As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Cross-service prevenção adjunta confusa
O problema do “confused deputy” é um problema de segurança em que uma entidade que não tem permissão para executar uma ação pode coagir uma entidade mais privilegiada a executar a ação. Em AWS, a falsificação de identidade entre serviços pode resultar no confuso problema do delegado. Cross-service a representação pode ocorrer quando um serviço (o serviço de chamada) chama outro serviço (o serviço chamado). O serviço de chamada pode ser manipulado de modo a usar suas permissões para atuar nos recursos de outro cliente de uma forma na qual ele não deveria ter permissão para acessar. Para evitar isso, a AWS fornece ferramentas que ajudam você a proteger seus dados para todos os serviços com entidades principais de serviço que receberam acesso aos recursos em sua conta.
Recomendamos usar as chaves de contexto de condição aws:SourceAccount global aws:SourceArn e as chaves de contexto nas políticas de recursos para limitar as permissões que, Directory Service para o Microsoft Active Directory, fornecem outro serviço ao recurso. Se o valor de aws:SourceArn não contém ID da conta, como um ARN do bucket do Amazon S3, você deve usar ambas as chaves de contexto de condição global para limitar as permissões. Se você usa ambas as chaves de contexto de condição global, e o valor aws:SourceArn contém o ID da conta, o valor aws:SourceAccount e a conta no valor aws:SourceArn deverão utilizar a mesma ID de conta quando na mesma declaração de política. Use aws:SourceArn se quiser apenas um recurso associado a acessibilidade de serviço. Use aws:SourceAccount se quiser permitir que qualquer recurso nessa conta seja associado ao uso entre serviços.
Para o exemplo a seguir, o valor de aws:SourceArn deve ser um grupo de CloudWatch registros.
A maneira mais eficaz de se proteger do problema ‘confused deputy’ é usar a chave de contexto de condição global aws:SourceArn com o ARN completo do recurso. Se você não souber o ARN completo do recurso ou se especificar vários recursos, use a chave de condição de contexto global aws:SourceArn com curingas (*) para as partes desconhecidas do ARN. Por exemplo, .arn:aws: servicename:*:123456789012:*
O exemplo a seguir mostra como você pode usar as chaves de contexto de condição aws:SourceAccount global aws:SourceArn e as chaves de contexto no AWS Managed Microsoft AD para evitar o confuso problema secundário.
No exemplo a seguir, o valor de aws:SourceArn deve ser um tópico do SNS em sua conta. Por exemplo, você pode usar algo como “ap-southeast-1" é sua região, “123456789012" é sua ID de cliente e" _d-966739499f” é o nome do tópico do Amazon SNS arn:aws:sns:ap-southeast-1:123456789012:DirectoryMonitoring_d-966739499f que você criou. DirectoryMonitoring
A maneira mais eficaz de se proteger do problema ‘confused deputy’ é usar a chave de contexto de condição global aws:SourceArn com o ARN completo do recurso. Se você não souber o ARN completo do recurso ou se especificar vários recursos, use a chave de condição de contexto global aws:SourceArn com curingas (*) para as partes desconhecidas do ARN. Por exemplo, .arn:aws: servicename:*:123456789012:*
O exemplo a seguir mostra como você pode usar as chaves de contexto de condição aws:SourceAccount global aws:SourceArn e as chaves de contexto no AWS Managed Microsoft AD para evitar o confuso problema secundário.
O exemplo a seguir mostra uma política de confiança do IAM para um perfil ao qual acesso ao console foi delegado. O valor de aws:SourceArn deve ser um recurso de diretório em sua conta. Para obter mais informações, consulte Tipos de recursos definidos por Directory Service. Por exemplo, você pode usar arn:aws:ds:us-east-1:123456789012:directory/d-1234567890, onde 123456789012 é seu ID de cliente e d-1234567890 é o ID do diretório.
