기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

교차 서비스 혼동된 대리인 방지

혼동된 대리자 문제는 작업을 수행할 권한이 없는 엔터티가 권한이 더 많은 엔터티에게 작업을 수행하도록 강요할 수 있는 보안 문제입니다. AWS에서는 교차 서비스 가장으로 인해 혼동된 대리자 문제가 발생할 수 있습니다. 교차 서비스 가장은 한 서비스(호출하는 서비스)가 다른 서비스(호출되는 서비스)를 직접적으로 호출할 때 발생할 수 있습니다. 직접적으로 호출하는 서비스는 다른 고객의 리소스에 대해 액세스 권한이 없는 방식으로 작동하게 권한을 사용하도록 조작될 수 있습니다. 이를 방지하기 위해 AWS에서는 계정의 리소스에 대한 액세스 권한이 부여된 서비스 보안 주체를 사용하여 모든 서비스에 대한 데이터를 보호하는 데 도움이 되는 도구를 제공합니다.

aws:SourceArn이 리소스에 다른 서비스를 제공하는 권한을 제한하려면 리소스 정책에서 aws:SourceAccount 및 AWS Database Migration Service 글로벌 조건 컨텍스트 키를 사용하는 것이 좋습니다. 만약 aws:SourceArn 값에 AWS DMS 복제 인스턴스 이름(ARN)과 같은 계정 ID가 포함되어 있지 않은 경우 권한을 제한하려면 두 전역 조건 컨텍스트 키를 모두 사용해야 합니다. 두 전역 조건 컨텍스트 키와 계정을 포함한 aws:SourceArn 값을 모두 사용하는 경우, aws:SourceAccount 값 및 aws:SourceArn 값의 계정은 동일한 정책 명령문에서 사용할 경우 반드시 동일한 계정 ID를 사용해야 합니다. 하나의 리소스만 교차 서비스 액세스와 연결되도록 허용하려는 경우 aws:SourceArn를 사용하십시오. 해당 계정의 모든 리소스가 교차 서비스 사용과 연결되도록 허용하려는 경우 aws:SourceAccount을(를) 사용합니다.

AWS DMS는 3.4.7 버전 이상부터 혼동된 대리자 옵션을 지원합니다. 자세한 내용은 AWS Database Migration Service 3.4.7 릴리스 정보 단원을 참조하십시오. 복제 인스턴스가 AWS DMS 버전 3.4.6 이하를 사용하는 경우 혼동된 대리자 옵션을 설정하기 전에 최신 버전으로 업그레이드해야 합니다.

혼동된 대리인 문제로부터 보호하는 가장 효과적인 방법은 리소스의 전체 ARN이 포함된 aws:SourceArn 글로벌 조건 컨텍스트 키를 사용하는 것입니다. 리소스의 전체 ARN을 모르거나 여러 리소스를 지정하는 경우, ARN의 알 수 없는 부분에 대해 와일드카드 문자(*)를 포함한 aws:SourceArn 글로벌 조건 컨텍스트 키를 사용합니다. 예: arn:aws:dms:*:123456789012:rep:*.

교차 서비스 혼동된 대리자 방지를 위해 AWS DMS API와 함께 사용할 IAM 역할

데이터베이스 마이그레이션에 AWS CLI 또는 AWS DMS API를 사용하려면 AWS 계정에 dms-vpc-role 및 dms-cloudwatch-logs-role IAM 역할을 추가해야만 AWS DMS의 기능을 사용할 수 있습니다. 자세한 내용은 에 사용할 IAM 역할 생성 AWS DMS 단원을 참조하십시오.

다음 예는 my-replication-instance 복제 인스턴스에서 dms-vpc-role 역할을 사용하기 위한 정책을 보여줍니다. 혼동된 대리자 문제를 방지하려면 이들 정책을 사용하세요.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "your_account_id"
                },
                "ArnEqual": {
                    "AWS:SourceArn": "arn:aws:dms:your_region:your_account_id:rep:my-replication-instance"
                }
            }
        }
    ]
}

교차 서비스 혼동된 대리자 방지를 위해 Amazon S3에 사전 평가를 저장하기 위한 IAM 정책

사전 평가 결과를 S3 버킷에 저장하려면 AWS DMS가 Amazon S3의 객체를 관리하도록 허용하는 IAM 정책을 생성합니다. 자세한 내용은 IAM 리소스 생성 단원을 참조하십시오.

다음 예는 AWS DMS가 지정된 사용자 계정의 모든 태스크 및 평가 실행에 액세스하도록 허용하는 IAM 역할에 설정된 혼동된 대리자 조건이 포함된 신뢰 정책을 보여줍니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "your_account_id"
                },
                "ArnLike": {
                    "AWS:SourceArn": [
                        "arn:aws:dms:your_region:your_account_id:assessment-run:*",
                        "arn:aws:dms:region:your_account_id:task:*"
                    ]
                }
            }
        }
    ]
}

교차 서비스 혼동된 대리자 방지를 위해 AWS DMS에서 Amazon DynamoDB를 대상 엔드포인트로 사용

Amazon DynamoDB를 데이터베이스 마이그레이션의 대상 엔드포인트로 사용하려면 AWS DMS가 DynamoDB 테이블에 대한 액세스 권한을 수임하고 부여할 수 있는 IAM 역할을 생성해야 합니다. 그런 다음 이 역할을 사용하여 AWS DMS에서 대상 DynamoDB 엔드포인트를 생성합니다. 자세한 내용은 대상으로 Amazon DynamoDB 사용 단원을 참조하십시오.

다음 예에서는 모든 AWS DMS 엔드포인트가 DynamoDB 테이블에 액세스하도록 허용하는 IAM 역할에 설정된 혼동된 대리자 조건이 포함된 신뢰 정책을 보여줍니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "your_account_id"
                },
                "ArnLike": {
                    "AWS:SourceArn": "arn:aws:dms:your_region:your_account_id:endpoint:*"
                }
            }
        }
    ]
}