Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Confused Deputy zu Ihrer Terraform-Provisioning-Engine hinzufügen
Confused Deputy: Kontexttasten auf den Endpunkten, um den Zugriff für Operationen einzuschränken lambda:Invoke
Die von AWS Service Catalog-bereitgestellten Engines erstellte Lambda-Funktion für den Parameterparser verfügt über eine Zugriffsrichtlinie, die nur dem Dienstprinzipal kontenübergreifende lambda:Invoke Berechtigungen gewährt: AWS Service Catalog
Dies sollte die einzige Berechtigung sein, die erforderlich ist, damit die Integration mit AWS Service Catalog ordnungsgemäß funktioniert. Sie können dies jedoch mithilfe des Kontextschlüssels aws:SourceAccount Confused Deputy weiter einschränken. Wenn Nachrichten AWS Service Catalog an diese Warteschlangen gesendet werden, wird der Schlüssel mit der AWS Service Catalog ID des Bereitstellungskontos aufgefüllt. Dies ist hilfreich, wenn Sie beabsichtigen, Produkte per Portfolio-Sharing zu vertreiben und sicherstellen möchten, dass nur bestimmte Konten Ihre Engine verwenden.
Sie können Ihre Engine beispielsweise so einschränken, dass sie nur Anfragen zulässt, die von 000000000000 und 111111111111 stammen, indem Sie die unten dargestellte Bedingung verwenden:
Confused Deputy: Kontexttasten auf den Endpunkten, um den Zugriff für Operationen einzuschränken sqs:SendMessage
Die von AWS Service Catalog-bereitgestellten Engines erstellten Amazon SQS SQS-Warteschlangen für Bereitstellungsvorgänge verfügen über eine Zugriffsrichtlinie, die kontoübergreifende sqs:SendMessage (und zugehörige KMS-) Berechtigungen nur dem Service Principal gewährt: AWS Service Catalog
Dies sollte die einzige Genehmigung sein, die erforderlich ist, damit die Integration ordnungsgemäß funktioniert. AWS Service Catalog Sie können dies jedoch mithilfe des Kontextschlüssels aws:SourceAccount Confused Deputy weiter einschränken. Wenn Nachrichten AWS Service Catalog an diese Warteschlangen gesendet werden, AWS Service Catalog füllt die Schlüssel mit der ID des Bereitstellungskontos auf. Dies ist hilfreich, wenn Sie beabsichtigen, Produkte per Portfolio-Sharing zu vertreiben und sicherstellen möchten, dass nur bestimmte Konten Ihre Engine verwenden.
Sie können Ihre Engine beispielsweise so einschränken, dass sie nur Anfragen zulässt, die von 000000000000 und 111111111111 stammen, indem Sie die unten dargestellte Bedingung verwenden:
