Prevenção de confused deputy no Agendador do EventBridge
“Confused deputy” é um problema de segurança no qual uma entidade sem permissão para executar uma ação pode coagir uma entidade mais privilegiada a executá-la. Na AWS, a personificação entre serviços pode resultar no problema do ‘confused deputy’. A personificação entre serviços pode ocorrer quando um serviço (o serviço de chamada) chama outro serviço (o serviço chamado). O serviço de chamada pode ser manipulado de modo a usar suas permissões para atuar nos recursos de outro cliente de uma forma na qual ele não deveria ter permissão para acessar. Para evitar isso, a AWS fornece ferramentas que ajudam você a proteger seus dados para todos os serviços com entidades principais de serviço que receberam acesso aos recursos em sua conta.
Recomendamos o uso das chaves de contexto de condição global aws:SourceArn e aws:SourceAccount em sua função de execução do agendamento para limitar as permissões que o Agendador do EventBridge dá a outro serviço de acessar o recurso. Use aws:SourceArn se quiser que apenas um recurso seja associado ao acesso entre serviços. Use aws:SourceAccount se quiser permitir que qualquer recurso nessa conta seja associado ao uso entre serviços.
A maneira mais eficaz de se proteger contra o problema do substituto confuso é usar a chave de contexto de condição global aws:SourceArn com o ARN completo do recurso. A seguinte condição tem como escopo um grupo de agendamento individual: arn:aws:scheduler:*: 123456789012:schedule-group/your-schedule-group
Se você não souber o ARN completo do recurso ou especificar vários recursos, use a chave de condição de contexto global aws:SourceArn com caracteres curinga (*) para as partes desconhecidas do ARN. Por exemplo: arn:aws:scheduler:*:. 123456789012:schedule-group/*
O valor de aws:SourceArn deve ser o ARN do grupo de agendamento do Agendador do EventBridge para o qual você deseja definir o escopo dessa condição.
Importante
Não defina o escopo da instrução aws:SourceArn para um agendamento específico ou um prefixo de nome de agendamento. O ARN que você especificar deve ser um grupo de agendamentos.
O exemplo a seguir mostra como é possível usar as chaves de contexto de condição globais aws:SourceArn e aws:SourceAccount na sua função de política de confiança de execução para evitar o problema de segurança delegada confusa.
