サービス間の混乱した代理の防止

混乱した代理問題は、アクションを実行する許可を持たないエンティティが、より特権のあるエンティティにアクションを実行するように強制できるセキュリティの問題です。では AWS、サービス間のなりすましにより、混乱した代理問題が発生する可能性があります。サービス間でのなりすましは、あるサービス (呼び出し元サービス) が、別のサービス (呼び出し対象サービス) を呼び出すときに発生する可能性があります。呼び出し元サービスが操作され、それ自身のアクセス許可を使用して、本来アクセス許可が付与されるべきではない方法で別の顧客のリソースに対して働きかけることがあります。これを防ぐため、 AWS では、アカウント内のリソースへのアクセス許可が付与されたサービスプリンシパルですべてのサービスのデータを保護するために役立つツールを提供しています。

AWS HealthOmics がリソースに別のサービスに付与するアクセス許可を制限するには、リソースポリシーで aws:SourceArnおよび aws:SourceAccount グローバル条件コンテキストキーを使用することをお勧めします。

HealthOmics が引き受けるロールの混乱した代理問題を防ぐには、ロールの信頼ポリシーarn:aws:omics:region:accountNumber:*で aws:SourceArn の値を に設定します。ワイルドカード (*) は、すべての HealthOmics リソースに 条件を適用します。

次の信頼関係ポリシーは、HealthOmics にリソースへのアクセスを許可し、 aws:SourceArn および aws:SourceAccount グローバル条件コンテキストキーを使用して混乱した代理問題を防ぎます。HealthOmics のロールを作成するときは、このポリシーを使用します。