Hinweis zum Ende des Supports: Am 15. Dezember 2025 AWS endet der Support für AWS IoT Analytics. Nach dem 15. Dezember 2025 können Sie nicht mehr auf die AWS IoT Analytics Konsole oder AWS IoT Analytics Ressourcen zugreifen. Weitere Informationen finden Sie unter [AWS IoT Analytics Ende des Supports](https://docs.aws.amazon.com/iotanalytics/latest/userguide/iotanalytics-end-of-support.html). Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Serviceübergreifende Confused-Deputy-Prävention Das Confused-Deputy-Problem ist ein Sicherheitsproblem, bei dem eine juristische Stelle, die nicht über die Berechtigung zum Ausführen einer Aktion verfügt, eine privilegiertere juristische Stelle zwingen kann, die Aktion auszuführen. In AWS kann ein dienstübergreifendes Identitätswechsels zu einem Problem mit dem verwirrten Stellvertreter führen. Ein serviceübergreifender Identitätswechsel kann auftreten, wenn ein Service (der *Anruf-Service*) einen anderen Service anruft (den *aufgerufenen Service*). Der Anruf-Service kann so manipuliert werden, dass er seine Berechtigungen verwendet, um auf die Ressourcen eines anderen Kunden zu reagieren, auf die er sonst nicht zugreifen dürfte. Um dies zu verhindern, werden Tools AWS bereitgestellt, mit denen Sie Ihre Daten für alle Dienste schützen können. Dazu gehören Dienstprinzipale, denen Zugriff auf Ressourcen in Ihrem Konto gewährt wurde. Wir empfehlen, die Kontextschlüssel [`aws:SourceArn`](https://docs.aws.amazon.com/ IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)und die [`aws:SourceAccount`](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)globalen Bedingungsschlüssel in Ressourcenrichtlinien zu verwenden. Dies schränkt die Berechtigungen ein AWS IoT Analytics , die der Ressource einen anderen Dienst gewähren. Wenn Sie beide globalen Bedingungskontextschlüssel verwenden, müssen der `aws:SourceAccount`-Wert und das Konto im `aws:SourceArn`-Wert dieselbe Konto-ID verwenden, wenn sie in derselben Richtlinienanweisung verwendet werden. Der effektivste Weg, um sich vor dem Verwirrter-Stellvertreter-Problem zu schützen, ist die Verwendung des `aws:SourceArn` globalen Bedingungskontextschlüssels mit dem vollständigen Amazon-Ressourcenname (ARN) der Ressource. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den globalen Bedingungskontext-Schlüssel `aws:SourceArn` mit Platzhaltern (`*`) für die unbekannten Teile des ARN. Beispiel, `arn:aws:{{iotanalytics}}::{{123456789012}}:*`. **Topics** + [Prävention für Amazon S3 S3-Buckets](#confused-deputy-prevention-with-S3) + [Prävention mit Amazon CloudWatch Logs](#confused-deputy-prevention-with-cloudwatch-logs) + [Vorbeugung gegen verwirrte Stellvertreter bei vom Kunden verwalteten AWS IoT Analytics Ressourcen](#confused-deputy-prevention-for-resources-with-customer-managed-storage) ## Prävention für Amazon S3 S3-Buckets Wenn Sie kundenverwalteten Amazon S3 S3-Speicher für Ihren AWS IoT Analytics Datenspeicher verwenden, kann der Amazon S3 S3-Bucket, in dem Ihre Daten gespeichert sind, verwirrten stellvertretenden Problemen ausgesetzt sein. Nikki Wolf verwendet beispielsweise einen kundeneigenen Amazon S3 S3-Bucket namens{{DOC-EXAMPLE-BUCKET}}. Der Bucket speichert Informationen für einen AWS IoT Analytics Datenspeicher, der in der Region {{us-east-1}} erstellt wurde. Sie gibt eine Richtlinie an, die es dem AWS IoT Analytics Dienstprinzipal ermöglicht, in {{DOC-EXAMPLE-BUCKET}} ihrem Namen Abfragen durchzuführen. Nikkis Mitarbeiterin Li Juan fragt {{DOC-EXAMPLE-BUCKET}} von ihrem eigenen Konto aus ab und erstellt einen Datensatz mit den Ergebnissen. Infolgedessen fragte der AWS IoT Analytics Service Principal Nikkis Amazon S3 S3-Bucket im Namen von Li ab, obwohl Li die Anfrage von ihrem Konto aus durchführte. Um dies zu verhindern, kann Nikki die `aws:SourceAccount` Bedingung oder die `aws:SourceArn` Bedingung in der Richtlinie für angeben. {{DOC-EXAMPLE-BUCKET}} **Geben Sie die `aws:SourceAccount` Bedingung** an — Das folgende Beispiel für eine Bucket-Richtlinie legt fest, dass nur die AWS IoT Analytics Ressourcen von Nikkis Konto ({{123456789012}}) darauf zugreifen können. {{DOC-EXAMPLE-BUCKET}} ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Id": "MyPolicyID", "Statement": [ { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "iotanalytics.amazonaws.com" }, "Action": [ "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:ListMultipartUploadParts", "s3:AbortMultipartUpload", "s3:PutObject", "s3:DeleteObject" ], "Resource": [ "arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}", "arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}/*" ], "Condition": { "StringEquals": { "aws:SourceAccount": "{{123456789012}}" } } } ] } ``` ------ **Geben Sie die `aws:SourceArn` Bedingung** an. Alternativ kann Nikki die `aws:SourceArn` Bedingung verwenden. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Id": "MyPolicyID", "Statement": [ { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "iotanalytics.amazonaws.com" }, "Action": [ "s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:ListBucketMultipartUploads", "s3:ListMultipartUploadParts", "s3:AbortMultipartUpload", "s3:PutObject", "s3:DeleteObject" ], "Resource": [ "arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}", "arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}/*" ], "Condition": { "ArnLike": { "aws:SourceArn": [ "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:dataset/{{your-dataset}}", "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:datastore/{{your-datastore}}" ] } } } ] } ``` ------ ## Prävention mit Amazon CloudWatch Logs Sie können das Problem mit dem verwirrten Stellvertreter bei der Überwachung mit Amazon CloudWatch Logs verhindern. Die folgende Ressourcenrichtlinie zeigt, wie Sie das Problem mit dem verwirrten Stellvertreter verhindern können mit: + Der globale Bedingungskontextschlüssel, `aws:SourceArn` + Der `aws:SourceAccount` mit deiner AWS Konto-ID + Die Kundenressource, die der `sts:AssumeRole` Anfrage zugeordnet ist AWS IoT Analytics {{123456789012}}Ersetzen Sie es im folgenden Beispiel {{us-east-1}} durch Ihre AWS AWS IoT Analytics Konto-ID und durch die Region Ihres Kontos. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "iotanalytics.amazonaws.com" }, "Action": "logs:PutLogEvents", "Resource": "*", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:*/*" }, "StringEquals": { "aws:SourceAccount": "{{123456789012}}" } } } ] } ``` ------ Weitere Informationen zur Aktivierung und Konfiguration von Amazon CloudWatch Logs finden Sie unter[Anmeldung und Überwachung AWS IoT Analytics](monitoring.md). ## Vorbeugung gegen verwirrte Stellvertreter bei vom Kunden verwalteten AWS IoT Analytics Ressourcen Wenn Sie die AWS IoT Analytics Genehmigung zur Durchführung von Aktionen an Ihren AWS IoT Analytics Ressourcen erteilen, kann es zu Problemen mit verwirrten Stellvertretern kommen. Um das Problem mit verwirrten Stellvertretern zu vermeiden, können Sie die erteilten Berechtigungen AWS IoT Analytics anhand der folgenden Beispiel-Ressourcenrichtlinien einschränken. **Topics** + [Prävention für AWS IoT Analytics Kanäle und Datenspeicher](#confused-deputy-prevention-for-channels-and-datastores) + [Dienstübergreifend verwirrter Stellvertreter zur Vermeidung von Regeln für die Bereitstellung von AWS IoT Analytics Datensatzinhalten](#confused-deputy-prevention-for-dataset-content-delivery) ### Prävention für AWS IoT Analytics Kanäle und Datenspeicher Sie verwenden IAM-Rollen, um die AWS Ressourcen zu kontrollieren, auf die AWS IoT Analytics Sie in Ihrem Namen zugreifen können. Um zu verhindern, dass Ihre Rolle dem Problem des verwirrten Stellvertreters ausgesetzt wird, können Sie das AWS Konto im `aws:SourceAccount` Element und den ARN der AWS IoT Analytics Ressource im `aws:SourceArn` Element der Vertrauensrichtlinie angeben, die Sie einer Rolle zuordnen. Im folgenden Beispiel {{123456789012}} ersetzen Sie es durch Ihre AWS Konto-ID und {{arn:aws:iotanalytics:{{aws-region}}:123456789012:channel/DOC-EXAMPLE-CHANNEL}} durch den ARN eines AWS IoT Analytics Kanals oder Datenspeichers. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "iotanalytics.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "{{123456789012}}" }, "ArnLike": { "aws:SourceArn": "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:{{channel}}/{{your-channel}}" } } } ] } ``` ------ Weitere Informationen zu den vom Kunden verwalteten S3-Speicheroptionen für Kanäle und Datenspeicher finden Sie unter [`CustomerManagedChannelS3Storage`](https://docs.aws.amazon.com/iotanalytics/latest/APIReference/API_CustomerManagedChannelS3Storage.html)und [`CustomerManagedDatastoreS3Storage`](https://docs.aws.amazon.com/iotanalytics/latest/APIReference/API_CustomerManagedDatastoreS3Storage.html)in der *AWS IoT Analytics API-Referenz*. ### Dienstübergreifend verwirrter Stellvertreter zur Vermeidung von Regeln für die Bereitstellung von AWS IoT Analytics Datensatzinhalten Die IAM-Rolle, die AWS IoT Analytics davon ausgeht, Datensatzabfrageergebnisse an Amazon S3 zu liefern oder zu verwirrenden stellvertretenden Problemen ausgesetzt sein AWS IoT Events kann. Um das Problem des verwirrten Stellvertreters zu vermeiden, geben Sie das AWS Konto im `aws:SourceAccount` Element und den ARN der AWS IoT Analytics Ressource im `aws:SourceArn` Element der Vertrauensrichtlinie an, die Sie Ihrer Rolle zuordnen. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ConfusedDeputyPreventionExampleTrustPolicyDocument", "Effect": "Allow", "Principal": { "Service": "iotanalytics.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "{{123456789012}}" }, "ArnLike": { "aws:SourceArn": "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:dataset/{{your-dataset}}" } } } ] } ``` ------ Weitere Informationen zur Konfiguration von Regeln für die Bereitstellung von Datensatz-Inhalten finden Sie [`contentDeliveryRules`](https://docs.aws.amazon.com/iotanalytics/latest/APIReference/API_CreateDataset.html#iotanalytics-CreateDataset-request-contentDeliveryRules)in der *AWS IoT Analytics API-Referenz*.