Prevenção do problema do substituto confuso entre serviços - AWS DataSync

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Prevenção do problema do substituto confuso entre serviços

O problema de "confused deputy" é uma questão de segurança em que uma entidade que não tem permissão para executar uma ação pode coagir uma entidade mais privilegiada a executá-la. Em AWS, a personificação entre serviços pode resultar no problema do ‘confused deputy’. A personificação entre serviços pode ocorrer quando um serviço (o serviço de chamada) chama outro serviço (o serviço chamado). O serviço de chamada pode ser manipulado de modo a usar suas permissões para atuar nos recursos de outro cliente de uma forma na qual ele não deveria ter permissão para acessar. Para evitar isso, a AWS fornece ferramentas que ajudam você a proteger seus dados para todos os serviços com entidades principais de serviço que receberam acesso aos recursos em sua conta.

Recomendamos o uso das chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em políticas de recursos para limitar as AWS DataSyncpermissões que o concede a outro serviço no recurso para o recurso. Se você utilizar ambas as chaves de contexto de condição global, e o valor aws:SourceArn contiver o ID da conta, o valor aws:SourceAccount e a conta no valor aws:SourceArn deverão utilizar o mesmo ID de conta quando utilizados na mesma declaração da política. Use aws:SourceArn se quiser que apenas um recurso seja associado ao acesso entre serviços. Useaws:SourceAccount se quiser que qualquer recurso nessa conta seja associado ao uso entre serviços.

O valor deaws:SourceArn deve incluir o ARN de DataSync localização com o qual DataSync é permitido assumir a função do IAM.

A maneira mais eficaz de se proteger contra o problema do substituto confuso é usar aaws:SourceArn chave com o ARN completo do recurso. Se você não souber o ARN completo ou se estiver especificando vários recursos, use caracteres curingas (*) para as partes desconhecidas. Veja a seguir alguns exemplos de como fazer isso para DataSync:

  • Para limitar a política de confiança a um DataSync local existente, inclua o ARN completo da localização na política. DataSync assumirá a função do IAM somente ao lidar com esse local específico.

  • Ao criar um local do Amazon S3 para DataSync, você não sabe o ARN do local. Nesses cenários, use o seguinte formato para aaws:SourceArn chave: arn:aws:datasync:us-east-2:123456789012:*. Esse formato valida a partição (aws), o ID da conta e a região.

O exemplo completo a seguir mostra como é possível usar as chavesaws:SourceArn de contexto de condiçãoaws:SourceAccount global em uma política de confiança para evitar o problema do substituto confuso com DataSync.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "datasync.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "StringLike": {
                    "aws:SourceArn": "arn:aws:datasync:us-east-2:123456789012:*"
                }
            }
        }
    ]
}

Para obter mais exemplos de políticas que mostram como você pode usar as chaves de contexto de condiçãoaws:SourceAccount globalaws:SourceArn e com DataSync, consulte os tópicos a seguir: