Serviceübergreifende Confused-Deputy-Prävention

Bei dem Problem mit verwirrten Stellvertretern handelt es sich um ein Sicherheitsproblem, bei dem eine Entität, die nicht zur Durchführung einer Aktion berechtigt ist, eine Entität mit mehr Rechten dazu zwingen kann, die Aktion auszuführen. In AWS: Dienstübergreifendes Identitätswechsels kann zum Problem des verwirrten Stellvertreters führen. Ein serviceübergreifender Identitätswechsel kann auftreten, wenn ein Service (der Anruf-Service) einen anderen Service anruft (den aufgerufenen Service). Der anrufende Service kann so manipuliert werden, dass er seine Berechtigungen nutzt, um auf die Ressourcen eines anderen Kunden in einer Weise zu agieren, für die er sonst keine Zugriffsberechtigung hätte. Um dies zu verhindern, bietet AWS Tools, mit denen Sie Ihre Daten für alle Services mit Serviceprinzipalen schützen können, die Zugriff auf Ressourcen in Ihrem Konto erhalten haben.

Wir empfehlen, die Kontextschlüssel aws:SourceArn und die aws:SourceAccount globalen Bedingungsschlüssel in Ressourcenrichtlinien zu verwenden, um die Berechtigungen einzuschränken, die Identity and Access Management (IAM) Amazon Nimble Studio für den Zugriff auf Ihre Ressourcen gewährt. Wenn Sie beide Kontextschlüssel für globale Bedingungen verwenden, müssen der aws:SourceAccount Wert und das Konto im aws:SourceArn Wert dieselbe Konto-ID verwenden, wenn sie in derselben Richtlinienerklärung verwendet werden.

Der Wert von aws:SourceArn muss der ARN des Studios sein und aws:SourceAccount muss Ihre Konto-ID sein. Sie werden nicht wissen, wie die Studio-ID lautet, bis das Studio erstellt wurde, da es von Nimble Studio generiert wurde. Sobald Ihr Studio erstellt ist, können Sie die Vertrauensrichtlinie so aktualisieren, dass die endgültige Studio-ID als festgelegt ist. aws:SourceArn

Der effektivste Weg, um sich vor dem Confused-Deputy-Problem zu schützen, ist die Verwendung des globalen Bedingungskontext-Schlüssels aws:SourceArn mit dem vollständigen ARN der Ressource. Wenn Sie den vollständigen ARN der Ressource nicht kennen oder wenn Sie mehrere Ressourcen angeben, verwenden Sie den aws:SourceArn globalen Kontextbedingungsschlüssel mit Platzhaltern (*) für die unbekannten Teile des ARN. Beispiel, arn:aws:nimble::123456789012:*.

Ihre Endbenutzer nehmen Ihre Studio-Rolle an, wenn sie sich beim Nimble Studio-Portal anmelden. Wenn Sie Ihr Studio erstellen, AWS konfiguriert es die Rolle und bewertet die Richtlinie. AWS bewertet die Richtlinie jedes Mal, wenn sich einer Ihrer Benutzer beim Nimble Studio-Portal anmeldet. Wenn Sie ein Studio erstellen, können Sie das nicht ändern. aws:SourceArn Nachdem Sie mit der Erstellung Ihres Studios fertig sind, können Sie Ihr StudioARN für die verwenden. aws:SourceArn

Das folgende Beispiel ist eine Richtlinie zur Übernahme einer Rolle, die zeigt, wie Sie die Kontextschlüssel aws:SourceArn und die aws:SourceAccount globalen Bedingungsschlüssel in Nimble Studio verwenden können, um das Problem des verwirrten Stellvertreters zu verhindern.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "identity.nimble.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:nimble:us-west-2:123456789012:studio/*"
        }
      }
    }
  ]
}