預防跨服務混淆代理人

混淆代理人問題屬於安全性議題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在中 AWS，跨服務模擬可能會導致混淆的副問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時，可能會發生跨服務模擬。呼叫服務可以被操縱，使用其權限對其他客戶的資源採取行動，以其他方式不應該有其他訪問權限。為了預防這種情況， AWS 提供的工具可協助您保護所有服務的資料，而這些服務主體已獲得您帳戶中資源的存取權。如需此問題的詳細說明，請參閱 IAM 使用者指南中混淆的副問題。

建議您在資源策略中使用aws:SourceArn和aws:SourceAccount全域條件前後關聯索引鍵，以限制 Tran AWS sfer Family 對資源所具有的權限。如果同時使用全域條件內容索引鍵，則在相同政策陳述式中使用 aws:SourceAccount 值和 aws:SourceArn 值中的帳戶時，必須使用相同的帳戶 ID。

防範混淆代理人問題的最有效方法是精確使用您允許的資源 Amazon Resource Name (ARN) 資源。如果您要指定多個資源，請針對 ARN 的未知部分使用萬用字元 (*) 的aws:SourceArn全域內容條件索引鍵。例如 arn:aws:transfer::region::account-id:server/*。

AWS 「Transfer Family 列」使用下列類型的角色：

• 使用者角色 — 允許服務管理的使用者存取必要的「Transfer Family」資源。 AWS 「Transfer Family」在「Transfer Family」使用者 ARN 的內容中擔任此角色。

• 存取角色 — 僅提供對正在傳輸的 Amazon S3 檔案的存取權。對於輸入 AS2 傳輸，存取角色使用 Amazon 資源名稱 (ARN) 作為協議。對於輸出 AS2 傳輸，存取角色會使用 ARN 作為連接器。

• 叫用角色 — 可搭配 Amazon API Gateway 作為伺服器的自訂身分提供者使用。「Transfer Family」會在「轉 Transfer Family」伺服器 ARN 的內容中擔任此角色。

• 記錄角色 — 用於將項目記錄到 Amazon CloudWatch。Transfer Family 會使用此角色記錄成功和失敗詳細資料，以及檔案傳輸的相關資訊。「Transfer Family」會在「轉 Transfer Family」伺服器 ARN 的內容中擔任此角色。對於輸出 AS2 傳輸，記錄角色會使用連接器 ARN。

• 執行角色 — 允許「Transfer Family」使用者呼叫和啟動工作流程。「Transfer Family」會在「Transfer Family」工作流程 ARN 的內容中擔任此角色。

如需詳細資訊，請參閱《 IAM 使用者指南》中的 IAM 中的政策和許可。

注意

在下列範例中，將每個使用者輸入預留位置取代為您自己的資訊。

注意

在我們的範例中，我們同時使用ArnLike和ArnEquals。它們在功能上是相同的，因此您可以在構建策略時使用任何一種。「Transfer Family」文件會在條件包含萬用字元ArnLike時使用，並ArnEquals指出完全相符的條件。

AWS Transfer Family 用戶角色跨服務混淆副預防

下列範例原則允許帳戶中任何伺服器的任何使用者擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:user/*"
                }
            }
        }
    ]
}

下列範例原則可讓特定伺服器的任何使用者擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:user/server-id/*"
                }
            }
        }
    ]
}

下列範例原則可讓特定伺服器的特定使用者擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:user/server-id/user-name"
                }
            }
        }
    ]
}

AWS Transfer Family 工作流程角色跨服務混淆副預防

下列範例原則允許帳戶中的任何工作流程擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:workflow/*"
                }
            }
        }
    ]
}

下列範例原則允許特定工作流程擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:workflow/workflow-id"
                }
            }
        }
    ]
}

AWS Transfer Family 記錄和調用角色跨服務混淆副預防

注意

下列範例可用於記錄和叫用角色。

在這些範例中，如果伺服器沒有附加任何工作流程，您可以移除工作流程的 ARN 詳細資料。

下列範例記錄/叫用策略允許帳戶中的任何伺服器 (和工作流程) 擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllServersWithWorkflowAttached",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                   "aws:SourceArn": [
                     "arn:aws:transfer:region:account-id:server/*",
                     "arn:aws:transfer:region:account-id:workflow/*"
                   ]
                }
            }
        }
    ]
}

下列範例記錄/呼叫原則可讓特定伺服器 (和工作流程) 擔任該角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSpecificServerWithWorkflowAttached",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                   "aws:SourceArn": [
                       "arn:aws:transfer:region:account-id:server/server-id",
                       "arn:aws:transfer:region:account-id:workflow/workflow-id"
                   ]
                }
            }
        }
    ]
}