поэтому рекомендуется более безопасная обработка временных файлов.
Требуется ли jq?
Да. Документированный рабочий процесс использует jq для извлечения полей из JSON-ответа AWS STS.
Сведения для разработчиков
Автор
Daisuke897Лицензия
MIT
Ревизия Skillstore
r1
Примечание о версии
Автор не указал версию.
Репозиторий
https://github.com/Daisuke897/dotfiles/tree/main/.github/skills/assume-cloudformation-roleСсылка
7db9b9f06e0ab79c575b58bc48c4d8dc9849f424
Актуальность поддержки
26.07.2026
Использование
6 загрузок · 188 просмотров
Структура файлов
📄 SKILL.md