Cross-service membingungkan deputi pencegahan di HealthImaging

Masalah "confused deputy" adalah masalah keamanan saat entitas yang tidak memiliki izin untuk melakukan suatu tindakan dapat memaksa entitas yang memilik hak akses lebih tinggi untuk melakukan tindakan tersebut. Di AWS, peniruan identitas lintas layanan dapat mengakibatkan masalah deputi yang membingungkan. Peniruan identitas lintas layanan dapat terjadi ketika satu layanan (layanan yang dipanggil) memanggil layanan lain (layanan yang dipanggil). Layanan pemanggilan dapat dimanipulasi menggunakan izinnya untuk bertindak pada sumber daya pelanggan lain dengan cara yang seharusnya tidak dilakukannya kecuali bila memiliki izin untuk mengakses. Untuk mencegah hal ini, AWS menyediakan alat yang membantu Anda melindungi data Anda untuk semua layanan dengan prinsip layanan yang telah diberi akses ke sumber daya di akun Anda.

Sebaiknya gunakan kunci konteks kondisi aws:SourceAccountglobal aws:SourceArndan global dalam kebijakan hubungan kepercayaan peran ImportJobDataAccessRole IAM Anda untuk membatasi izin yang HealthImaging diberikan AWS kepada layanan lain ke sumber daya Anda. Gunakan aws:SourceArn untuk mengaitkan hanya satu sumber daya dengan akses lintas layanan. Gunakan aws:SourceAccount untuk membiarkan sumber daya apa pun di akun itu dikaitkan dengan penggunaan lintas layanan. Jika Anda menggunakan kedua kunci konteks kondisi global, aws:SourceAccount nilai dan akun yang direferensikan dalam aws:SourceArn nilai harus menggunakan ID akun yang sama saat digunakan dalam pernyataan kebijakan yang sama.

Nilai aws:SourceArn harus ARN dari penyimpanan data yang terpengaruh. Jika Anda tidak mengetahui ARN lengkap dari penyimpanan data, atau jika Anda menentukan beberapa penyimpanan data, gunakan kunci kondisi konteks aws:SourceArn global dengan wildcard * untuk bagian ARN yang tidak diketahui. Misalnya, Anda dapat mengatur aws:SourceArn kearn:aws:medical-imaging:us-west-2:111122223333:datastore/*.

Dalam contoh kebijakan kepercayaan berikut, kami menggunakan kunci aws:SourceArn dan aws:SourceAccount kondisi untuk membatasi akses ke prinsipal layanan berdasarkan ARN penyimpanan data untuk mencegah masalah wakil yang membingungkan.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {
      "Service": "medical-imaging.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "ArnLike": {
        "aws:SourceArn": "arn:aws:medical-imaging:region:accountId:datastore/*"
      },
      "StringEquals": {
        "aws:SourceAccount": "accountId"
      }
    }
  }
}