기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
Amazon AppStream 2.0 교차 서비스 혼동된 대리자 방지
혼동된 대리자 문제는 작업을 수행할 권한이 없는 엔터티가 권한이 더 많은 엔터티에게 작업을 수행하도록 강요하는 보안 문제입니다. AWS에서는 교차 서비스 가장으로 인해 계정 리소스가 혼동된 대리자 문제에 취약할 수 있습니다. 교차 서비스 가장은 한 서비스(직접적으로 호출하는 서비스)가 다른 서비스(직접적으로 호출되는 서비스)를 직접적으로 호출할 때 발생합니다. 호출하는 서비스는 호출된 서비스가 권한을 사용하여 고객의 리소스에서 호출하는 서비스가 직접 수행할 권한이 없는 방식으로 작동하도록 조작할 수 있습니다. 이를 방지하기 위해는 계정의 리소스에 액세스할 수 있는 서비스 보안 주체가 있는 모든 서비스에 대한 데이터를 보호하는 데 도움이 되는 도구를 AWS 제공합니다.
이러한 리소스에 액세스할 때 권한을 제한하려면 리소스 정책에서 aws:SourceArn 및 aws:SourceAccount 전역 조건 컨텍스트 키를 사용하는 것이 좋습니다. 다음 지침에는 이러한 키를 사용하여 리소스를 보호할 때의 권장 사항 및 요구 사항이 자세히 설명되어 있습니다.
-
하나의 리소스만 교차 서비스 액세스와 연결하려는 경우
aws:SourceArn을 사용합니다. -
지정된 계정의 모든 리소스가 교차 서비스 사용과 연결되게 하려는 경우
aws:SourceAccount를 사용합니다. -
만약
aws:SourceArn키에 계정 ID가 포함되어 있지 않은 경우 권한을 제한하려면 두 전역 조건 컨텍스트 키(aws:SourceArn및aws:SourceAccount)를 모두 사용해야 합니다. -
두 전역 조건 컨텍스트 키를 사용하고
aws:SourceArn값에 계정 ID가 포함된 경우 동일한 정책 문에서 사용할 경우aws:SourceAccount키는 동일한 계정 ID를 사용해야 합니다.
혼동된 대리자 문제로부터 보호하는 가장 효과적인 방법은 허용하려는 리소스와 동일한 Amazon 리소스 이름(ARN)을 사용하는 것입니다. 리소스의 전체 ARN을 모를 경우 ARN의 알 수 없는 부분에 대해 와일드카드(예: *)를 포함한 aws:SourceArn 전역 조건 컨텍스트 키를 사용합니다. 여러 리소스를 지정하려는 경우 ARN에서 와일드카드를 사용할 수도 있습니다. 예를 들어 ARN의 형식을 arn:aws:와 같이 지정할 수 있습니다.servicename::region-name::your AWS 계정 ID:*
주제
