Managed Identity abuse (Azure)
VM/Function/App Service con Managed Identity (MI) puede pedir token al endpoint http://169.254.169.254/metadata/identity/oauth2/token con header Metadata: true.
Categoría: Cloud (AWS · Azure · GCP) 🎯 Trinchera — VM/Function/App Service con Managed Identity (MI) puede pedir token al endpointhttp://169.254.169.254/metadata/identity/oauth2/token con header
Metadata: true. Sin secret hardcoded — pero si la MI tiene
Contributor sobre la subscription, lateral total.
🔗 Kill chain — Comprometes la VM → request al IMDS →
token Graph/ARM → enumerar y escalar.
📡 Huella defensiva — Token requests anómalos desde recursos
no-admin; audit log Entra; Defender for Cloud alertas.
⚠️ Falso amigo — System-assigned MI tiene endpoint distinto
(169.254.169.254) que User-assigned (variable IDENTITY_ENDPOINT).
🛡️ Remediación — Principle of Least Privilege en MIs;
nunca asignar Contributor cuando basta Reader + role custom.
← Volver al glosario completo Última actualización: 2026-06-11