Un IAM execution role è l'identità AWS che un'applicazione, un servizio o un carico di lavoro assume per accedere alle risorse e chiamare le API. Invece di incorporare chiavi statiche, il runtime riceve autorizzazioni temporanee collegate a quel ruolo. Queste autorizzazioni definiscono cosa può fare il codice: leggere archiviazione, invocare servizi, scrivere log o raggiungere altre risorse cloud.
Questo è importante perché il ruolo diventa parte della superficie di attacco. Se un aggressore può influenzare il carico di lavoro, sfruttare una configurazione errata o abusare dell'accesso ai metadati, potrebbe usare le credenziali temporanee del ruolo per agire con i privilegi del carico di lavoro. Nelle difese cloud, i controlli principali sono il principio del privilegio minimo, credenziali a breve durata, policy di trust restrittive e una chiara separazione tra input dell'utente e azioni cloud. Nei sistemi agentici, un execution role troppo ampio può trasformare un piccolo compromesso in un incidente cloud più esteso.