Amazon AppStream 2.0 Cross-Service Confused Deputy Prevention - Amazon AppStream 2.0

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Amazon AppStream 2.0 Cross-Service Confused Deputy Prevention

Das Problem des verwirrten Stellvertreters ist ein Sicherheitsproblem, bei dem eine Entität, die keine Berechtigung zur Durchführung einer Aktion hat, eine privilegiertere Entität zur Durchführung der Aktion zwingen kann. In AWS kann der serviceübergreifende Identitätswechsel dazu führen, dass Kontoressourcen aufgrund des Problems des verwirrten Stellvertreters angreifbar werden. Ein serviceübergreifender Identitätswechsel tritt auf, wenn ein Service (der Aufruf-Service) einen anderen Service aufruft (den aufgerufenen Service). Der aufrufende Service kann den aufgerufenen Service so manipulieren, dass er seine Berechtigungen verwendet, um Aktionen auf die Ressourcen eines Kunden auszuführen, für die der aufrufende Service keine Berechtigung hat. Um dies zu verhindern, AWS bietet es Tools, mit denen Sie Ihre Daten für alle Dienste schützen können, deren Service Principals Zugriff auf Ressourcen in Ihrem Konto haben.

Wir empfehlen die Verwendung der globalen Bedingungskontext-Schlüssel aws:SourceArn und aws:SourceAccount in ressourcenbasierten Richtlinien, um die Berechtigungen beim Zugriff auf eine bestimmte Ressource zu beschränken. In den folgenden Richtlinien werden die Empfehlungen und Anforderungen für die Verwendung dieser Schlüssel zum Schutz Ihrer Ressourcen detailliert beschrieben:

  • Verwenden Sie aws:SourceArn, wenn Sie nur eine Ressource mit dem serviceübergreifenden Zugriff verknüpfen möchten.

  • Wenn Sie zulassen möchten, dass Ressourcen im angegebenen Konto mit der serviceübergreifenden Verwendung verknüpft werden, verwenden Sie aws:SourceAccount.

  • Wenn der aws:SourceArn-Schlüssel keine Konto-ID enthält, müssen Sie beide globalen Bedingungskontext-Schlüssel (aws:SourceArn und aws:SourceAccount) verwenden, um Berechtigungen einzuschränken.

  • Wenn Sie beide globalen Bedingungskontextschlüssel verwenden und der aws:SourceArn-Wert eine Konto-ID enthält, muss der aws:SourceAccount-Schlüssel dieselbe Konto-ID verwenden, wenn sie in derselben Richtlinienanweisung verwendet werden.

Der effektivste Weg, sich vor dem Problem des verwirrten Stellvertreters zu schützen, besteht darin, den exakten Amazon-Ressourcennamen (ARN) der Ressource zu verwenden, die Sie zulassen möchten. Wenn Sie die Ressource nicht vollständig ARN kennen, verwenden Sie den aws:SourceArn globalen Kontextbedingungsschlüssel mit Platzhaltern (z. B.*) für die unbekannten Teile von. ARN Sie können auch einen Platzhalter in der verwenden, ARN wenn Sie mehrere Ressourcen angeben möchten. Sie können den Wert beispielsweise ARN als arn:aws:servicename::region-name::your AWS-Konto ID:* formatieren.

Themen