Prevenzione del problema "confused deputy" tra servizi - AWS DataSync

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Prevenzione del problema "confused deputy" tra servizi

Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire una certa operazione può costringere un'entità con più privilegi a eseguire tale operazione. In AWS, la rappresentazione cross-service può comportare il problema confused deputy. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l'accesso alle risorse del tuo account.

Ti consigliamo di utilizzare le chiavi di contesto delle condizioni globali aws:SourceArn e aws:SourceAccount nelle policy delle risorse per limitare le autorizzazioni con cui AWS DataSync fornisce un altro servizio alla risorsa. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali e il valore aws:SourceArn contiene l'ID account, il valore aws:SourceAccount e l'account nel valore aws:SourceArn deve utilizzare lo stesso ID account nella stessa dichiarazione di policy. Utilizzare aws:SourceArn se si desidera consentire l'associazione di una sola risorsa all'accesso tra servizi. Utilizzareaws:SourceAccount se si desidera consentire l'associazione di qualsiasi risorsa in tale account all'uso tra servizi.

Il valore diaws:SourceArn deve includere la DataSync posizione ARN con cui DataSync è consentito assumere il ruolo IAM.

Il modo più efficace per proteggersi dal problema «confused deputy» è quello di usare laaws:SourceArn chiave con l'ARN completo della risorsa. Se non conosci l'ARN completo o scegli più risorse, utilizza caratteri jolly (*) per le parti sconosciute. Di seguito sono riportate alcuni esempi di come farlo per DataSync:

  • Per limitare la politica di fiducia a una DataSync sede esistente, includi l'ARN completo della posizione nella policy. DataSync assumerà il ruolo IAM solo quando si ha a che fare con quella particolare località.

  • Quando crei una sede Amazon S3 per DataSync, non conosci l'ARN della posizione. In questi scenari, utilizzate il seguente formato per laaws:SourceArn chiave: arn:aws:datasync:us-east-2:123456789012:*. Questo formato convalida la partizione (aws), l'ID dell'account e la regione.

L'esempio seguente mostra il modo in cui puoi utilizzareaws:SourceArn le chiavi di contesto delle condizioniaws:SourceAccount globali in una policy di affidabilità per prevenire il problema «confused deputy DataSync».

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "datasync.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "StringLike": {
                    "aws:SourceArn": "arn:aws:datasync:us-east-2:123456789012:*"
                }
            }
        }
    ]
}

Per altri esempi di policy che mostrano come utilizzare le chiavi di contesto delle condizioniaws:SourceAccount globaliaws:SourceArn e globali con DataSync, consulta i seguenti argomenti: