# Serviceübergreifende Confused-Deputy-Prävention
<a name="dd-cross-service-confused-deputy-prevention"></a>

Das Confused-Deputy-Problem ist ein Sicherheitsproblem, bei dem eine juristische Stelle, die nicht über die Berechtigung zum Ausführen einer Aktion verfügt, eine privilegiertere juristische Stelle zwingen kann, die Aktion auszuführen. In AWS kann der serviceübergreifende Identitätswechsel zu Confused-Deputy-Problem führen. Ein serviceübergreifender Identitätswechsel kann auftreten, wenn ein Service (der *Anruf-Service*) einen anderen Service anruft (den *aufgerufenen Service*). Der Anruf-Service kann so manipuliert werden, dass er seine Berechtigungen verwendet, um auf die Ressourcen eines anderen Kunden über den aufgerufenen Service zu reagieren, auf die er sonst nicht zugreifen dürfte. Um dies zu verhindern, bietet AWS Tools, mit denen Sie Ihre Daten für alle Services mit Serviceprinzipalen schützen können, die Zugriff auf Ressourcen in Ihrem Konto erhalten haben. 

Es gibt drei Ressourcen von Ihnen, auf die AWS IoT Device Defender zugreift, die durch das Confused-Deputy-Sicherheitsproblem betroffen sein können: das Ausführen von Audits, das Senden von SNS-Benachrichtigungen bei Verstößen gegen das Sicherheitsprofil und das Ausführen von Abschwächungsaktionen. Für jede dieser Aktionen müssen die Werte für `aws:SourceArn` wie folgt lauten:
+ Für Ressourcen, die in der [UpdateAccountAuditConfiguration](https://docs.aws.amazon.com/iot/latest/apireference/API_UpdateAccountAuditConfiguration.html)-API übergeben wurden (RoleArn- und notificationTarget-RoleArn-Attribute), sollten Sie die Ressourcenrichtlinie mithilfe von `aws:SourceArn` als `arn:{{arnPartition}}:iot:{{region}}:{{accountId}}:` einschränken.
+ Für Ressourcen, die in der [CreateMitigationAction](https://docs.aws.amazon.com/iot/latest/apireference/API_CreateMitigationAction.html)-API (das RoleArn-Attribut) übergeben wurden, sollten Sie die Ressourcenrichtlinie mithilfe von `aws:SourceArn` als `arn:{{arnPartition}}:iot:{{region}}:{{accountId}}:mitigationaction/{{mitigationActionName}}` einschränken.
+  Für Ressourcen, die in der [CreateSecurityProfile](https://docs.aws.amazon.com/iot/latest/apireference/API_CreateSecurityProfile.html)-API (das alertTargets-Attribut) übergeben wurden, sollten Sie die Ressourcenrichtlinie mithilfe von `aws:SourceArn` als `arn:{{arnPartition}}:iot:{{region}}:{{accountId}}:securityprofile/{{securityprofileName}}` einschränken.

Der effektivste Weg, um sich vor dem Confused-Deputy-Problem zu schützen, ist die Verwendung des globalen Bedingungskontext-Schlüssels `aws:SourceArn` mit dem vollständigen ARN der Ressource. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den globalen Bedingungskontext-Schlüssel `aws:SourceArn` mit Platzhaltern (`*`) für die unbekannten Teile des ARN. Beispiel, `arn:aws:{{servicename}}:*:{{123456789012}}:*`.

Das folgende Beispiel zeigt, wie Sie die globalen Bedingungskontext-Schlüssel `aws:SourceArn` und `aws:SourceAccount` in AWS IoT Device Defender verwenden können, um das Confused-Deputy-Problem zu vermeiden.

------
#### [ JSON ]

****  

```
 {
"Version":"2012-10-17",		 	 	 
"Statement": {
  "Sid": "ConfusedDeputyPreventionExamplePolicy",
  "Effect": "Allow",
  "Principal": {
    "Service": "iot.amazonaws.com"
  },
  "Action": "sts:AssumeRole",
  "Condition": {
    "ArnLike": {
      "aws:SourceArn": "arn:aws:iot:*:123456789012::*"
    },
    "StringEquals": {
      "aws:SourceAccount": "123456789012:"
    }
  }
}
}
```

------