Prevenzione del confused deputy tra servizi

Il problema confused deputy è un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire un'azione può costringere un'entità maggiormente privilegiata a eseguire l'azione. Nel AWS, l'impersonificazione tra servizi può portare al confuso problema del vice. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare che ciò accada, AWS mette a disposizione strumenti che consentono di proteggere i dati relativi a tutti i servizi con responsabili del servizio a cui è stato concesso l'accesso alle risorse del vostro account.

Ti consigliamo di utilizzare aws:SourceArnle chiavi di contesto della condizione aws:SourceAccountglobale nelle politiche delle risorse per limitare le autorizzazioni che AWS Backup forniscono un altro servizio alla risorsa. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, il valore aws:SourceAccount e l'account nel valore aws:SourceArn devono utilizzare lo stesso ID account nella stessa istruzione di policy.

Il valore di aws:SourceArn deve essere un AWS Backup vault quando si utilizza AWS Backup per pubblicare argomenti di Amazon SNS per tuo conto.

Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l'ARN completo della risorsa. Se non si conosce l'ARN completo della risorsa o si scelgono più risorse, è necessario utilizzare la chiave di contesto della condizione globale aws:SourceArn con caratteri jolly (*) per le parti sconosciute dell'ARN. Ad esempio, arn:aws::servicename::123456789012:*.

La seguente politica di esempio mostra come utilizzare le chiavi di contesto aws:SourceArn e aws:SourceAccount global condition AWS Backup per prevenire il confuso problema del vice. Questa politica concede al responsabile del servizio backup-storage.amazonaws.com la capacità di eseguire azioni KMS solo quando il responsabile del servizio agisce per conto dell'account 123456789012 negli archivi di backup: AWS

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow root all KMS access",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "Allow Backup Storage SPN backup related operations on Key",
      "Effect": "Deny",
      "Principal": {
        "Service": "backup-storage.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:RetireGrant",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringNotLike": {
          "aws:SourceArn": ["arn:aws:backup:us-east-1:123456789012:backup-vault:*"], 
          "aws:SourceAccount": ["123456789012"]
        }
      }
    }
  ]
}