Un ruolo di esecuzione è l'identità cloud assegnata a un runtime, come un container, una funzione serverless o un agente AI gestito, in modo che possa chiamare servizi e accedere a risorse. Invece di usare un accesso umano, il workload riceve credenziali temporanee collegate a quel ruolo. Quelle credenziali definiscono ciò che il runtime può leggere, scrivere, avviare, eliminare o delegare.
I ruoli di esecuzione sono importanti perché rappresentano un importante confine di fiducia nella sicurezza cloud. Se il ruolo ha privilegi eccessivi, un singolo workload compromesso può raggiungere bucket di archiviazione, database, code, segreti o API di gestione. Gli aggressori spesso cercano di abusarne sfruttando l'esecuzione di codice, il prompt injection o l'accesso alle credenziali dei metadati all'interno del runtime. I difensori riducono il rischio applicando il principio del privilegio minimo, separando i ruoli per attività, limitando i percorsi di accesso alle credenziali e monitorando l'uso dei ruoli per individuare chiamate insolite.