AWS Systems Manager Incident Manager ist nicht mehr offen für neue Kunden. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter Änderung der AWS Systems Manager Incident Manager Verfügbarkeit.
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Cross-service verwirrte stellvertretende Prävention im Incident Manager
Das Problem des verwirrten Stellvertreters ist ein Problem mit der Informationssicherheit, das auftritt, wenn eine Entität ohne Genehmigung zur Durchführung einer Aktion eine Entität mit mehr Rechten zur Ausführung der Aktion auffordert. Dies kann es böswilligen Akteuren ermöglichen, Befehle auszuführen oder Ressourcen zu ändern, zu deren Ausführung sie sonst nicht berechtigt wären oder auf die sie nicht zugreifen könnten.
Im AWS Fall kann dienstübergreifender Identitätswechsel zu einem verwirrten Stellvertreter-Szenario führen. Cross-service Ein Identitätswechsel liegt vor, wenn ein Dienst (der anrufende Dienst) einen anderen Dienst (den aufgerufenen Dienst) anruft. Ein böswilliger Akteur kann den aufrufenden Dienst nutzen, um Ressourcen in einem anderen Dienst mithilfe von Berechtigungen zu verändern, über die er normalerweise nicht verfügt.
AWS bietet Dienstprinzipalen verwalteten Zugriff auf Ressourcen in Ihrem Konto, um die Sicherheit Ihrer Ressourcen zu gewährleisten. Wir empfehlen, in Ihren Ressourcenrichtlinien die Schlüssel aws:SourceArn und den aws:SourceAccount globalen Bedingungskontext zu verwenden. Diese Schlüssel schränken die Berechtigungen ein, die AWS Systems Manager Incident Manager einen anderen Dienst für diese Ressource gewähren. Wenn Sie beide globalen Bedingungskontextschlüssel verwenden, müssen der aws:SourceAccount Wert und das Konto, auf das im aws:SourceArn Wert verwiesen wird, dieselbe Konto-ID verwenden, wenn sie in derselben Richtlinienerklärung verwendet werden.
Der Wert von aws:SourceArn muss der ARN des betroffenen Incident-Datensatzes sein. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den aws:SourceArn globalen Kontextbedingungsschlüssel mit dem * Platzhalter für die unbekannten Teile der ARN. Sie können beispielsweise aws:SourceArn auf arn:aws:ssm-incidents:: festlegen. 111122223333:*
Im folgenden Beispiel für eine Vertrauensrichtlinie verwenden wir den aws:SourceArn Bedingungsschlüssel, um den Zugriff auf die Servicerolle auf der Grundlage des ARN des Incident-Datensatzes einzuschränken. Nur Incident-Datensätze, die im Rahmen des Reaktionsplans myresponseplan erstellt wurden, können diese Rolle verwenden.
