EventBridge 調度程序中的混淆副預防

混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在中 AWS，跨服務模擬可能會導致混淆的副問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。

我們建議您在排程執行角色中使用aws:SourceArn和aws:SourceAccount全域條件內容索引鍵，以限制 EventBridge Scheduler 為其他服務提供存取資源的權限。如果您想要僅允許一個資源與跨服務存取相關聯，則請使用 aws:SourceArn。如果您想要允許該帳戶中的任何資源與跨服務使用相關聯，請使用 aws:SourceAccount。

防止混淆的副問題的最有效方法是使用aws:SourceArn全局條件上下文鍵與完整ARN的資源。下列條件的範圍為個別排程群組：arn:aws:scheduler:*:123456789012:schedule-group/your-schedule-group

如果您不知道資源ARN的完整內容，或者您要指定多個資源，請針對未知部分使用萬用字元 (*) 的aws:SourceArn全域內容條件索引鍵與萬用字元 () ARN。例如：arn:aws:scheduler:*:123456789012:schedule-group/*。

的值aws:SourceArn必須是您要限定此條件範圍ARN的「 EventBridge 排程器」排程群組。

下列範例顯示如何在執行角色信任原則中使用aws:SourceArn和aws:SourceAccount全域條件內容索引鍵，以避免混淆的副問題：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "scheduler.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012",
                    "aws:SourceArn": "arn:aws:scheduler:us-west-2:123456789012:schedule-group/your-schedule-group"
                }
            }
        }
    ]
}