Pencegahan wakil bingung lintas layanan

DalamAWS, peniruan lintas layanan dapat terjadi ketika satu layanan (layanan panggilan) memanggil layanan lain (disebut layanan). Layanan panggilan dapat dimanipulasi untuk bertindak pada sumber daya pelanggan lain meskipun seharusnya tidak memiliki izin yang tepat, sehingga masalah wakil bingung.

Untuk mencegah hal ini,AWSmenyediakan alat yang membantu Anda melindungi data Anda untuk semua layanan dengan prinsip-prinsip layanan yang telah diberikan akses ke sumber daya di akun Anda.

Sebaiknya gunakanaws:SourceArndanaws:SourceAccountkunci konteks kondisi global dalam kebijakan sumber daya untuk membatasi izin yang diberikan Amazon Rekognition layanan lain ke sumber daya.

Jika nilaiaws:SourceArntidak berisi ID akun, seperti ARN bucket Amazon S3, Anda harus menggunakan kedua kunci untuk membatasi izin. Jika Anda menggunakan kedua tombol danaws:SourceArnnilai berisi ID akun,aws:SourceAccountnilai dan akun diaws:SourceArnnilai harus menggunakan ID akun yang sama ketika digunakan dalam pernyataan kebijakan yang sama.

Gunakanaws:SourceArnjika Anda ingin hanya satu sumber daya yang terkait dengan akses lintas layanan. Gunakanaws:SourceAccountjika Anda ingin mengizinkan sumber daya apa pun di akun itu dikaitkan dengan penggunaan lintas-layanan.

Nilaiaws:SourceArnharus ARN sumber daya yang digunakan oleh Rekognition, yang ditentukan dengan format berikut:arn:aws:rekognition:region:account:resource.

Nilaiarn:User ARNharus ARN pengguna yang akan memanggil operasi analisis video (pengguna yang mengasumsikan peran).

Pendekatan yang disarankan untuk masalah wakil yang bingung adalah dengan menggunakanaws:SourceArnkunci konteks kondisi global dengan ARN sumber daya penuh.

Jika Anda tidak mengetahui ARN lengkap sumber daya atau jika Anda menentukan beberapa sumber daya, gunakanaws:SourceArnkunci dengan karakter wildcard (*) untuk bagian ARN yang tidak diketahui. Sebagai contoh, arn:aws:rekognition:*:111122223333:*.

Untuk melindungi terhadap masalah wakil yang bingung, lakukan langkah-langkah berikut:

1. Di panel navigasi konsol IAM pilihPeranpilihan. Konsol akan menampilkan peran untuk akun Anda saat ini.

2. Pilih nama peran yang ingin Anda modifikasi. Peran yang Anda modifikasi harus memilikiAmazonRekognitionServiceRolekebijakan perizinan. PilihHubungan kepercayaantab.

3. PilihMengedit kebijakan kepercayaan.

4. PadaMengedit kebijakan kepercayaanhalaman, ganti kebijakan JSON default dengan kebijakan yang menggunakan salah satu atau keduaaws:SourceArndanaws:SourceAccountkunci konteks kondisi global. Lihat contoh kebijakan berikut.

5. Pilih Buat Kebijakan.

Contoh berikut adalah kebijakan kepercayaan yang menunjukkan bagaimana Anda dapat menggunakanaws:SourceArndanaws:SourceAccountkunci konteks kondisi global di Amazon Rekognition untuk mencegah masalah wakil yang membingungkan.

Jika Anda bekerja disimpan dan streaming video, Anda dapat menggunakan kebijakan seperti berikut dalam peran IAM Anda:

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service":"rekognition.amazonaws.com",
            "AWS":"arn:User ARN"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"Account ID"
            },
            "StringLike":{
               "aws:SourceArn":"arn:aws:rekognition:region:111122223333:streamprocessor/*"
            }
         }
      }
   ]
}

Jika Anda bekerja secara eksklusif dengan video yang disimpan, Anda dapat menggunakan kebijakan seperti berikut dalam peran IAM Anda (perhatikan bahwa Anda tidak harus menyertakanStringLikeargumen yang menentukanstreamprocessor):

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "Service":"rekognition.amazonaws.com",
            "AWS":"arn:User ARN"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"Account ID"
            }
         }
      }
   ]
}