本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
防止跨服务混淆座席
混淆代理问题是一个安全问题,即没有执行操作权限的实体可能会迫使更具权限的实体执行该操作。在中 Amazon,跨服务模仿可能会导致混乱的副手问题。一个服务(呼叫服务) 调用另一项服务(所谓的服务)时,可能会发生跨服务模拟。可以操纵调用服务以使用其权限对另一个客户的资源进行操作,否则该服务不应有访问权限。为了防止这种情况, Amazon 提供可帮助您保护所有服务的服务委托人数据的工具,这些服务委托人有权限访问账户中的资源。
要限制为资源 Amazon IoT 提供其他服务的权限,我们建议在资源策略中使用aws:SourceArn
和aws:SourceAccount
全局条件上下文密钥。如果使用两个全局条件上下文键,在同一策略语句中使用时,aws:SourceAccount
值和 aws:SourceArn
值中的账户必须使用相同的账户 ID。
防止混淆代理问题最有效的方法是使用具有资源完整 Amazon Resource Name (ARN) 的 aws:SourceArn
全局条件上下文键。对于 Amazon IoT, 您aws:SourceArn
必须遵守以下格式:arn:aws:iot:
. 请确保该region
:account-id
:*地区与您的 Amazon IoT 地区
相匹配,并且账户 ID 与您的客户账户 ID
相匹配。
以下示例说明如何通过在 Amazon IoT 角色信任策略中使用aws:SourceArn
和aws:SourceAccount
全局条件上下文密钥来防止出现混淆的代理问题。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "iot.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "
123456789012
" }, "ArnLike": { "aws:SourceArn": "arn:aws:iot:us-east-1
:123456789012
:*" } } } ] }