Pemberitahuan akhir dukungan: Pada 15 Desember 2025, AWS akan mengakhiri dukungan untuk AWS IoT Analytics. Setelah 15 Desember 2025, Anda tidak akan lagi dapat mengakses AWS IoT Analytics konsol, atau AWS IoT Analytics sumber daya. Untuk informasi selengkapnya, lihat [AWS IoT Analytics akhir dukungan](https://docs.aws.amazon.com/iotanalytics/latest/userguide/iotanalytics-end-of-support.html).
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Pencegahan "confused deputy" lintas layanan
Masalah "confused deputy" adalah masalah keamanan di mana entitas yang tidak memiliki izin untuk melakukan tindakan dapat memengaruhi entitas yang memiliki hak akses lebih tinggi untuk melakukan tindakan. Pada tahun AWS, peniruan lintas layanan dapat mengakibatkan masalah wakil yang membingungkan. Peniruan identitas lintas layanan dapat terjadi ketika satu layanan (*layanan yang dipanggil*) memanggil layanan lain (*layanan yang dipanggil*). Layanan panggilan dapat dimanipulasi untuk menggunakan izinnya untuk bertindak atas sumber daya pelanggan lain dengan cara yang seharusnya tidak memiliki izin untuk mengakses. Untuk mencegah hal ini, AWS sediakan alat yang membantu Anda melindungi data Anda untuk semua layanan, dengan prinsip layanan yang telah diberikan akses ke sumber daya di akun Anda.
Sebaiknya gunakan kunci konteks kondisi [`aws:SourceAccount`](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount)global [`aws:SourceArn`](https://docs.aws.amazon.com/ IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)dan global dalam kebijakan sumber daya. Ini membatasi izin yang AWS IoT Analytics memberikan layanan lain ke sumber daya. Jika Anda menggunakan kedua kunci konteks kondisi global, `aws:SourceAccount` nilai dan akun dalam `aws:SourceArn` nilai harus menggunakan ID akun yang sama saat digunakan dalam pernyataan kebijakan yang sama.
Cara paling efektif untuk melindungi dari masalah wakil yang membingungkan adalah dengan menggunakan kunci konteks kondisi `aws:SourceArn` global dengan Nama Sumber Daya Amazon (ARN) lengkap dari sumber daya. Jika Anda tidak mengetahui ARN lengkap sumber daya atau jika Anda menentukan beberapa sumber daya, gunakan kunci kondisi konteks `aws:SourceArn` global dengan wildcard (`*`) untuk bagian ARN yang tidak diketahui. Misalnya, `arn:aws:{{iotanalytics}}::{{123456789012}}:*`.
**Topics**
+ [Pencegahan untuk ember Amazon S3](#confused-deputy-prevention-with-S3)
+ [Pencegahan dengan Amazon CloudWatch Logs](#confused-deputy-prevention-with-cloudwatch-logs)
+ [Pencegahan wakil yang membingungkan untuk AWS IoT Analytics sumber daya yang dikelola pelanggan](#confused-deputy-prevention-for-resources-with-customer-managed-storage)
## Pencegahan untuk ember Amazon S3
Jika Anda menggunakan penyimpanan Amazon S3 yang dikelola pelanggan untuk penyimpanan AWS IoT Analytics data Anda, bucket Amazon S3 yang menyimpan data Anda mungkin terkena masalah deputi yang membingungkan.
Misalnya, Nikki Wolf menggunakan ember Amazon S3 milik pelanggan yang disebut. {{DOC-EXAMPLE-BUCKET}} Bucket menyimpan informasi untuk penyimpanan AWS IoT Analytics data yang dibuat di Wilayah{{us-east-1}}. Dia menentukan kebijakan yang memungkinkan kepala AWS IoT Analytics layanan untuk menanyakan {{DOC-EXAMPLE-BUCKET}} atas namanya. Rekan kerja Nikki, Li Juan, menanyakan {{DOC-EXAMPLE-BUCKET}} dari akunnya sendiri dan membuat kumpulan data dengan hasilnya. Akibatnya, kepala AWS IoT Analytics layanan menanyakan ember Amazon S3 Nikki atas nama Li meskipun Li menjalankan kueri dari akunnya.
Untuk mencegah hal ini, Nikki dapat menentukan `aws:SourceAccount` kondisi atau `aws:SourceArn` kondisi dalam polis untuk{{DOC-EXAMPLE-BUCKET}}.
**Tentukan `aws:SourceAccount` kondisi** - Contoh kebijakan bucket berikut menetapkan bahwa hanya AWS IoT Analytics sumber daya dari akun Nikki ({{123456789012}}) yang dapat diakses. {{DOC-EXAMPLE-BUCKET}}
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id": "MyPolicyID",
"Statement": [
{
"Sid": "ConfusedDeputyPreventionExamplePolicy",
"Effect": "Allow",
"Principal": {
"Service": "iotanalytics.amazonaws.com"
},
"Action": [
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:ListBucketMultipartUploads",
"s3:ListMultipartUploadParts",
"s3:AbortMultipartUpload",
"s3:PutObject",
"s3:DeleteObject"
],
"Resource": [
"arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}",
"arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}/*"
],
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{123456789012}}"
}
}
}
]
}
```
------
**Tentukan `aws:SourceArn` kondisi** - Atau, Nikki dapat menggunakan `aws:SourceArn` kondisi tersebut.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Id": "MyPolicyID",
"Statement": [
{
"Sid": "ConfusedDeputyPreventionExamplePolicy",
"Effect": "Allow",
"Principal": {
"Service": "iotanalytics.amazonaws.com"
},
"Action": [
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:ListBucketMultipartUploads",
"s3:ListMultipartUploadParts",
"s3:AbortMultipartUpload",
"s3:PutObject",
"s3:DeleteObject"
],
"Resource": [
"arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}",
"arn:aws:s3:*:*:{{amzn-s3-demo-bucket}}/*"
],
"Condition": {
"ArnLike": {
"aws:SourceArn": [
"arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:dataset/{{your-dataset}}",
"arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:datastore/{{your-datastore}}"
]
}
}
}
]
}
```
------
## Pencegahan dengan Amazon CloudWatch Logs
Anda dapat mencegah masalah wakil yang membingungkan saat memantau dengan Amazon CloudWatch Logs. Kebijakan sumber daya berikut menunjukkan cara mencegah masalah wakil yang bingung dengan:
+ Kunci konteks kondisi global, `aws:SourceArn`
+ `aws:SourceAccount`Dengan ID AWS akun Anda
+ Sumber daya pelanggan yang terkait dengan `sts:AssumeRole` permintaan di AWS IoT Analytics
Ganti {{123456789012}} dengan ID AWS akun Anda, dan {{us-east-1}} dengan Wilayah AWS IoT Analytics akun Anda dalam contoh berikut.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "iotanalytics.amazonaws.com"
},
"Action": "logs:PutLogEvents",
"Resource": "*",
"Condition": {
"ArnLike": {
"aws:SourceArn": "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:*/*"
},
"StringEquals": {
"aws:SourceAccount": "{{123456789012}}"
}
}
}
]
}
```
------
Untuk informasi selengkapnya tentang mengaktifkan dan mengonfigurasi CloudWatch Log Amazon, lihat. [Penebangan dan pemantauan di AWS IoT Analytics](monitoring.md)
## Pencegahan wakil yang membingungkan untuk AWS IoT Analytics sumber daya yang dikelola pelanggan
Jika Anda memberikan AWS IoT Analytics izin untuk melakukan tindakan pada AWS IoT Analytics sumber daya Anda, sumber daya mungkin terkena masalah wakil yang membingungkan. Untuk mencegah masalah deputi yang membingungkan, Anda dapat membatasi izin yang diberikan AWS IoT Analytics dengan contoh kebijakan sumber daya berikut.
**Topics**
+ [Pencegahan untuk AWS IoT Analytics saluran dan penyimpanan data](#confused-deputy-prevention-for-channels-and-datastores)
+ [Pencegahan deputi kebingungan lintas layanan untuk aturan AWS IoT Analytics pengiriman konten kumpulan data](#confused-deputy-prevention-for-dataset-content-delivery)
### Pencegahan untuk AWS IoT Analytics saluran dan penyimpanan data
Anda menggunakan peran IAM untuk mengontrol AWS sumber daya yang AWS IoT Analytics dapat diakses atas nama Anda. Untuk mencegah mengekspos peran Anda ke masalah wakil yang membingungkan, Anda dapat menentukan AWS akun dalam `aws:SourceAccount` elemen dan ARN sumber AWS IoT Analytics daya dalam `aws:SourceArn` elemen kebijakan kepercayaan yang Anda lampirkan ke peran.
Dalam contoh berikut, ganti {{123456789012}} dengan ID AWS akun Anda dan {{arn:aws:iotanalytics:{{aws-region}}:123456789012:channel/DOC-EXAMPLE-CHANNEL}} dengan ARN dari AWS IoT Analytics saluran atau penyimpanan data.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ConfusedDeputyPreventionExamplePolicy",
"Effect": "Allow",
"Principal": {
"Service": "iotanalytics.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{123456789012}}"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:{{channel}}/{{your-channel}}"
}
}
}
]
}
```
------
Untuk mempelajari lebih lanjut tentang opsi penyimpanan S3 yang dikelola pelanggan untuk saluran dan penyimpanan data, lihat [`CustomerManagedChannelS3Storage`](https://docs.aws.amazon.com/iotanalytics/latest/APIReference/API_CustomerManagedChannelS3Storage.html)dan [`CustomerManagedDatastoreS3Storage`](https://docs.aws.amazon.com/iotanalytics/latest/APIReference/API_CustomerManagedDatastoreS3Storage.html)di *Referensi AWS IoT Analytics API*.
### Pencegahan deputi kebingungan lintas layanan untuk aturan AWS IoT Analytics pengiriman konten kumpulan data
Peran IAM yang AWS IoT Analytics mengasumsikan untuk mengirimkan hasil kueri kumpulan data ke Amazon S3 atau AWS IoT Events dapat terkena masalah wakil yang membingungkan. Untuk mencegah masalah wakil yang bingung, tentukan AWS akun di `aws:SourceAccount` elemen dan ARN AWS IoT Analytics sumber daya dalam `aws:SourceArn` elemen kebijakan kepercayaan yang Anda lampirkan pada peran Anda.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ConfusedDeputyPreventionExampleTrustPolicyDocument",
"Effect": "Allow",
"Principal": {
"Service": "iotanalytics.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "{{123456789012}}"
},
"ArnLike": {
"aws:SourceArn": "arn:aws:iotanalytics:{{us-east-1}}:{{123456789012}}:dataset/{{your-dataset}}"
}
}
}
]
}
```
------
Untuk detail selengkapnya tentang mengonfigurasi aturan pengiriman konten kumpulan data, lihat [`contentDeliveryRules`](https://docs.aws.amazon.com/iotanalytics/latest/APIReference/API_CreateDataset.html#iotanalytics-CreateDataset-request-contentDeliveryRules)di Referensi *AWS IoT Analytics API*.