Prevenzione del problema "confused deputy" tra servizi

Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire una certa operazione può costringere un'entità con più privilegi a eseguire tale operazione. Nel AWS, l'impersonificazione tra servizi può portare al problema del sostituto confuso. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l'accesso alle risorse del tuo account.

Consigliamo di utilizzare le chiavi di contesto della condizione aws:SourceArnglobale nelle politiche delle risorse per limitare le autorizzazioni che AWS Clean Rooms fornisce un altro servizio alla risorsa. Utilizza aws:SourceArn se desideri consentire l'associazione di una sola risorsa all'accesso tra servizi.

Il modo più efficace per proteggersi dal confuso problema del vicesceriffo consiste nell'utilizzare la chiave del contesto ARN della condizione aws:SourceArn globale con l'intera risorsa. In AWS Clean Rooms, devi anche confrontarlo con la chiave di sts:ExternalId condizione.

Il valore di aws:SourceArn deve essere impostato sull'ARNappartenenza al ruolo assunto.

L'esempio seguente mostra come utilizzare la chiave di contesto della condizione aws:SourceArn globale in AWS Clean Rooms per prevenire il confuso problema del vicesceriffo.

Nota

La politica di esempio si applica alla politica di fiducia del ruolo di servizio che AWS Clean Rooms utilizza per accedere ai dati dei clienti.

Il valore di membershipID è tuo AWS Clean Rooms ID di iscrizione alla collaborazione.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowIfExternalIdMatches",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringLike": {
                    "sts:ExternalId": "arn:aws:*:aws-region:*:dbuser:*/membershipID*"
                }
            }
        },
        {
            "Sid": "AllowIfSourceArnMatches",
            "Effect": "Allow",
            "Principal": {
                "Service": "cleanrooms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ForAnyValue:ArnEquals": {
                    "aws:SourceArn": "arn:aws:cleanrooms:aws-region:123456789012:membership/membershipID"
                }
            }
        }
    ]
}