本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
防止跨服务混淆座席
混淆代理问题是一个安全问题,即没有执行操作权限的实体可能会迫使更具权限的实体执行该操作。在中 Amazon,跨服务模仿可能会导致混乱的副手问题。一个服务(呼叫服务) 调用另一项服务(所谓的服务)时,可能会发生跨服务模拟。可以操纵调用服务以使用其权限对另一个客户的资源进行操作,否则该服务不应有访问权限。为了防止这种情况, Amazon 提供可帮助您保护所有服务的服务委托人数据的工具,这些服务委托人有权限访问账户中的资源。
要限制为资源 Amazon IoT 提供其他服务的权限,我们建议在资源策略中使用aws:SourceArn
和aws:SourceAccount
全局条件上下文密钥。如果使用两个全局条件上下文键,在同一策略语句中使用时,aws:SourceAccount
值和 aws:SourceArn
值中的账户必须使用相同的账户 ID。
防止混淆副手问题的最有效方法是使用带有完整的 Amazon 资源名称 (ARN) 的全aws:SourceArn
局条件上下文密钥。对于 Amazon IoT,您aws:SourceArn
必须遵守以下格式:arn:
资源特定权限或aws
:iot:region
:account-id
:resource-type/resource-id
arn:
。resource-id 可以是允许资源的名称或 ID,也可以是允许资源的通配符语句。IDs确保 aws
:iot:region
:account-id
:*
region
匹配您 Amazon IoT 所在的地区和 account-id
与您的客户账户 ID 相匹配。
以下示例说明如何通过在 Amazon IoT 角色信任策略中使用aws:SourceArn
和aws:SourceAccount
全局条件上下文密钥来防止出现混淆的副手问题。有关更多示例,请参阅混淆副手预防的详细示例。
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Principal":{ "Service":"iot.amazonaws.com" }, "Action":"sts:AssumeRole", "Condition":{ "StringEquals":{ "aws:SourceAccount":"
123456789012
" }, "ArnLike":{ "aws:SourceArn":"arn:aws
:iot:us-east-1
:123456789012
:*
" } } } ] }
注意
如果您遇到拒绝访问错误,则可能是因为与 Amazon
安全令牌服务 (STS) 的服务集成不支持aws:SourceArn
和aws:SourceAccount
上下文密钥。
混淆副手预防的详细示例
本节提供了详细的示例,说明如何通过在 Amazon IoT 角色信任策略中使用aws:SourceArn和aws:SourceAccount全局条件上下文密钥来防止混淆副手问题。
实例集预调配
您可以使用配置模板资源配置队列配置。当配置模板引用配置角色时,该角色的信任策略可以包括aws:SourceArn
和aws:SourceAccount
条件键。这些密钥限制了配置可以调用sts:AssumeRole
请求的资源。
具有以下信任策略的角色只能由中指定的配置模板的物联网委托人 (iot.amazonaws.com
) 担任SourceArn
。
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Principal":{ "Service":"iot.amazonaws.com" }, "Action":"sts:AssumeRole", "Condition":{ "StringEquals":{ "aws:SourceAccount":"
123456789012
" }, "ArnLike":{ "aws:SourceArn":"arn:aws
:iot:us-east-1
:123456789012
:provisioningtemplate/example_template
" } } } ] }
JITP
在 just-in-time provisioning (JITP) 中,您可以将配置模板用作独立于 CA 的资源,也可以将模板主体和角色定义为 CA 证书配置的一部分。 Amazon IoT 角色信任策略aws:SourceArn
中的值取决于您如何定义配置模板。
如果您将配置模板定义为单独的资源,则的值aws:SourceArn
可以是"arn:aws:iot:
。您可以在中使用相同的策略示例实例集预调配。region
:account-id
:provisioningtemplate/example_template
"
如果您在 CA 证书资源中定义配置模板,则的值aws:SourceArn
可以为"arn:aws:iot:
或region
:account-id
:cacert/cert_id
""arn:aws:iot:
。当资源标识符(例如 CA 证书的 ID)在创建时未知时,您可以使用通配符。region
:account-id
:cacert/*
"
具有以下信任策略的角色只能由中指定的 CA 证书的物联网委托人 (iot.amazonaws.com
) 担任SourceArn
。
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Principal":{ "Service":"iot.amazonaws.com" }, "Action":"sts:AssumeRole", "Condition":{ "StringEquals":{ "aws:SourceAccount":"
123456789012
" }, "ArnLike":{ "aws:SourceArn":"arn:aws
:iot:us-east-1
:123456789012
:cacert/8ecde6884f3d87b1125ba31ac3fcb13d7016de7f57cc904fe1cb97c6ae98196e
" } } } ] }
创建 CA 证书时,可以在注册配置中引用配置角色。预配角色的信任策略可用于aws:SourceArn
限制可以担任该角色的资源。但是,在注册 CA 证书的初始 R egisterCACertificate 调用期间,您无需在ARNaws:SourceArn
条件中指定 CA 证书。
要解决此问题,即为注册的特定 CA 证书指定配置角色信任策略 Amazon IoT Core,您可以执行以下操作:
-
首先,在egisterCACertificate不提供
RegistrationConfig
参数的情况下调用 R。 -
在注册 CA 证书后 Amazon IoT Core,请给它打电话 U pdateCACertificate。
在 U pdateCACertificate 调用中,提供
RegistrationConfig
包含aws:SourceArn
设置为新注册的 CA 证书ARN的置备角色信任策略的。
凭证提供者
对于Amazon IoT Core
凭据提供程序,请使用 Amazon Web Services 账户 您在中创建角色别名的相同语句aws:SourceAccount
,并指定与中 rolealias 资源ARN类型的资源相匹配的语句。aws:SourceArn
在创建供 Amazon IoT Core 凭证提供者使用的IAM角色时,您必须在aws:SourceArn
条件中包含可能需要担任该ARNs角色的任何角色别名,从而授权跨服务请求。sts:AssumeRole
以下信任策略的角色只能由中 roleAlias 指定的 Amazon IoT Core 凭证提供者 (credentials.iot.amazonaws.com
) 的委托人担任。SourceArn
如果委托人尝试检索aws:SourceArn
条件中指定的角色别名的证书,则该请求将被拒绝,即使该其他角色别名引用了相同的IAM角色。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "credentials.iot.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "
123456789012
" }, "ArnLike": { "aws:SourceArn": "arn:aws
:iot:us-east-1
:123456789012
:rolealias/example_rolealias
" } } } ] }