교차 서비스 혼동된 대리인 방지

혼동된 대리인 문제는 작업을 수행할 권한이 없는 개체가 권한이 더 많은 개체에게 작업을 수행하도록 강요할 수 있는 보안 문제입니다. 에서 AWS크로스 서비스 사칭으로 인해 대리인 문제가 발생할 수 있습니다. 교차 서비스 가장은 한 서비스(호출하는 서비스)가 다른 서비스(호출되는 서비스)를 호출할 때 발생할 수 있습니다. 직접적으로 호출하는 서비스는 다른 고객의 리소스에 대해 액세스 권한이 없는 방식으로 작동하게 권한을 사용하도록 조작될 수 있습니다. 이를 방지하기 위해 AWS 에서는 계정의 리소스에 대한 액세스 권한이 부여된 서비스 보안 주체를 사용하여 모든 서비스에 대한 데이터를 보호하는 데 도움이 되는 도구를 제공합니다.

리소스 정책에 aws:SourceArn및 aws:SourceAccount글로벌 조건 컨텍스트 키를 사용하여 리소스에 다른 서비스에 AWS Database Migration Service 부여하는 권한을 제한하는 것이 좋습니다. 만약 aws:SourceArn 값에 AWS DMS 복제 인스턴스 이름(ARN)과 같은 계정 ID가 포함되어 있지 않은 경우 권한을 제한하려면 두 전역 조건 컨텍스트 키를 모두 사용해야 합니다. 두 전역 조건 컨텍스트 키와 계정을 포함한 aws:SourceArn 값을 모두 사용하는 경우, aws:SourceAccount 값 및 aws:SourceArn 값의 계정은 동일한 정책 명령문에서 사용할 경우 반드시 동일한 계정 ID를 사용해야 합니다. 하나의 리소스만 교차 서비스 액세스와 연결되도록 허용하려는 경우 aws:SourceArn을(를) 사용하세요. 해당 계정의 모든 리소스가 교차 서비스 사용과 연결되도록 허용하려는 경우 aws:SourceAccount을(를) 사용하십시오.

AWS DMS 3.4.7 버전 이상부터는 혼동된 보조 옵션을 지원합니다. 자세한 정보는 AWS Database Migration Service 3.4.7 릴리스 노트을 참조하세요. 복제 인스턴스가 AWS DMS 버전 3.4.6 이하를 사용하는 경우 혼동된 대리자 옵션을 설정하기 전에 최신 버전으로 업그레이드해야 합니다.

혼동된 대리인 문제로부터 보호하는 가장 효과적인 방법은 리소스의 전체 ARN이 포함된 aws:SourceArn 글로벌 조건 컨텍스트 키를 사용하는 것입니다. 리소스의 전체 ARN을 모르거나 여러 리소스를 지정하는 경우, ARN의 알 수 없는 부분에 대해 와일드카드 문자(*)를 포함한 aws:SourceArn 글로벌 조건 컨텍스트 키를 사용합니다. 예를 들어 arn:aws:dms:*:123456789012:rep:*입니다.

서비스 간 혼란을 방지하기 위해 AWS DMS API와 함께 사용할 IAM 역할

데이터베이스 마이그레이션에 AWS CLI 또는 AWS DMS API를 사용하려면 먼저 dms-vpc-role 및 dms-cloudwatch-logs-role IAM 역할을 AWS 계정에 추가해야 의 기능을 사용할 수 있습니다. AWS DMS자세한 정보는 AWS CLI 및 AWS DMS API와 함께 사용할 IAM 역할 생성을 참조하세요.

다음 예는 my-replication-instance 복제 인스턴스에서 dms-vpc-role 역할을 사용하기 위한 정책을 보여줍니다. 혼동된 대리자 문제를 방지하려면 이들 정책을 사용하세요.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "your_account_id"
                },
                "ArnEqual": {
                    "AWS:SourceArn": "arn:aws:dms:your_region:your_account_id:rep:my-replication-instance"
                }
            }
        }
    ]
}

교차 서비스 혼동된 대리자 방지를 위해 Amazon S3에 사전 평가를 저장하기 위한 IAM 정책

사전 평가 결과를 S3 버킷에 저장하려면 AWS DMS 가 Amazon S3의 객체를 관리하도록 허용하는 IAM 정책을 생성합니다. 자세한 정보는 IAM 리소스 생성 을 참조하세요.

다음 예는 지정된 사용자 계정으로 모든 작업 및 평가 실행에 액세스할 수 AWS DMS 있도록 허용하는 IAM 역할에 설정된 혼동된 보조 조건이 포함된 신뢰 정책을 보여줍니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "your_account_id"
                },
                "ArnLike": {
                    "AWS:SourceArn": [
                        "arn:aws:dms:your_region:your_account_id:assessment-run:*",
                        "arn:aws:dms:region:your_account_id:task:*"
                    ]
                }
            }
        }
    ]
}

Amazon DynamoDB를 대상 AWS DMS 엔드포인트로 사용하여 서비스 간 혼란을 방지하는 데 사용할 수 있습니다.

Amazon DynamoDB를 데이터베이스 마이그레이션의 대상 엔드포인트로 사용하려면 DynamoDB 테이블에 대한 액세스 권한을 위임하고 AWS DMS 부여할 수 있는 IAM 역할을 생성해야 합니다. 그런 다음 이 역할을 사용하여 AWS DMS에서 대상 DynamoDB 엔드포인트를 생성합니다. 자세한 정보는 대상으로 Amazon DynamoDB 사용을 참조하세요.

다음 예는 모든 AWS DMS 엔드포인트가 DynamoDB 테이블에 액세스할 수 있도록 허용하는 IAM 역할에 설정된 혼동된 보조 조건이 포함된 신뢰 정책을 보여줍니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "dms.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "your_account_id"
                },
                "ArnLike": {
                    "AWS:SourceArn": "arn:aws:dms:your_region:your_account_id:endpoint:*"
                }
            }
        }
    ]
}