사용자 지정 CloudWatch 위젯을 위한 보안 및 JavaScript

보안상의 이유로 반환된 HTML에는 JavaScript가 허용되지 않습니다. JavaScript를 제거하면 Lambda 함수 작성자가 대시보드에서 위젯을 보는 사용자보다 더 높은 권한으로 실행할 수 있는 코드를 삽입하는 권한 에스컬레이션 문제를 방지할 수 있습니다.

반환된 HTML에 JavaScript 코드 또는 기타 알려진 보안 취약성이 포함되어 있다면 해당 코드 또는 취약성은 대시보드에서 렌더링되기 전에 HTML에서 제거됩니다. 예를 들어 <iframe> 및 <use> 태그는 허용되지 않으며 제거됩니다.

사용자 정의 위젯은 기본적으로 대시보드에서 실행되지 않습니다. 대신 호출하는 Lambda 함수를 신뢰하는 경우 사용자 정의 위젯이 실행되도록 명시적으로 허용해야 합니다. 개별 위젯과 전체 대시보드 모두에 대해 한 번 허용하거나 항상 허용하도록 선택할 수 있습니다. 개별 위젯 및 전체 대시보드에 대한 권한을 거부할 수도 있습니다.