O Amazon Fraud Detector não está mais aberto para novos clientes a partir de 7 de novembro de 2025. Para recursos semelhantes ao Amazon Fraud Detector, explore a Amazon SageMaker AutoGluon, e. AWS WAF
As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Prevenção contra representante confuso
O problema confuso do delegado ocorre quando uma entidade que não tem permissão para realizar uma ação pode coagir uma entidade mais privilegiada a realizar a ação. AWS fornece ferramentas que ajudam você a proteger sua conta se você fornecer a terceiros (chamada de conta cruzada) ou a outros AWS serviços (chamados de serviços cruzados) acesso aos recursos da sua conta.
Cross-service Um problema de delegado confuso pode ocorrer quando um serviço (o serviço de chamada) chama outro serviço (o serviço chamado). O serviço de chamada pode ser manipulado de modo a usar suas permissões para atuar nos recursos de outro cliente de uma forma na qual ele não deveria ter permissão para acessar. Para evitar isso, você pode criar políticas que ajudem a proteger seus dados para todos os serviços com diretores de serviço que receberam acesso aos recursos do seu serviço.
O Amazon Fraud Detector suporta o uso de funções de serviço em suas políticas de permissão para permitir que um serviço acesse os recursos de outro serviço em seu nome. Uma função requer duas políticas: uma política de confiança de função que especifica qual entidade principal tem permissão para assumir a função e uma política de permissões que especifica o que pode ser feito com a função. Quando um serviço assume uma função em seu nome, a entidade principal de serviço deve ter permissão para executar a ação sts:AssumeRole na política de confiança de função. Quando um serviço chamasts:AssumeRole, AWS STS retorna um conjunto de credenciais de segurança temporárias que o principal do serviço usa para acessar os recursos permitidos pela política de permissões da função.
Para evitar problemas confusos entre serviços secundários, o Amazon Fraud Detector recomenda usar as chaves de contexto de condição aws:SourceAccount global aws:SourceArn e as chaves de contexto em sua política de confiança de funções para limitar o acesso à função somente às solicitações geradas pelos recursos esperados.
O aws:SourceAccount especifica o ID da conta e aws:SourceArn especifica o ARN do recurso associado ao acesso entre serviços. Eles aws:SourceArn devem ser especificados usando o formato https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html#arns-syntax ARN. Certifique-se de que ambos aws:SourceAccount aws:SourceArn estejam usando a mesma ID de conta quando usados na mesma declaração de política.
A maneira mais eficaz de se proteger contra o problema do confused deputy é usar a chave de contexto de condição global aws:SourceArn com o ARN completo do recurso. Se você não souber o ARN completo do recurso ou se estiver especificando vários recursos, use a chave de condição de contexto aws:SourceArn global com um curinga (*) para as partes desconhecidas do ARN. Por exemplo, .arn:aws: Para obter informações sobre os recursos e ações do Amazon Fraud Detector que você pode usar em suas políticas de permissão, consulte Ações, recursos e chaves de condição do Amazon Fraud Detector.servicename:*:123456789012:*
O exemplo de política de confiança de função a seguir usa curinga (*) na chave de aws:SourceArn condição para permitir que o Amazon Fraud Detector acesse vários recursos associados ao ID da conta.
A política de confiança de funções a seguir permite que o Amazon Fraud Detector acesse apenas external-model um recurso. Observe o aws:SourceArn parâmetro no bloco Condition. O qualificador de recurso é criado usando o endpoint do modelo fornecido para fazer a chamada de PutExternalModel API.
