預防跨服務混淆代理人 - AWS Elemental MediaTailor

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

預防跨服務混淆代理人

混淆代理人問題屬於安全性議題,其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 AWS 中,跨服務模擬可能會導致混淆代理人問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時,可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可,以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況,AWS 提供的工具可協助您保護所有服務的資料,而這些服務主體已獲得您帳戶中資源的存取權。

我們建議您使用aws:SourceArnaws:SourceAccount資源策略中的全局條件上下文鍵來限制 AWS 元素MediaTailor為資源提供另一個服務。如果同時使用全域條件內容索引鍵,則在相同政策陳述式中使用aws:SourceAccount 值和 aws:SourceArn 值中的帳戶時,必須使用相同的帳戶 ID。

的值aws:SourceArn必須是MediaTailor發布CloudWatch在您的地區和帳户中登錄。但是,這僅適用於使用MediaTailorLogger角色,可使MediaTailor發佈亞馬遜CloudWatch登錄到您的帳户。如果您使用服務連結角色可讓MediaTailor發行CloudWatch日誌。

防範混淆代理人問題最有效的方法,是使用 aws:SourceArn 全域條件內容金鑰,以及資源的完整 ARN。如果不知道資源的完整 ARN,或者如果您指定了多個資源,請使用 aws:SourceArn 全域條件內容金鑰,同時使用萬用字元 (*) 表示 ARN 的未知部分。例如: arn:aws:servicename::123456789012:*

下列範例示範如何使用 MediaTailor 中的 aws:SourceArnaws:SourceAccount 全域條件內容金鑰,來預防混淆代理人問題。

{ "Version": "2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "mediatailor.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnEquals": { "aws:SourceArn": "arn:aws:mediatailor:region:account_ID:playbackConfiguration/*" }, "StringEquals": { "aws:SourceAccount": "account_ID" } } } }