Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Rekomendasi keamanan multi-penyewa
Untuk membantu membuat aplikasi Anda lebih aman, kami merekomendasikan hal berikut:
-
Validasi penyewaan di aplikasi Anda dengan Izin Terverifikasi Amazon. Buat kebijakan yang memeriksa kumpulan pengguna, klien aplikasi, grup, atau hak atribut khusus sebelum Anda mengizinkan permintaan pengguna dalam aplikasi Anda. AWS membuat sumber identitas Izin Terverifikasi dengan mempertimbangkan kumpulan pengguna Amazon Cognito. Izin Terverifikasi memiliki panduan tambahan untuk manajemen multi-tenancy.
-
Gunakan hanya alamat email terverifikasi untuk mengotorisasi akses pengguna ke penyewa berdasarkan kecocokan domain. Jangan percaya alamat email dan nomor telepon kecuali aplikasi Anda memverifikasinya, atau iDP eksternal memberikan bukti verifikasi. Untuk detail lebih lanjut tentang pengaturan izin ini, lihat Izin dan Cakupan Atribut.
-
Gunakan atribut kustom yang tidak dapat diubah, atau hanya-baca, untuk atribut profil pengguna yang mengidentifikasi penyewa. Anda hanya dapat menetapkan nilai atribut yang tidak dapat diubah saat membuat pengguna atau pengguna mendaftar di kumpulan pengguna Anda. Selain itu, berikan akses hanya-baca kepada klien aplikasi ke atribut.
-
Gunakan pemetaan 1:1 antara IDP eksternal penyewa dan klien aplikasi untuk mencegah akses penyewa silang yang tidak sah. Pengguna yang telah diautentikasi oleh iDP eksternal, dan yang memiliki cookie sesi Amazon Cognito yang valid, dapat mengakses aplikasi penyewa lain yang mempercayai IDP yang sama.
-
Saat Anda menerapkan logika pencocokan penyewa dan otorisasi dalam aplikasi Anda, batasi pengguna sehingga mereka tidak dapat mengubah kriteria yang mengotorisasi akses pengguna ke penyewa. Juga, jika iDP eksternal digunakan untuk federasi, batasi administrator penyedia identitas penyewa sehingga mereka tidak dapat mengubah akses pengguna.
