Prevenzione intersettoriale confusa dei sostituti in HealthImaging

Con "confused deputy" si intende un problema di sicurezza in cui un'entità che non dispone dell'autorizzazione per eseguire una certa operazione può costringere un'entità con più privilegi a eseguire tale operazione. In AWS, l'impersonificazione tra servizi può dare origine al problema del vicesceriffo. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare che ciò accada, AWS fornisce strumenti che ti aiutano a proteggere i tuoi dati per tutti i servizi con responsabili del servizio a cui è stato concesso l'accesso alle risorse del tuo account.

Ti consigliamo di utilizzare le chiavi di contesto aws:SourceArne aws:SourceAccountglobal condition nelle policy di relazione di fiducia dei ruoli ImportJobDataAccessRole IAM per limitare le autorizzazioni che AWS HealthImaging concede a un altro servizio alla tua risorsa. Utilizza aws:SourceArn per associare una sola risorsa all'accesso tra servizi. Utilizza aws:SourceAccount se desideri consentire l'associazione di qualsiasi risorsa in tale account all'uso tra servizi. Se utilizzi entrambe le chiavi di contesto della condizione globale, il aws:SourceAccount valore e l'account a cui si fa riferimento nel aws:SourceArn valore devono utilizzare lo stesso ID account quando vengono utilizzati nella stessa dichiarazione politica.

Il valore di aws:SourceArn deve essere l'ARN dell'archivio dati interessato. Se non conosci l'ARN completo del data store o se stai specificando più archivi dati, usa la chiave aws:SourceArn global context condition con il carattere jolly * per le parti sconosciute dell'ARN. Ad esempio, puoi impostare su. aws:SourceArn arn:aws:medical-imaging:us-west-2:111122223333:datastore/*

Nel seguente esempio di politica di fiducia, utilizziamo la chiave aws:SourceArn and aws:SourceAccount condition per limitare l'accesso al principale del servizio in base all'ARN del data store per evitare il confuso problema del vice.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {
      "Service": "medical-imaging.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
      "ArnLike": {
        "aws:SourceArn": "arn:aws:medical-imaging:region:accountId:datastore/*"
      },
      "StringEquals": {
        "aws:SourceAccount": "accountId"
      }
    }
  }
}