Amazon AppStream 2.0 クロスサービス混乱代理防止

混乱した代理問題とは、アクションを実行する許可を持たないエンティティが、より高い特権を持つエンティティにそのアクションの実行を強制するというセキュリティ問題です。 AWSでは、サービス間でのなりすましにより、混乱した代理問題に対してアカウントリソースが脆弱になることがあります。サービス間でのなりすましは、1 つのサービス (呼び出し元サービス) が、別のサービス (呼び出されたサービス) を呼び出すときに発生します。呼び出し元サービスが呼び出されたサービスを操作し、そのアクセス許可を使用して、呼び出し元サービスが自身で実行するアクセス許可を持っていない方法で、顧客のリソースに対して処理を実行する可能性があります。これを防ぐために、 は、アカウント内のリソースにアクセスできるサービスプリンシパルを持つすべてのサービスのデータを保護するのに役立つツール AWS を提供します。

リソースポリシーで aws:SourceArn および aws:SourceAccount のグローバル条件コンテキストキーを使用して、それらのリソースにアクセスするときにアクセス許可を制限することをお勧めします。以下のガイドラインでは、これらのキーを使用してリソースを保護する場合の推奨事項と要件を詳しく説明しています。

混乱した代理問題から保護する最も効果的な方法は、許可するリソースの正確な Amazon リソースネーム (ARN) を使用することです。リソースARNの完全版がわからない場合は、 の未知の部分にワイルドカード ( など*) を含むaws:SourceArnグローバルコンテキスト条件キーを使用しますARN。複数のリソースを指定するARN場合は、 でワイルドカードを使用することもできます。例えば、 を ARNとしてフォーマットできますarn:aws:servicename::region-name::your AWS アカウント ID:*。