サービス間の混乱した代理の防止

混乱した代理問題は、アクションを実行する許可を持たないエンティティが、より特権のあるエンティティにアクションを実行するように強制できるセキュリティの問題です。AWS では、サービス間でのなりすましによって、混乱した代理問題が発生する場合があります。サービス間でのなりすましは、1 つのサービス (呼び出し元サービス) が、別のサービス (呼び出し対象サービス) を呼び出すときに発生する可能性があります。呼び出し元サービスは、本来ならアクセスすることが許可されるべきではない方法でその許可を使用して、別のお客様のリソースに対する処理を実行するように操作される場合があります。これを防ぐため、AWS では、アカウントのリソースへのアクセス権が付与されたサービスプリンシパルで、すべてのサービスのデータを保護するために役立つツールを提供しています。

リソースポリシーで AWS:SourceArn および AWS:SourceAccount のグローバル条件コンテキストキーを使用して、Amazon Connect が別のサービスに付与するアクセス許可をそのリソースに制限することをお勧めします。両方のグローバル条件コンテキストキーを同じポリシーステートメントで使用する場合は、AWS:SourceAccount 値と、AWS:SourceArn 値に含まれるアカウントが、同じアカウント ID を使用している必要があります。

混乱した代理問題を回避するための最も効果的な方法は、許可するリソースに正確な Amazon リソースネーム (ARN) を使用することです。リソースの完全な ARN が分からない場合や、複数のリソースを指定する場合は、ARN の不明部分にワイルドカード (*) を使った AWS:SourceArn グローバル条件コンテキストキーを使用します。例えば、arn:AWS:servicename::region-name::your AWS account ID:* です。

混乱した代理問題を防ぐ方法を示すロールの継承ポリシーの例については、「Confused deputy prevention policy」を参照してください。