Vermeidung des Problems des verwirrten Stellvertreters (dienstübergreifend) - AWS DataSync

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Vermeidung des Problems des verwirrten Stellvertreters (dienstübergreifend)

Das Confused-Deputy-Problem ist ein Sicherheitsproblem, bei dem eine Entität, die nicht über die Berechtigung zum Ausführen einer Aktion verfügt, eine Entität mit größeren Rechten zwingen kann, die Aktion auszuführen. In AWS kann der dienstübergreifende Identitätswechsel zu Confused-Deputy-Problem führen. Ein dienstübergreifender Identitätswechsel kann auftreten, wenn ein Dienst (der Anruf-Dienst) einen anderen Dienst anruft (den aufgerufenen Dienst). Der aufrufende Service kann manipuliert werden, um seine Berechtigungen zu verwenden, um Aktionen auf die Ressourcen eines anderen Kunden auszuführen, für die er sonst keine Zugriffsberechtigung haben sollte. Um dies zu verhindern, bietet AWS Tools, mit denen Sie Ihre Daten für alle Services mit Serviceprinzipalen schützen können, die Zugriff auf Ressourcen in Ihrem Konto erhalten haben.

Wir empfehlen die Verwendung der globalen Bedingungskontext-Schlüssel aws:SourceArn und aws:SourceAccount in ressourcenbasierten Richtlinien, um die Berechtigungen, die AWS DataSync einem anderen Service erteilt, auf eine bestimmte Ressource zu beschränken. Wenn Sie beide globale Bedingungskontextschlüssel verwenden und der aws:SourceArn-Wert die Konto-ID enthält, müssen der aws:SourceAccount-Wert und das Konto im aws:SourceArn-Wert dieselbe Konto-ID verwenden, wenn sie in der gleichen Richtlinienanweisung verwendet wird. Verwenden Sie aws:SourceArn, wenn Sie nur eine Ressource mit dem betriebsübergreifenden Zugriff verknüpfen möchten. Verwenden Sie diese Option,aws:SourceAccount wenn Ressourcen in diesem Konto mit der betriebsübergreifenden Verwendung verknüpft werden sollen.

Der Wert vonaws:SourceArn muss den DataSync Standort ARN enthalten, mit DataSync dem die IAM-Rolle übernommen werden darf.

Der effektivste Weg, um sich vor dem Confused-Deuy-Problem zu schützen, ist die Verwendung desaws:SourceArn Schlüssels mit dem vollständigen ARN der Ressource. Wenn Sie den vollständigen ARN nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie Platzhalterzeichen (*) für die unbekannten Teile. Hier finden Sie einige Beispiele für die Art und Weise, wie Sie dies tun können DataSync:

  • Um die Vertrauensrichtlinie auf einen vorhandenen DataSync Standort zu beschränken, fügen Sie den vollständigen Standort-ARN in die Richtlinie ein. DataSync übernimmt die IAM-Rolle nur, wenn es sich um diesen bestimmten Standort handelt.

  • Wenn Sie einen Amazon S3 S3-Standort für erstellen DataSync, kennen Sie den ARN des Standorts nicht. Verwenden Sie in diesen Szenarien das folgende Format für denaws:SourceArn Schlüssel: arn:aws:datasync:us-east-2:123456789012:*. Dieses Format validiert die Partition (aws), die Konto-ID und die Region.

Das folgende vollständige Beispiel zeigt, wie Sie die Kontextschlüssel und globale Bedingungskontextschlüsselaws:SourceArn undaws:SourceAccount globale Bedingungskontextschlüssel in einer Vertrauensrichtlinie verwenden können, um das Confused-Debuty-Problem mit zu verhindern DataSync.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "datasync.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "StringLike": {
                    "aws:SourceArn": "arn:aws:datasync:us-east-2:123456789012:*"
                }
            }
        }
    ]
}

Weitere Beispielrichtlinien, die zeigen, wie Sie die Kontextschlüsselaws:SourceArn und dieaws:SourceAccount globalen Bedingungskontextschlüssel verwenden können DataSync, finden Sie in den folgenden Themen: