本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
防止跨服务混淆代理
混淆代理问题是一个安全性问题，即不具有操作执行权限的实体可能会迫使具有更高权限的实体执行该操作。在中 Amazon，跨服务模仿可能会导致混乱的副手问题。一个服务（呼叫服务）调用另一项服务（所谓的服务）时，可能会发生跨服务模拟。可以操纵调用服务，使用其权限以在其他情况下该服务不应有访问权限的方式对另一个客户的资源进行操作。为防止这种情况， Amazon 提供可帮助您保护所有服务的数据的工具，而这些服务中的服务主体有权限访问账户中的资源。
我们建议在资源策略中使用aws:SourceArn和aws:SourceAccount全局条件上下文密钥来限制适用于 Microsoft Active Directory 的 Amazon 目录服务为资源提供的其他服务的权限。如果该aws:SourceArn值不包含账户 ID，例如 Amazon S3 存储桶ARN，则必须同时使用两个全局条件上下文密钥来限制权限。如果同时使用全局条件上下文密钥和包含账户 ID 的 aws:SourceArn 值，则 aws:SourceAccount 值和 aws:SourceArn 值中的账户在同一策略语句中使用时，必须使用相同的账户 ID。如果您只希望将一个资源与跨服务访问相关联，请使用 aws:SourceArn。如果您想允许该账户中的任何资源与跨服务使用操作相关联，请使用 aws:SourceAccount。
在以下示例中，的值aws:SourceArn必须是 CloudWatch 日志组。
防止混乱的副手问题的最有效方法是使用具有全部资源的全aws:SourceArnARN局条件上下文密钥。如果您不知道资源的全部ARN内容，或者要指定多个资源，请使用带有通配符 (*) 的aws:SourceArn全局上下文条件键来表示未知部分。ARN例如，arn:aws:。servicename:*:123456789012:*
以下示例说明如何使用 Amazon 托管 Microsoft AD 中的aws:SourceArn和aws:SourceAccount全局条件上下文键来防止出现混淆的副手问题。
{ "Version": "2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": [ "logs:CreateLogStream", "logs:PutLogEvents" ], "Resource": [ "arn:aws:logs:YOUR_REGION:YOUR_ACCOUNT_NUMBER:log-group:/aws/directoryservice/YOUR_LOG_GROUP:*" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:ds:YOUR_REGION:YOUR_ACCOUNT_NUMBER:directory/YOUR_DIRECTORY_ID" }, "StringEquals": { "aws:SourceAccount":"123456789012"} } } }
对于以下示例，的值aws:SourceArn必须是您账户中的一个SNS主题。例如，你可以使用这样的内容，arn:aws:sns:ap-southeast-1:123456789012:DirectoryMonitoring_d-966739499f其中 “ap-southeast-1” 是你的区域，“123456789012” 是你的客户编号，“_d-966739499f” 是你创建的亚马逊主题名称。DirectoryMonitoring SNS
防止混乱的副手问题的最有效方法是使用具有全部资源的全aws:SourceArnARN局条件上下文密钥。如果您不知道资源的全部ARN内容，或者要指定多个资源，请使用带有通配符 (*) 的aws:SourceArn全局上下文条件键来表示未知部分。ARN例如，arn:aws:。servicename:*:123456789012:*
以下示例说明如何使用 Amazon 托管 Microsoft AD 中的aws:SourceArn和aws:SourceAccount全局条件上下文键来防止出现混淆的副手问题。
{ "Version": "2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": ["SNS:GetTopicAttributes", "SNS:SetTopicAttributes", "SNS:AddPermission", "SNS:RemovePermission", "SNS:DeleteTopic", "SNS:Subscribe", "SNS:ListSubscriptionsByTopic", "SNS:Publish"], "Resource": [ "arn:aws:sns:YOUR_REGION:YOUR_ACCOUNT_NUMBER:YOUR_SNS_TOPIC_NAME" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:ds:YOUR_REGION:YOUR_ACCOUNT_NUMBER:directory/YOUR_EXTERNAL_DIRECTORY_ID" }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } }
以下示例显示了已委派控制台访问权限的角色的IAM信任策略。aws:SourceArn 的值必须是您账户中的目录资源。有关更多信息，请参阅由定义的资源类型 Amazon Directory Service。例如，您可以使用 arn:aws:ds:us-east-1:123456789012:directory/d-1234567890，其中 123456789012 是您的客户 ID，d-1234567890 是您的目录 ID。
{ "Version": "2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "ds.amazonaws.com" }, "Action": [ "sts:AssumeRole" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:ds:YOUR_REGION:YOUR_ACCOUNT_NUMBER:directory/YOUR_DIRECTORY_ID" }, "StringEquals": { "aws:SourceAccount": "123456789012" } } } }