Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Pencegahan wakil bingung lintas layanan
DalamAWS, peniruan lintas layanan dapat terjadi ketika satu layanan (layanan panggilan) memanggil layanan lain (disebut layanan). Layanan panggilan dapat dimanipulasi untuk bertindak pada sumber daya pelanggan lain meskipun seharusnya tidak memiliki izin yang tepat, sehingga masalah wakil bingung.
Untuk mencegah hal ini,AWSmenyediakan alat yang membantu Anda melindungi data Anda untuk semua layanan dengan prinsip-prinsip layanan yang telah diberikan akses ke sumber daya di akun Anda.
Sebaiknya gunakanaws:SourceArn
danaws:SourceAccount
kunci konteks kondisi global dalam kebijakan sumber daya untuk membatasi izin yang diberikan Amazon Rekognition layanan lain ke sumber daya.
Jika nilaiaws:SourceArn
tidak berisi ID akun, seperti ARN bucket Amazon S3, Anda harus menggunakan kedua kunci untuk membatasi izin. Jika Anda menggunakan kedua tombol danaws:SourceArn
nilai berisi ID akun,aws:SourceAccount
nilai dan akun diaws:SourceArn
nilai harus menggunakan ID akun yang sama ketika digunakan dalam pernyataan kebijakan yang sama.
Gunakanaws:SourceArn
jika Anda ingin hanya satu sumber daya yang terkait dengan akses lintas layanan. Gunakanaws:SourceAccount
jika Anda ingin mengizinkan sumber daya apa pun di akun itu dikaitkan dengan penggunaan lintas-layanan.
Nilaiaws:SourceArn
harus ARN sumber daya yang digunakan oleh Rekognition, yang ditentukan dengan format berikut:arn:aws:rekognition:region:account:resource
.
Nilaiarn:User ARN
harus ARN pengguna yang akan memanggil operasi analisis video (pengguna yang mengasumsikan peran).
Pendekatan yang disarankan untuk masalah wakil yang bingung adalah dengan menggunakanaws:SourceArn
kunci konteks kondisi global dengan ARN sumber daya penuh.
Jika Anda tidak mengetahui ARN lengkap sumber daya atau jika Anda menentukan beberapa sumber daya, gunakanaws:SourceArn
kunci dengan karakter wildcard (*
) untuk bagian ARN yang tidak diketahui. Sebagai contoh, arn:aws:
. rekognition
:*:111122223333:*
Untuk melindungi terhadap masalah wakil yang bingung, lakukan langkah-langkah berikut:
-
Di panel navigasi konsol IAM pilihPeranpilihan. Konsol akan menampilkan peran untuk akun Anda saat ini.
-
Pilih nama peran yang ingin Anda modifikasi. Peran yang Anda modifikasi harus memilikiAmazonRekognitionServiceRolekebijakan perizinan. PilihHubungan kepercayaantab.
-
PilihMengedit kebijakan kepercayaan.
-
PadaMengedit kebijakan kepercayaanhalaman, ganti kebijakan JSON default dengan kebijakan yang menggunakan salah satu atau kedua
aws:SourceArn
danaws:SourceAccount
kunci konteks kondisi global. Lihat contoh kebijakan berikut. -
Pilih Buat Kebijakan.
Contoh berikut adalah kebijakan kepercayaan yang menunjukkan bagaimana Anda dapat menggunakanaws:SourceArn
danaws:SourceAccount
kunci konteks kondisi global di Amazon Rekognition untuk mencegah masalah wakil yang membingungkan.
Jika Anda bekerja disimpan dan streaming video, Anda dapat menggunakan kebijakan seperti berikut dalam peran IAM Anda:
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Principal":{ "Service":"rekognition.amazonaws.com", "AWS":"arn:User ARN" }, "Action":"sts:AssumeRole", "Condition":{ "StringEquals":{ "aws:SourceAccount":"Account ID" }, "StringLike":{ "aws:SourceArn":"arn:aws:rekognition:region:111122223333:streamprocessor/*" } } } ] }
Jika Anda bekerja secara eksklusif dengan video yang disimpan, Anda dapat menggunakan kebijakan seperti berikut dalam peran IAM Anda (perhatikan bahwa Anda tidak harus menyertakanStringLike
argumen yang menentukanstreamprocessor
):
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Principal":{ "Service":"rekognition.amazonaws.com", "AWS":"arn:User ARN" }, "Action":"sts:AssumeRole", "Condition":{ "StringEquals":{ "aws:SourceAccount":"Account ID" } } } ] }