防止在 AWS OpsWorks CM 中出现跨服务混淆代理 - AWS OpsWorks
防止在 AWS OpsWorks CM 中出现混淆代理漏洞

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

防止在 AWS OpsWorks CM 中出现跨服务混淆代理

混淆代理问题是一个安全性问题，即不具有操作执行权限的实体可能会迫使具有更高权限的实体执行该操作。在 AWS 中，跨服务模拟可能会导致混淆代理问题。一个服务（呼叫服务) 调用另一项服务（所谓的服务)时，可能会发生跨服务模拟。可以操纵调用服务，使用其权限以在其他情况下该服务不应有访问权限的方式对另一个客户的资源进行操作。为防止这种情况，AWS 提供可帮助您保护所有服务的数据的工具，而这些服务中的服务委托人有权限访问账户中的资源。

我们建议使用资源策略中的 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键，限制 AWS OpsWorks CM 为另一项服务提供的资源访问权限。如果 aws:SourceArn 值不包含账户 ID，例如 Amazon S3 存储桶 ARN，您必须使用两个全局条件上下文密钥来限制权限。如果同时使用全局条件上下文密钥和包含账户 ID 的 aws:SourceArn 值，则 aws:SourceAccount 值和 aws:SourceArn 值中的账户在同一策略语句中使用时，必须使用相同的账户 ID。如果您只希望将一个资源与跨服务访问相关联，请使用 aws:SourceArn。如果您想允许该账户中的任何资源与跨服务使用操作相关联，请使用 aws:SourceAccount。

aws:SourceArn 的值必须是 OpsWorks CM Chef 或 Puppet 服务器的 ARN。

防范混淆代理问题最有效的方法是使用 aws:SourceArn 全局条件上下文键和 AWS OpsWorks CM 服务器的完整 ARN。如果不知道完整 ARN，或者正在指定多个服务器 ARN，请针对 ARN 未知部分使用带有通配符（*）的 aws:SourceArn 全局上下文条件键。例如，arn:aws:servicename:*:123456789012:*。

以下一节演示如何使用 AWS OpsWorks CM 中的 aws:SourceArn 和 aws:SourceAccount 全局条件上下文键来防范混淆代理问题。

防止在 AWS OpsWorks CM 中出现混淆代理漏洞

本节介绍如何帮助防止在 AWS OpsWorks CM 中出现混淆代理漏洞，并列出了一些权限策略示例，您可以将这些示例附加到用于访问 AWS OpsWorks CM 的 IAM 角色。作为安全最佳实践，建议您向 IAM 角色与其他服务的信任关系中添加 aws:SourceArn 和 aws:SourceAccount 条件键。信任关系允许 AWS OpsWorks CM 承担这样一个角色：在其他服务中执行创建或管理 AWS OpsWorks CM Stacks 堆栈所需的操作。

编辑信任关系来添加 aws:SourceArn 和 aws:SourceAccount 条件键

  1. 通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

  2. 在左侧导航窗格中，选择 Roles（角色）。

  3. 在搜索框中，搜索您用于访问 AWS OpsWorks CM 的角色。AWS 托管角色是 aws-opsworks-cm-service-role。

  4. 在角色的 摘要 页面上，选择 信任关系 选项卡。

  5. 在信任关系选项卡上，选择编辑信任关系。

  6. 在策略文档中，向策略中添加至少一个 aws:SourceArn 或 aws:SourceAccount 条件键。使用 aws:SourceArn 将跨服务（例如 AWS Certificate Manager 和 Amazon EC2）和 AWS OpsWorks CM 之间的信任关系限制为特定的 AWS OpsWorks CM 服务器，限制性更强。添加 aws:SourceAccount 将跨服务与 AWS OpsWorks CM 之间的信任关系限制为特定账户中的服务器，限制性较低。以下是示例。请注意，如果您同时使用两个条件键，则账户 ID 必须相同。

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks-cm.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:opsworks-cm:us-east-2:123456789012:server/my-opsworks-server/EXAMPLEabcd-1234-efghEXAMPLE-ID"
        }
      }
    }
  ]
}

  7. 添加完条件键，选择更新信任策略。

以下是使用 aws:SourceArn 和 aws:SourceAccount 来限制 AWS OpsWorks CM 服务器访问的其他角色示例。

示例：访问特定区域的 AWS OpsWorks CM 服务器

以下角色信任关系语句访问美国东部（俄亥俄州）区域 (us-east-2) 中的任何 AWS OpsWorks CM 服务器。请注意，该区域在 aws:SourceArn 的 ARN 值中指定，但服务器 ID 值是通配符 (*)。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks-cm.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:opsworks-cm:us-east-2:123456789012:server/*"
        }
      }
    }
  ]
}

示例：向 aws:SourceArn 添加多个服务器 ARN

以下示例限制对账户 ID 为 123456789012 的由两个 AWS OpsWorks CM 服务器组成的数组的访问。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks-cm.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnEquals": {
          "aws:SourceArn": [
             "arn:aws:opsworks-cm:us-east-2:123456789012:server/my-chef-server/unique_ID",
             "arn:aws:opsworks-cm:us-east-2:123456789012:server/my-puppet-server/unique_ID"
           ]
       }
      }
    }
  ]
}