Cross-service prevenzione sostitutiva confusa

Il problema del sostituto confuso è un problema di sicurezza delle informazioni che si verifica quando un'entità senza il permesso di eseguire un'azione chiama un'entità più privilegiata a eseguire l'azione. Ciò può consentire a malintenzionati di eseguire comandi o modificare risorse che altrimenti non avrebbero il permesso di eseguire o accedere. Per ulteriori informazioni, vedere The confused vice problem nella Guida AWS Identity and Access Management per l'utente.

In AWS, l'impersonificazione tra servizi può portare a uno scenario confuso come sostituto. Cross-service la rappresentazione avviene quando un servizio (il servizio chiamante) chiama un altro servizio (il servizio chiamato). Un malintenzionato può utilizzare il servizio chiamante per alterare le risorse di un altro servizio utilizzando autorizzazioni che normalmente non avrebbe.

AWS fornisce ai responsabili del servizio l'accesso gestito alle risorse del tuo account per aiutarti a proteggere la sicurezza delle tue risorse. Ti consigliamo di utilizzare la chiave di contesto aws:SourceAccount globale delle condizioni nelle politiche relative alle risorse. Queste chiavi limitano le autorizzazioni concesse da Amazon Chime a un altro servizio a quella risorsa.

L'esempio seguente mostra una policy del bucket S3 che utilizza la chiave di contesto di condizione aws:SourceAccount globale nel bucket CallDetailRecords S3 configurato per aiutare a prevenire il confuso problema sostitutivo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonChimeAclCheck668426",
            "Effect": "Allow",
            "Principal": {
                "Service": "chime.amazonaws.com"
            },
            "Action": "s3:GetBucketAcl",
            "Resource": "arn:aws:s3:::your-cdr-bucket",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "112233446677"
                }
            }
        },
        {
            "Sid": "AmazonChimeWrite668426",
            "Effect": "Allow",
            "Principal": {
                "Service": "chime.amazonaws.com"
            },
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::your-cdr-bucket/*",
            "Condition": {
                "StringEquals": {
                    "s3:x-amz-acl": "bucket-owner-full-control",
                    "aws:SourceAccount": "112233446677"
                }
            }
        }
    ]
}