您必須是 Amazon Chime 系統管理員,才能完成本指南中的步驟。如果您需要 Amazon Chime 桌面用戶端、Web 應用程式或行動應用程式的相關協助,請參閱《Amazon Chime 使用者指南》中的取得支援。
本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
預防跨服務混淆代理人
混淆代理人問題是當沒有執行動作許可的實體呼叫更特權的實體來執行動作時,發生的資訊安全問題。這可能會允許惡意執行者執行命令或修改他們沒有執行或存取許可的資源。如需詳細資訊,請參閱AWS Identity and Access Management 《 使用者指南》中的混淆代理人問題。
在 中 AWS,跨服務模擬可能會導致混淆代理人案例。當一個服務 (呼叫服務) 呼叫另一個服務 (呼叫服務) 時,會發生跨服務模擬。惡意演員可以使用呼叫服務,透過使用他們通常不會擁有的許可來變更其他服務中的資源。
AWS 為服務主體提供 帳戶的 資源受管存取權,協助您保護資源的安全。我們建議您在資源政策中使用aws:SourceAccount
全域條件內容金鑰。這些金鑰會限制 Amazon Chime 為該資源提供其他服務的許可。
下列範例顯示 S3 儲存貯體政策,該政策使用已設定 S3 CallDetailRecords
儲存貯體中的aws:SourceAccount
全域條件內容金鑰,以協助防止混淆代理人問題。 S3
{ "Version": "2012-10-17", "Statement": [ { "Sid": "
AmazonChimeAclCheck668426
", "Effect": "Allow", "Principal": { "Service": "chime.amazonaws.com" }, "Action": "s3:GetBucketAcl", "Resource": "arn:aws:s3:::your-cdr-bucket
" }, { "Sid": "AmazonChimeWrite668426
", "Effect": "Allow", "Principal": { "Service": "chime.amazonaws.com" }, "Action": "s3:PutObject", "Resource": "arn:aws:s3:::your-cdr-bucket
/*", "Condition": { "StringEquals": { "s3:x-amz-acl": "bucket-owner-full-control
", "aws:SourceAccount": "112233446677
" } } } ] }