Prevenzione del confused deputy tra servizi

Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell’autorizzazione per eseguire una certa operazione può costringere un'entità con più privilegi a eseguire tale operazione. In AWS, la rappresentazione cross-service può comportare il problema confused deputy. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l'accesso alle risorse del tuo account.

Si consiglia di utilizzare ilaws:SourceArneaws:SourceAccountchiavi di contesto delle condizioni globali nei criteri delle risorse per limitare le autorizzazioni che AWSDeepRacerLong fornisce un altro servizio alla risorsa. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, il valore aws:SourceAccount e l’account nel valore aws:SourceArn devono utilizzare lo stesso ID account nella stessa istruzione di policy.

Il valore diaws:SourceArndeve essere s3። :your-bucket-name.

Il modo più efficace per proteggersi dal problema confuso dei deputati è quello di utilizzare ilaws:SourceArnchiave del contesto della condizione globale con l'ARN completo della risorsa. Se non si conosce l'ARN completo della risorsa o se si specifica più risorse, utilizzareaws:SourceArnchiave di condizione del contesto globale con caratteri jolly (*) per le porzioni sconosciute dell'ARN. Ad esempio, arn:aws:servicename::123456789012:*.

L'esempio seguente mostra il modo in cui puoi utilizzare ilaws:SourceArneaws:SourceAccountchiavi di contesto delle condizioni globali in awsDeepRacer per prevenire il problema confuso dei deputati.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1586917903457",
            "Effect": "Allow",
            "Principal": {
                "Service": "deepracer.amazonaws.com"
                },
            "Action": [
                "s3:GetObjectAcl",
                "s3:GetObject",
                "s3:PutObject",
                "s3:PutObjectAcl"
            ],
            "Resource": [
               "arn:aws:s3:::your-bucket-name",
               "arn:aws:s3:::your-bucket-name/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:SourceArn": "arn:${Partition}:deepracer:${Region}:${Account}:model/reinforcement_learning/${ResourceId}"
                }
            }
        }
    ]
}

Se utilizzi un personalizzatoAWS Key Management Service(KMS) risorsa per questo bucket, include ilAWS KMSpolicy delle risorse:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "statement identifier",
    "Effect": "effect",
    "Principal": "principal",
    "Action": "action",
    "Resource": "resource",
    "Condition": {
        "StringEquals": {
            "aws:SourceArn": "arn:${Partition}:deepracer:${Region}:${Account}:model/reinforcement_learning/${ResourceId}"
        }
    }
  }]
}