Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire una certa operazione costringe un'entità con più privilegi a eseguire tale operazione. In AWS, la rappresentazione tra servizi può lasciare le risorse dell'account vulnerabili al problema "confused deputy". La rappresentazione tra servizi si verifica quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può manipolare il servizio chiamato in modo da utilizzarne le autorizzazioni per agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso, tramite il servizio stesso. Per evitare che ciò accada, AWS fornisce strumenti che ti aiutano a proteggere i tuoi dati per tutti i servizi con responsabili dei servizi che hanno accesso alle risorse del tuo account.
Consigliamo di utilizzare le chiavi di contesto delle condizioni globali aws:SourceArn e aws:SourceAccount nelle policy delle risorse per limitare le autorizzazioni quando si accede a tali risorse. Le seguenti linee guida descrivono nel dettaglio i suggerimenti e i requisiti da rispettare quando utilizzi queste chiavi per proteggere le risorse:
-
Utilizza
aws:SourceArnse desideri consentire l'associazione di una sola risorsa all'accesso tra servizi. -
Utilizza
aws:SourceAccountse desideri consentire l'associazione di qualsiasi risorsa nell'account specificato all'uso tra servizi. -
Se il valore
aws:SourceArnnon contiene un ID account, devi utilizzare entrambe le chiavi di contesto delle condizioni globali (aws:SourceArneaws:SourceAccount) per limitare le autorizzazioni. -
Se utilizzi entrambe le chiavi di contesto delle condizioni globali e il valore
aws:SourceArncontiene un ID account, la chiaveaws:SourceAccountdeve utilizzare lo stesso ID account quando utilizzata nella stessa istruzione di policy.
Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare il nome della risorsa Amazon (ARN) esatto della risorsa che vuoi autorizzare. Se non conosci l'ARN completo della risorsa, usa la chiave di contesto della condizione globale aws:SourceArn con caratteri jolly (ad esempio, *) per le parti sconosciute dell'ARN. Inoltre, puoi utilizzare un carattere jolly nell'ARN se desideri specificare più risorse. Ad esempio, puoi dare all'ARN un formato come arn:aws:.servicename::region-name::your Account AWS ID:*
