堆棧中 AWS OpsWorks 的跨服務混淆副預防 - AWS OpsWorks
防止堆棧中混淆的副手漏洞 AWS OpsWorks

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

堆棧中 AWS OpsWorks 的跨服務混淆副預防

重要

該 AWS OpsWorks Stacks 服務於 2024 年 5 月 26 日終止使用壽命，並已針對新客戶和現有客戶停用。我們強烈建議客戶盡快將其工作負載移轉至其他解決方案。如果您對移轉有任何疑問，請透過 AWS Re: post 或透過進AWS 階 Support 與 AWS Support 團隊聯絡。

混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在中 AWS，跨服務模擬可能會導致混淆的副問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。

我們建議在堆疊存取原則中使用aws:SourceArn和aws:SourceAccount全域條件內容金鑰，以限制 Stacks 將另一個服務提供給 AWS OpsWorks 堆疊的權限。如果 aws:SourceArn 值不包含帳戶 ID (例如 Amazon S3 儲存貯體 ARN)，您必須使用這兩個全域條件內容金鑰來限制許可。如果同時使用這兩個全域條件內容金鑰，且 aws:SourceArn 值包含帳戶 ID，則在相同政策陳述式中使用 aws:SourceAccount 值和 aws:SourceArn 值中的帳戶時，必須使用相同的帳戶 ID。如aws:SourceArn果您只想要一個堆疊與跨服務存取關聯，請使用此選項。如aws:SourceAccount果您想要允許該帳戶中的任何堆疊與跨服務使用相關聯，請使用此選項。

的值aws:SourceArn必須是 AWS OpsWorks 堆疊的 ARN。

防止混淆的副問題的最有效方法是使用aws:SourceArn全局條件上下文鍵與 St AWS OpsWorks acks 堆棧的完整 ARN。如果您不知道完整 ARN，或者您要指定多個堆疊 ARN，請針對 ARN 的未知部分使用aws:SourceArn全域內容條件索引鍵與萬用字元 (*)。例如 arn:aws:servicename:*:123456789012:*。

以下部分說明如何在 AWS OpsWorks Stacks 中使用aws:SourceArn和aws:SourceAccount全域條件上下文鍵，以防止混淆的副問題。

防止堆棧中混淆的副手漏洞 AWS OpsWorks

本節說明如何協助防止 AWS OpsWorks 堆疊中混淆的副手利用，並包含許可政策範例，您可以附加至您用來存取 AWS OpsWorks Stack 的 IAM 角色。作為安全性最佳實務，我們建議將aws:SourceArn和aws:SourceAccount條件金鑰新增至 IAM 角色與其他服務的信任關係中。信任關係可讓 AWS OpsWorks Stack 扮演角色，在建立或管理「堆疊」 AWS OpsWorks 堆疊所需的其他服務中執行動作。

若要編輯信任關係以新增aws:SourceArn和aws:SourceAccount條件索引鍵

  1. 前往 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

  2. 在左側導覽窗格中，選擇 Roles (角色)。

  3. 在「搜尋」方塊中，搜尋你用來存取「 AWS OpsWorks 堆疊」的角色。受 AWS 管理的角色為aws-opsworks-service-role。

  4. 在角色的 [摘要] 頁面上，選擇 [信任關係] 索引標籤。

  5. 在 [信任關係] 索引標籤上選擇 [編輯信任原則]。

  6. 在 [編輯信任原則] 頁面上，將至少一個aws:SourceArn或aws:SourceAccount條件金鑰新增至原則。用於aws:SourceArn將跨服務 (例如 Amazon EC2) 和 AWS OpsWorks 堆疊之間的信任關係限制為特定的 AWS OpsWorks Stacks 堆疊，這樣的限制性更強。新增可aws:SourceAccount將跨服務與 AWS OpsWorks Stack 之間的信任關係限制為特定帳戶中的堆疊，這樣的限制性較低。以下是範例。請注意，如果您同時使用兩個條件金鑰，帳戶 ID 必須相同。

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnEquals": {
          "arn:aws:opsworks:us-east-2:123456789012:stack/EXAMPLEd-5699-40a3-80c3-22c32EXAMPLE/"
        }
      }
    }
  ]
}

  7. 當您完成新增條件金鑰時，請選擇 [更新原則]。

以下是使用aws:SourceArn和限制堆疊存取權的其他角色範例aws:SourceAccount。

範例：存取特定區域中的堆疊

下列角色信任關係陳述式會存取美國東部 (俄亥俄) 區域 (us-east-2) 中的任何 Stacks AWS OpsWorks 堆疊。請注意，區域是在 ARN 值中指定的aws:SourceArn，但堆疊 ID 值是萬用字元 (*)。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:opsworks:us-east-2:123456789012:stack/*"
        }
      }
    }
  ]
}

範例：將多個堆疊 ARN 新增至 aws:SourceArn

下列範例會限制對帳戶識別碼 123456789012 中兩個 AWS OpsWorks 堆疊堆疊所組成的陣列的存取。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opsworks.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnEquals": {
          "aws:SourceArn": [
             "arn:aws:opsworks:us-east-2:123456789012:stack/unique_ID1",
             "arn:aws:opsworks:us-east-2:123456789012:stack/unique_ID2"
           ]
       }
      }
    }
  ]
}