Amazon AppStream 2.0 Cross-Service Confused Deputy Prevention - Amazon AppStream 2.0

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Amazon AppStream 2.0 Cross-Service Confused Deputy Prevention

O problema de “confused deputy” é um problema de segurança em que uma entidade que não tem permissão para executar uma ação coage outra entidade mais privilegiada a executar a ação. Na AWS, a personificação entre serviços pode deixar os recursos da conta vulneráveis ao problema de “confused deputy”. A personificação entre serviços ocorre quando um serviço (o serviço de chamada) chama outro serviço (o serviço chamado). O serviço de chamada pode manipular o serviço chamado para que ele use as respectivas permissões com o objetivo de acessar os recursos do cliente de uma forma na qual o serviço de chamada não tem permissão para atuar sozinho. Para evitar isso, AWS fornece ferramentas que ajudam você a proteger seus dados para todos os serviços com diretores de serviços que têm acesso aos recursos em sua conta.

Recomendamos o uso das chaves globais de contexto de condição aws:SourceArn e aws:SourceAccount em políticas de recursos para limitar as permissões ao acessar esses recursos. As diretrizes a seguir detalham as recomendações e os requisitos ao usar essas chaves para proteger recursos:

  • Use aws:SourceArn se quiser apenas um recurso associado ao acesso entre serviços.

  • Use aws:SourceAccount se quiser permitir que todos os recursos na conta especificada sejam associados ao uso entre serviços.

  • Se a chave aws:SourceArn não contiver um ID de conta, você deverá usar ambas as chaves globais de contexto de condição (aws:SourceArn e aws:SourceAccount) para limitar as permissões.

  • Se você utilizar ambas as chaves globais de contexto de condição e o valor aws:SourceArn contiver um ID de conta, a chave aws:SourceAccount deverá usar o mesmo ID de conta quando usada na mesma instrução de política.

A maneira mais eficaz de se proteger contra o confuso problema do deputado é usar o nome exato do recurso Amazon (ARN) do recurso que você deseja permitir. Se você não souber a totalidade ARN do recurso, use a chave de condição de contexto aws:SourceArn global com curingas (como*) para as partes desconhecidas doARN. Você também pode usar um caractere curinga no ARN se quiser especificar vários recursos. Por exemplo, você pode formatar ARN o anúncioarn:aws:servicename::region-name::your Conta da AWS ID:*.

Tópicos