Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Cross-service vice prevenzione confusa Il problema confused deputy è un problema di sicurezza in cui un’entità che non dispone dell’autorizzazione per eseguire un’azione può costringere un’entità maggiormente privilegiata a eseguire l’azione. Nel AWS, l'impersonificazione tra servizi può portare al confuso problema del vice. Cross-service l'imitazione può avvenire quando un servizio (il servizio * chiamante*) chiama un altro servizio (il servizio chiamato). * * Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce strumenti per poterti a proteggere i tuoi dati per tutti i servizi con entità di servizio a cui è stato concesso l’accesso alle risorse del tuo account. Si consiglia di utilizzare [`aws:SourceArn`](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) le chiavi di contesto della condizione [`aws:SourceAccount`](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) globale nelle politiche delle risorse per limitare le autorizzazioni che Servizio di directory per Microsoft Active Directory forniscono un altro servizio alla risorsa. Se il valore `aws:SourceArn` non contiene l'ID account, ad esempio un ARN di un bucket Amazon S3, è necessario utilizzare entrambe le chiavi di contesto delle condizioni globali per limitare le autorizzazioni. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali e il valore `aws:SourceArn` contiene l'ID account, il valore `aws:SourceAccount` e l’account nel valore `aws:SourceArn` deve utilizzare lo stesso ID account nella stessa dichiarazione di policy. Utilizzare `aws:SourceArn` se si desidera consentire l'associazione di una sola risorsa all'accesso tra servizi. Utilizzare `aws:SourceAccount` se si desidera consentire l’associazione di qualsiasi risorsa in tale account all’uso tra servizi. Per l'esempio seguente, il valore di `aws:SourceArn` deve essere un gruppo di CloudWatch log. Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale `aws:SourceArn` con l’ARN completo della risorsa. Se non si conosce l’ARN completo della risorsa o si scelgono più risorse, è necessario utilizzare la chiave di contesto della condizione globale `aws:SourceArn` con caratteri jolly (`*`) per le parti sconosciute dell’ARN. Ad esempio, `arn:aws:{{servicename}}:*:{{123456789012}}:*`. L'esempio seguente mostra come è possibile utilizzare le `aws:SourceArn` chiavi di contesto della condizione `aws:SourceAccount` globale in AWS Managed Microsoft AD per evitare il confuso problema sostitutivo. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": [ "logs:CreateLogStream", "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:{{us-east-1}}:{{111122223333}}:log-group:/aws/directoryservice/{{Log_Group_Name}}:*" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:ds:{{us-east-1}}:{{111122223333}}:{{directory}}/{{Directory_Name}}" }, "StringEquals": { "aws:SourceAccount": "{{111122223333}}" } } } } ``` ------ Per l'esempio seguente, il valore di `aws:SourceArn` deve essere un argomento SNS nel tuo account. Ad esempio, puoi utilizzare qualcosa come `arn:aws:sns:ap-southeast-1:123456789012:DirectoryMonitoring_d-966739499f` «ap-southeast-1" è la tua regione, «123456789012" è il tuo ID cliente e" DirectoryMonitoring \_d-966739499f» è il nome dell'argomento Amazon SNS che hai creato. Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale `aws:SourceArn` con l’ARN completo della risorsa. Se non si conosce l’ARN completo della risorsa o si scelgono più risorse, è necessario utilizzare la chiave di contesto della condizione globale `aws:SourceArn` con caratteri jolly (`*`) per le parti sconosciute dell’ARN. Ad esempio, `arn:aws:{{servicename}}:*:{{123456789012}}:*`. L'esempio seguente mostra come è possibile utilizzare le chiavi di contesto della condizione globale in Managed Microsoft AD per evitare che si crei un problema confuso. `aws:SourceArn` `aws:SourceAccount` AWS ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": [ "SNS:GetTopicAttributes", "SNS:SetTopicAttributes", "SNS:AddPermission", "SNS:RemovePermission", "SNS:DeleteTopic", "SNS:Subscribe", "SNS:ListSubscriptionsByTopic", "SNS:Publish" ], "Resource": [ "arn:aws:sns:{{us-east-1}}:{{111122223333}}:{{SNS_TOPIC_NAME}}" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:ds:{{us-east-1}}:{{111122223333}}:directory/{{EXTERNAL_DIRECTORY_ID}}" }, "StringEquals": { "aws:SourceAccount": "{{111122223333}}" } } } } ``` ------ L'esempio seguente mostra una policy di attendibilità IAM per un ruolo a cui è stato delegato l'accesso alla console. Il valore di `aws:SourceArn` deve essere una risorsa di directory nel tuo account. Per ulteriori informazioni, vedere Tipi di [ risorse definiti da Servizio di directory](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsdirectoryservice.html#awsdirectoryservice-resources-for-iam-policies). Ad esempio, puoi utilizzare `arn:aws:ds:us-east-1:123456789012:directory/d-1234567890` dove `123456789012` è il tuo ID cliente e `d-1234567890` è l'ID directory. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": [ "sts:AssumeRole" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:ds:{{us-east-1}}:{{111122223333}}:directory/{{YOUR_DIRECTORY_ID}}" }, "StringEquals": { "aws:SourceAccount": "{{111122223333}}" } } } } ``` ------