本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
防止跨服务混淆座席
混淆代理问题是一个安全性问题,即不具有操作执行权限的实体可能会迫使具有更高权限的实体执行该操作。在中 AWS,跨服务模仿可能会导致混乱的副手问题。一个服务(呼叫服务)调用另一项服务(所谓的服务)时,可能会发生跨服务模拟。可以操纵调用服务,使用其权限以在其他情况下该服务不应有访问权限的方式对另一个客户的资源进行操作。为防止这种情况, AWS 提供可帮助您保护所有服务的数据的工具,而这些服务中的服务主体有权限访问账户中的资源。
我们建议在资源策略中使用aws:SourceArn
和aws:SourceAccount
全局条件上下文密钥来限制为资源 AWS Elemental MediaPackage 提供其他服务的权限。如果您只希望将一个资源与跨服务访问相关联,请使用 aws:SourceArn
。如果您想允许该账户中的任何资源与跨服务使用操作相关联,请使用 aws:SourceAccount
。
防止混乱的副手问题的最有效方法是使用具有全部资源的全aws:SourceArn
ARN局条件上下文密钥。如果您不知道资源的全部ARN内容,或者要指定多个资源,请使用带有通配符 (*
) 的aws:SourceArn
全局上下文条件键来表示未知部分。ARN例如,arn:aws:
。servicename
:*:123456789012
:*
如果该aws:SourceArn
值不包含账户 ID,例如 Amazon S3 存储桶ARN,则必须同时使用两个全局条件上下文密钥来限制权限。
以下示例显示了如何在处理收获作业时使用aws:SourceArn
和aws:SourceAccount
全局条件上下文键 MediaPackage 来防止出现混淆的副手问题。
{
"Version": "2012-10-17",
"Statement": {
"Sid": "ConfusedDeputyPreventionExamplePolicy",
"Effect": "Allow",
"Principal": {
"Service": "mediapackage.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"ArnLike": {
"aws:SourceArn": "arn:aws:mediapackage:*:123456789012:harvest_jobs/*"
},
"StringEquals": {
"aws:SourceAccount": "123456789012"
}
}
}
}