Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Prevenzione del confused deputy tra servizi
Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire una certa operazione può costringere un'entità con più privilegi a eseguire tale operazione. Nel frattempo, l'impersonificazione tra servizi può portare al confuso problema del AWS vicesceriffo. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l'accesso alle risorse del tuo account.
Si consiglia di utilizzare aws:SourceArn
le chiavi di contesto della condizione aws:SourceAccount
globale nelle politiche delle risorse per limitare le autorizzazioni alla risorsa che le funzionalità di AWS Cost Management possono fornire a un altro servizio. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, il valore aws:SourceAccount
e l'account nel valore aws:SourceArn
devono utilizzare lo stesso ID account nella stessa istruzione di policy.
Il modo più efficace per proteggersi dal confuso problema del vicesceriffo consiste nell'utilizzare la chiave di contesto ARN della condizione aws:SourceArn
globale con l'intera risorsa. Se non conosci la dimensione completa ARN della risorsa o se stai specificando più risorse, usa la chiave aws:SourceArn
global context condition con wildcards (*
) per le parti sconosciute di. ARN Ad esempio arn:aws:
. Per AWS Budgets, il valore di servicename
::123456789012
:*aws:SourceArn
deve essere. arn:aws:budgets::
123456789012
:budget/*
L'esempio seguente mostra come utilizzare le chiavi di contesto aws:SourceArn
e di condizione aws:SourceAccount
globale in AWS Budgets per evitare il confuso problema dei vicedirettori.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "budgets.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:budgets::123456789012:budget/*" }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } ] }