翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
Amazon AppStream 2.0 のサービス間の混乱した代理の防止
混乱した代理問題とは、アクションを実行する許可を持たないエンティティが、より高い特権を持つエンティティにそのアクションの実行を強制するというセキュリティ問題です。AWS では、サービス間でのなりすましにより、混乱した代理問題に対してアカウントリソースが脆弱になることがあります。サービス間でのなりすましは、1 つのサービス (呼び出し元サービス) が、別のサービス (呼び出されたサービス) を呼び出すときに発生します。呼び出し元サービスが呼び出されたサービスを操作し、そのアクセス許可を使用して、呼び出し元サービスが自身で実行するアクセス許可を持っていない方法で、顧客のリソースに対して処理を実行する可能性があります。これを防ぐため、AWS では、アカウント内のリソースへのアクセス権を持っているサービスプリンシパルですべてのサービスのデータを保護するために役立つツールを提供しています。
リソースポリシーで aws:SourceArn および aws:SourceAccount のグローバル条件コンテキストキーを使用して、それらのリソースにアクセスするときにアクセス許可を制限することをお勧めします。以下のガイドラインでは、これらのキーを使用してリソースを保護する場合の推奨事項と要件を詳しく説明しています。
-
クロスサービスのアクセスにリソースを 1 つだけ関連付けたい場合は、
aws:SourceArnを使用します。 -
指定されたアカウント内の任意のリソースを、クロスサービスによる使用に関連付ける場合は、
aws:SourceAccountを使用します。 -
aws:SourceArnキーにアカウント ID が含まれていない場合、アクセス許可を制限するためには、これら両方のグローバル条件コンテキストキー (aws:SourceArnおよびaws:SourceAccount) を使用する必要があります。 -
両方のグローバル条件コンテキストキーを使用しており、
aws:SourceArnの値にアカウント ID が含まれる場合、それらが同じポリシーステートメントで使用されるときは、aws:SourceAccountキーは同じアカウント ID を使用する必要があります。
混乱した代理問題を回避するための最も効果的な方法は、許可するリソースに正確な Amazon リソースネーム (ARN) を使用することです。リソースの完全な ARN が不明な場合は、グローバルコンテキスト条件キー aws:SourceArn で、ARN の不明な部分を示すためにワイルドカード (* など) を使用します。複数のリソースを指定する場合は、ARN でワイルドカードを使用することもできます。例えば、ARN を arn:aws: のようにフォーマットできます。servicename::region-name::your
AWS アカウント ID:*
トピック
