選取您的 Cookie 偏好設定

我們使用提供自身網站和服務所需的基本 Cookie 和類似工具。我們使用效能 Cookie 收集匿名統計資料,以便了解客戶如何使用我們的網站並進行改進。基本 Cookie 無法停用,但可以按一下「自訂」或「拒絕」以拒絕效能 Cookie。

如果您同意,AWS 與經核准的第三方也會使用 Cookie 提供實用的網站功能、記住您的偏好設定,並顯示相關內容,包括相關廣告。若要接受或拒絕所有非必要 Cookie,請按一下「接受」或「拒絕」。若要進行更詳細的選擇,請按一下「自訂」。

預防跨服務混淆代理人

焦點模式
預防跨服務混淆代理人 - AWS CodeDeploy

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

混淆代理人問題屬於安全性問題,其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS,跨服務模擬可能會導致混淆代理人問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時,可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可,以其不應有存取許可的方式對其他客戶的資源採取動作。為了防止這種情況, AWS 提供工具,協助您保護所有 服務的資料,讓 服務主體能夠存取您帳戶中的資源。

我們建議在資源政策中使用 aws:SourceArnaws:SourceAccount 全域條件內容索引鍵,以限制將另一個服務 CodeDeploy 提供給資源的許可。如果同時使用這兩個全域條件內容索引鍵,且 aws:SourceArn 值包含帳戶 ID,則在相同政策陳述式中使用 aws:SourceAccount 值和 aws:SourceArn 值中的帳戶時,必須使用相同的帳戶 ID。如果您想要僅允許一個資源與跨服務存取相關聯,則請使用 aws:SourceArnaws:SourceAccount 如果您希望該帳戶中的任何資源與跨服務使用相關聯,請使用 。

對於 EC2/現場部署、 AWS Lambda 和一般 Amazon ECS 部署, 的值aws:SourceArn應包含 CodeDeploy 允許 ARN 擔任IAM角色的 CodeDeploy 部署群組。

對於透過 建立的 Amazon ECS藍/綠部署 AWS CloudFormation, 的值aws:SourceArn應包含 CodeDeploy 允許 ARN 擔任IAM角色的 CloudFormation 堆疊。

防範混淆代理人問題最有效的方法是使用 aws:SourceArn金鑰搭配完整的ARN資源。如果您不知道完整ARN或指定多個資源,請使用萬用字元 (*) 表示未知的部分。

例如,您可以將下列信任政策與 EC2/現場部署、 AWS Lambda 或一般 Amazon ECS 部署搭配使用:

{ "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "codedeploy.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "StringLike": { "aws:SourceArn": "arn:aws:codedeploy:us-east-1:111122223333:deploymentgroup:myApplication/*" } } } ] }

對於透過 建立的 Amazon ECS藍/綠部署 AWS CloudFormation,您可以使用:

{ "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "codedeploy.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "111122223333" }, "StringLike": { "aws:SourceArn": "arn:aws:cloudformation:us-east-1:111122223333:stack/MyCloudFormationStackName/*" } } } ] }
隱私權網站條款Cookie 偏好設定
© 2025, Amazon Web Services, Inc.或其附屬公司。保留所有權利。