Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Cross-service vice prevenzione confusa
Il problema confused deputy è un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire un’azione può costringere un’entità maggiormente privilegiata a eseguire l’azione. Nel AWS, l'impersonificazione tra servizi può causare il problema della confusione del sostituto. Cross-service l'imitazione può avvenire quando un servizio (il servizio chiamante) chiama un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l’accesso alle risorse del tuo account.
Consigliamo di utilizzare le chiavi di contesto della condizione SourceAccount globale https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn aws: SourceArn e aws: nelle policy delle risorse per limitare le autorizzazioni che AWS Elemental MediaTailor forniscono un altro servizio alla risorsa. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali, il valore aws:SourceAccount e l'account nel valore aws:SourceArn devono utilizzare lo stesso ID account nella stessa istruzione di policy.
Il valore di aws:SourceArn deve essere la configurazione di riproduzione per la quale CloudWatch vengono MediaTailor pubblicati i log nella tua regione e nel tuo account. Tuttavia, ciò si applica solo se utilizzi il MediaTailorLogger ruolo che consente di MediaTailor pubblicare CloudWatch i log Amazon sul tuo account. Ciò non si applica se utilizzi un ruolo collegato al servizio per consentire la MediaTailor pubblicazione dei CloudWatch log.
Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l’ARN completo della risorsa. Se non si conosce l’ARN completo della risorsa o si scelgono più risorse, è necessario utilizzare la chiave di contesto della condizione globale aws:SourceArn con caratteri jolly (*) per le parti sconosciute dell’ARN. Ad esempio, arn:aws:. servicename::123456789012:*
L'esempio seguente mostra come utilizzare le chiavi di contesto aws:SourceArn e le chiavi di contesto della condizione aws:SourceAccount globale MediaTailor per evitare il confuso problema dei sostituti.
