Cross-service prévention adjointe confuse

Le problème de député confus est un problème de sécurité dans lequel une entité qui n’est pas autorisée à effectuer une action peut contraindre une entité plus privilégiée à le faire. En AWS, l'usurpation d'identité interservices peut entraîner la confusion du problème des adjoints. Cross-service l'usurpation d'identité peut se produire lorsqu'un service (le service appelant) appelle un autre service (le service appelé). Le service appelant peut être manipulé et ses autorisations utilisées pour agir sur les ressources d’un autre client auxquelles on ne serait pas autorisé à accéder autrement. Pour éviter cela, AWS fournit des outils qui vous aident à protéger vos données pour tous les services dont les responsables de service ont eu accès aux ressources de votre compte.

Nous vous recommandons d'utiliser les clés contextuelles de condition SourceAccount globales AWSAWS : SourceArn et : dans les politiques relatives aux ressources afin de limiter les autorisations qu'Amazon Connect accorde à un autre service pour la ressource. Si vous utilisez les deux clés contextuelles de condition globale, la SourceAccount valeur AWS : et le compte figurant dans la SourceArn valeur AWS : doivent utiliser le même ID de compte lorsqu'ils sont utilisés dans la même déclaration de politique.

Le moyen le plus efficace de se protéger contre le problème de l’adjoint confus consiste à utiliser l’Amazon Resource Name (ARN) exact de la ressource que vous souhaitez autoriser. Si vous ne connaissez pas l'ARN complet de la ressource ou si vous spécifiez plusieurs ressources, utilisez la AWS clé de condition de contexte SourceArn global avec des caractères génériques (*) pour les parties inconnues de l'ARN. Par exemple, arn ::servicename : :region-name AWS : :your account ID :*. AWS

Pour un exemple de politique d'attribution de rôle qui montre comment vous pouvez éviter un problème de confusion entre les sous-ministres, voir Stratégie de prévention de la confusion entre les sous-ministres.