Prevenção contra representante confuso

O problema confuso do deputado ocorre quando uma entidade que não tem permissão para realizar uma ação pode coagir uma entidade mais privilegiada a realizar a ação. AWS fornece ferramentas que ajudam você a proteger sua conta se você fornecer terceiros (chamados de contas cruzadas) ou outros AWS acesso aos serviços (chamados de serviços cruzados) aos recursos em sua conta.

O problema confuso de delegação entre serviços pode ocorrer quando um serviço (o serviço de chamada) liga para outro serviço (o serviço chamado). O serviço de chamada pode ser manipulado de modo a usar suas permissões para atuar nos recursos de outro cliente de uma forma na qual ele não deveria ter permissão para acessar. Para evitar isso, você pode criar políticas que ajudem a proteger seus dados para todos os serviços com diretores de serviço que receberam acesso aos recursos do seu serviço.

O Amazon Fraud Detector suporta o uso de funções de serviço em suas políticas de permissão para permitir que um serviço acesse os recursos de outro serviço em seu nome. Uma função requer duas políticas: uma política de confiança de função que especifica qual entidade principal tem permissão para assumir a função e uma política de permissões que especifica o que pode ser feito com a função. Quando um serviço assume uma função em seu nome, a entidade principal de serviço deve ter permissão para executar a ação sts:AssumeRole na política de confiança de função. Quando um serviço ligasts:AssumeRole, AWS STS retorna um conjunto de credenciais de segurança temporárias que o responsável pelo serviço usa para acessar os recursos permitidos pela política de permissões da função.

Para evitar problemas confusos entre serviços, o Amazon Fraud Detector recomenda usar aws:SourceArnas chaves de contexto de condições aws:SourceAccountglobais em sua política de confiança de função para limitar o acesso à função somente às solicitações geradas pelos recursos esperados.

O aws:SourceAccount especifica o ID da conta e aws:SourceArn especifica o ARN do recurso associado ao acesso entre serviços. O aws:SourceArn deve ser especificado usando o ARNformato. Certifique-se de que ambos aws:SourceAccount aws:SourceArn estejam usando o mesmo ID de conta quando usados na mesma declaração de política.

A maneira mais eficaz de se proteger contra o confuso problema do deputado é usar a chave de contexto ARN de condição aws:SourceArn global com todo o recurso. Se você não souber a totalidade ARN do recurso ou se estiver especificando vários recursos, use a chave de condição de contexto aws:SourceArn global com um curinga (*) para as partes desconhecidas do. ARN Por exemplo, arn:aws:servicename:*:123456789012:*. Para obter informações sobre os recursos e ações do Amazon Fraud Detector que você pode usar em suas políticas de permissão, consulte Ações, recursos e chaves de condição do Amazon Fraud Detector.

O exemplo de política de confiança de função a seguir usa o caractere curinga (*) na chave de aws:SourceArn condição para permitir que o Amazon Fraud Detector acesse vários recursos associados à ID da conta.

{
        "Version": "2012-10-17",
        "Statement": [
             {
               "Effect": "Allow",
               "Principal": {
               "Service": [
                   "frauddetector.amazonaws.com"
                   ]                
               },
               "Action": "sts:AssumeRole",
               "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "123456789012"
               },
                 "StringLike": {
                    "aws:SourceArn": "arn:aws:frauddetector:us-west-2:123456789012:*"
        }
      }
    }
  ]
}

A política de confiança de funções a seguir permite que o Amazon Fraud Detector acesse somente external-model recursos. Observe o aws:SourceArn parâmetro no bloco de condições. O qualificador de recursos é criado usando o endpoint do modelo fornecido para fazer a PutExternalModel API chamada.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "frauddetector.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:frauddetector:us-west-2:123456789012:external-model/MyExternalModeldoNotDelete-ReadOnly"
        }
      }
    }
  ]
}