Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Cross-service prevenzione sostitutiva confusa
Il problema confused deputy è un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire un’azione può costringere un’entità maggiormente privilegiata a eseguire l’azione. Nel AWS, l'impersonificazione tra servizi può causare il problema della confusione del sostituto. Cross-service l'imitazione può avvenire quando un servizio (il servizio chiamante) chiama un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l’accesso alle risorse del tuo account.
Si consiglia di utilizzare le chiavi di contesto delle condizioni aws:SourceArn globali nelle politiche delle risorse per limitare le autorizzazioni che AWSClean Rooms forniscono un altro servizio alla risorsa. Utilizzare aws:SourceArn se si desidera consentire l’associazione di una sola risorsa all’accesso tra servizi.
Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l’ARN completo della risorsa. In AWSClean Rooms, è inoltre necessario effettuare il confronto con la chiave di sts:ExternalId condizione.
Il valore di aws:SourceArn deve essere impostato sull'ARN dell'appartenenza al ruolo assunto.
L'esempio seguente mostra come è possibile utilizzare la chiave di contesto della condizione aws:SourceArn globale AWSClean Rooms per evitare il confuso problema del sostituto.
Nota
La politica di esempio si applica alla politica di fiducia del ruolo di servizio AWS Clean Rooms utilizzato per accedere ai dati e ai metadati per una tabella configurata.
Il valore di <query-runner-membership-id> deve essere impostato sull'ID di appartenenza del query runner.
Tutti i membri della collaborazione possono visualizzare i metadati della tabella configurata, pertanto ogni ARN di appartenenza deve essere incluso nell'elenco degli ARN di appartenenza.
Nota
Quando un ruolo di servizio viene creato tramite la AWS Clean Rooms console, per impostazione predefinita tutti i membri correnti della collaborazione sono inclusi nella condizione di sostituto confuso.
Se stai aggiungendo nuovi membri a una collaborazione a cui sono già associate tabelle configurate, assicurati di aggiornare la condizione sostitutiva confusa del ruolo di servizio con l'ARN di appartenenza del nuovo membro.
Se non aggiorni la condizione di sostituto confusa del tuo ruolo di servizio dopo aver aggiunto un nuovo membro, quel nuovo membro non sarà in AWS Clean Rooms grado di accedere alle informazioni recuperate utilizzando quel ruolo.
