Cross-service prevenzione sostitutiva confusa

Il problema confused deputy è un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire un’azione può costringere un’entità maggiormente privilegiata a eseguire l’azione. Nel AWS, l'impersonificazione tra servizi può portare al confuso problema del vice. Cross-servicel'imitazione può avvenire quando un servizio (il servizio chiamante) chiama un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare che ciò accada, AWS fornisce strumenti che consentono di proteggere i dati per tutti i servizi ai quali è stato concesso l'accesso alle risorse del proprio account.

Ti consigliamo di utilizzare aws:SourceArn le chiavi di contesto della condizione aws:SourceAccount globale nelle policy relative alle risorse per limitare le autorizzazioni che AWS Backup forniscono un altro servizio alla risorsa. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, il valore aws:SourceAccount e l'account nel valore aws:SourceArn devono utilizzare lo stesso ID account nella stessa istruzione di policy.

Il valore di aws:SourceArn must be a AWS Backup vault quando lo usi AWS Backup per pubblicare argomenti Amazon SNS per tuo conto.

Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l’ARN completo della risorsa. Se non si conosce l’ARN completo della risorsa o si scelgono più risorse, è necessario utilizzare la chiave di contesto della condizione globale aws:SourceArn con caratteri jolly (*) per le parti sconosciute dell’ARN. Ad esempio, arn:aws::servicename::123456789012:*.

L'esempio seguente mostra come utilizzare le chiavi di contesto aws:SourceArn e aws:SourceAccount Global Condition Condition AWS Backup per prevenire il confuso problema dei sostituti. Aggiungete la seguente dichiarazione alla vostra policy chiave KMS per impedire al responsabile del servizio di eseguire azioni KMS backup-storage.amazonaws.com a meno che la richiesta non provenga dai depositi e dall'account di backup specificati:

{
  "Sid": "Deny Backup Storage confused deputy",
  "Effect": "Deny",
  "Principal": {
    "Service": "backup-storage.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:RetireGrant",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "aws:SourceAccount": "123456789012"
    },
    "ArnNotLike": {
      "aws:SourceArn": "arn:aws::backup:us-east-1:123456789012:backup-vault:*"
    }
  }
}

Sostituisci us-east-1 con il tuo Regione AWS e con l'ID del tuo account. 123456789012 AWS Questa politica impedisce al responsabile del servizio AWS Backup di archiviazione di utilizzare la chiave KMS a meno che la richiesta non provenga da un archivio di backup nell'account e nella regione specificati.