預防跨服務混淆代理人

焦點模式

預防跨服務混淆代理人 - Amazon Chime

支援終止通知：在 2026 年 2 月 20 日， AWS 將終止對 Amazon Chime 服務的支援。2026 年 2 月 20 日之後，您將無法再存取 Amazon Chime 主控台或 Amazon Chime 應用程式資源。如需詳細資訊，請造訪部落格文章。注意：這不會影響 Amazon Chime SDK 服務的可用性。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

混淆代理人問題是當沒有執行動作許可的實體呼叫更特權的實體來執行動作時，發生的資訊安全問題。這可能會允許惡意執行者執行命令或修改他們沒有執行或存取許可的資源。如需詳細資訊，請參閱AWS Identity and Access Management 《使用者指南》中的混淆代理人問題。

在中 AWS，跨服務模擬可能會導致混淆代理人案例。當一個服務 (呼叫服務) 呼叫另一個服務 (呼叫服務) 時，會發生跨服務模擬。惡意演員可以使用呼叫服務，透過使用他們通常沒有的許可來變更其他服務中的資源。

AWS 為服務主體提供帳戶的資源受管存取權，以協助您保護資源的安全。我們建議您在資源政策中使用aws:SourceAccount全域條件內容金鑰。這些金鑰會限制 Amazon Chime 為該資源提供其他服務的許可。

下列範例顯示 S3 儲存貯體政策，該政策使用已設定 S3 CallDetailRecords 儲存貯體中的aws:SourceAccount全域條件內容金鑰，以協助防止混淆代理人問題。 S3


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonChimeAclCheck668426",
            "Effect": "Allow",
            "Principal": {
                "Service": "chime.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::your-cdr-bucket"
        },
        {
            "Sid": "AmazonChimeWrite668426",
            "Effect": "Allow",
            "Principal": {
                "Service": "chime.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::your-cdr-bucket/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceAccount": "112233446677" 
                }
            }
        }
    ]
}