Avviso di fine del supporto: il 20 maggio 2026, AWS terminerà il supporto per AWS SimSpace Weaver. Dopo il 20 maggio 2026, non potrai più accedere alla SimSpace Weaver console o SimSpace Weaver alle risorse. Per ulteriori informazioni, consulta AWS SimSpace Weaver Fine del supporto.
Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Prevenzione del problema "confused deputy" tra servizi
Il problema della confusione secondaria è un problema di sicurezza in cui un'entità che non è autorizzata a eseguire un'azione può indurre un'entità con maggiori privilegi a eseguire l'azione. Nel frattempo AWS, l'impersonificazione tra diversi servizi può portare alla confusione del vicesceriffo. La rappresentazione tra servizi può verificarsi quando un servizio (il servizio chiamante) effettua una chiamata a un altro servizio (il servizio chiamato). Il servizio chiamante può essere manipolato per utilizzare le proprie autorizzazioni e agire sulle risorse di un altro cliente, a cui normalmente non avrebbe accesso. Per evitare ciò, AWS fornisce alcuni strumenti che consentono di proteggere i dati per tutti i servizi che dispongono di principali del servizio a cui è stato consentito l’accesso alle risorse del tuo account.
Si consiglia di utilizzare aws:SourceArnle chiavi di contesto della condizione aws:SourceAccountglobale nelle politiche delle risorse per limitare le autorizzazioni che AWS SimSpace Weaver forniscono un altro servizio alla risorsa. Se il valore aws:SourceArn non contiene l'ID account, ad esempio il nome della risorsa Amazon (ARN) di un bucket Amazon S3, è necessario utilizzare entrambe le chiavi di contesto delle condizioni globali per limitare le autorizzazioni. Se si utilizzano entrambe le chiavi di contesto delle condizioni globali e il valore aws:SourceArn contiene l'ID account, il valore aws:SourceAccount e l'account nel valore aws:SourceArn deve utilizzare lo stesso ID account nella stessa dichiarazione di policy. Utilizzare aws:SourceArn se si desidera consentire l'associazione di una sola risorsa all'accesso tra servizi. Utilizzare aws:SourceAccount se si desidera consentire l’associazione di qualsiasi risorsa in tale account all’uso tra servizi.
Il valore di aws:SourceArn deve utilizzare l'ARN dell'estensione.
Il modo più efficace per proteggersi dal problema "confused deputy" è quello di usare la chiave di contesto della condizione globale aws:SourceArn con l’ARN completo della risorsa. Se non conosci l'ARN completo dell'estensione o specifichi più estensioni, utilizza la chiave di contesto della condizione globale aws:SourceArn con caratteri jolly (*) per le parti sconosciute dell'ARN. Ad esempio, arn:aws:.simspaceweaver:*:111122223333:*
L'esempio seguente mostra come utilizzare le chiavi di contesto aws:SourceArn e aws:SourceAccount global condition SimSpace Weaver per evitare il confuso problema del vice. Questa politica consentirà di SimSpace Weaver assumere il ruolo solo quando la richiesta proviene dall'account di origine specificato e viene fornita con l'ARN specificato. In questo caso, SimSpace Weaver può assumere il ruolo solo per le richieste provenienti dalle simulazioni nell'account del richiedente (111122223333) e solo nella regione specificata (). us-west-2
Un modo più sicuro per scrivere questa policy consiste nell'includere il nome della simulazione inaws:SourceArn, come mostrato nell'esempio seguente, che limita la policy a una simulazione denominata: MyProjectSimulation_22-10-04_22_10_15
Quando includi aws:SourceArn esplicitamente un numero di account, puoi omettere l'Conditionelemento test per aws:SourceAccount (consulta la IAM User Guide per maggiori informazioni), ad esempio nella seguente policy semplificata:
