Prévention interservices confuse des adjoints dans HealthImaging

Le problème de député confus est un problème de sécurité dans lequel une entité qui n’est pas autorisée à effectuer une action peut contraindre une entité plus privilégiée à le faire. Dans AWS, l'usurpation d'identité entre services peut entraîner la confusion des adjoints. L’usurpation d’identité entre services peut se produire lorsqu’un service (le service appelant) appelle un autre service (le service appelé). Le service appelant peut être manipulé et ses autorisations utilisées pour agir sur les ressources d’un autre client auxquelles on ne serait pas autorisé d’accéder autrement. Pour éviter cela, AWS fournit des outils qui vous aident à protéger vos données pour tous les services, les principaux fournisseurs de services ayant obtenu l'accès aux ressources de votre compte.

Nous vous recommandons d'utiliser les clés de contexte de condition aws:SourceAccountglobale aws:SourceArnet les clés de contexte dans les politiques de relation de confiance de votre rôle ImportJobDataAccessRole IAM afin de limiter les autorisations qu'AWS HealthImaging accorde à un autre service à votre ressource. Utilisez aws:SourceArn pour associer une seule ressource à l’accès interservice. Utilisez aws:SourceAccount pour permettre à n’importe quelle ressource de ce compte d’être associée à l’utilisation interservice. Si vous utilisez les deux clés contextuelles de condition globale, la aws:SourceAccount valeur et le compte référencés dans la aws:SourceArn valeur doivent utiliser le même identifiant de compte lorsqu'ils sont utilisés dans la même déclaration de politique.

La valeur de aws:SourceArn doit être l'ARN du magasin de données concerné. Si vous ne connaissez pas l'ARN complet du magasin de données, ou si vous spécifiez plusieurs magasins de données, utilisez la clé de condition contextuelle aws:SourceArn globale avec le caractère générique* pour les parties inconnues de l'ARN. Par exemple, vous pouvez aws:SourceArn définir surarn:aws:medical-imaging:us-west-2:111122223333:datastore/*.

Dans l'exemple de politique de confiance suivant, nous utilisons la clé de aws:SourceAccount condition aws:SourceArn and pour restreindre l'accès au principal de service en fonction de l'ARN du magasin de données afin d'éviter le problème de confusion lié aux adjoints.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {
      "Service": "medical-imaging.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "ArnLike": {
        "aws:SourceArn": "arn:aws:medical-imaging:region:accountId:datastore/*"
      },
      "StringEquals": {
        "aws:SourceAccount": "accountId"
      }
    }
  }
}