防范跨服务混淆代理
混淆代理问题是一个安全问题,即没有执行操作权限的实体可能会迫使更具权限的实体执行该操作。在 Amazon 中,跨服务模拟可能会导致混淆代理问题。一个服务(呼叫服务) 调用另一项服务(所谓的服务)时,可能会发生跨服务模拟。可以操纵调用服务,使用其权限以在其他情况下该服务不应有访问权限的方式对另一个客户的资源进行操作。为了防止这种情况,Amazon 提供可帮助您保护所有服务的服务委托人数据的工具,这些服务委托人有权限访问账户中的资源。
请继续阅读以获取一般指导,或者导航到具体的 SageMaker 特征示例:
主题
使用全局条件键限制权限
我们建议在资源策略中使用 aws:SourceArn
和 aws:SourceAccount
全局条件键,以限制 Amazon SageMaker 为其他服务提供的资源访问权限。如果同时使用全局条件键和包含账户 ID 的 aws:SourceArn
值,则 aws:SourceAccount
值和 aws:SourceArn
值中的账户在同一策略语句中使用时,必须使用相同的账户 ID。如果您只希望将一个资源与跨服务访问相关联,请使用 aws:SourceArn
。如果您想允许该账户中的任何资源与跨服务使用操作相关联,请使用 aws:SourceAccount
。
防范混淆代理问题的有效方法是使用 aws:SourceArn
全局条件键和资源的完整 ARN。如果您不知道资源的完整 ARN,或者您正在指定多个资源,请针对 ARN 未知部分使用带有通配符 (*
) 的 aws:SourceArn
全局条件键。例如,arn:aws:sagemaker:*:
。123456789012
:*
以下示例演示如何使用 SageMaker 中的 aws:SourceArn
和 aws:SourceAccount
全局条件键来防范混淆代理问题。
{ "Version": "2012-10-17", "Statement": { "Sid": "ConfusedDeputyPreventionExamplePolicy", "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, # Specify an action and resource policy for another service "Action": "
service
:ActionName
", "Resource": [ "arn:aws:service
:::ResourceName
/*" ], "Condition": { "ArnLike": { "aws:SourceArn": "arn:partition
:sagemaker:region
:123456789012
:*" }, "StringEquals": { "aws:SourceAccount": "123456789012
" } } } }
SageMaker Edge Manager
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker Edge Manager 出现跨服务混淆代理问题。
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:*" } } } }
您可以将此模板中的 aws:SourceArn
替换为特定打包作业的完整 ARN,以进一步限制权限。
SageMaker 映像
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 SageMaker 映像出现跨服务混淆代理问题。将此模板与 Image
或 ImageVersion
一起使用。本例使用账号为 123456789012
的 ImageVersion
记录 ARN。请注意,由于账号是 aws:SourceArn
值的一部分,因此您无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:
partition
:sagemaker:us-west-2
:123456789012
:image-version
" } } } }
请勿将此模板中的 aws:SourceArn
替换为特定映像或映像版本的完整 ARN。ARN 必须采用上面提供的格式,并指定 image
或 image-version
。partition
占位符应指定一个 Amazon 商业分区 (aws
) 或中国分区中的一个 Amazon (aws-cn
),具体取决于映像或映像版本的运行位置。同样,ARN 中的 region
占位符可以是任何提供 SageMaker 映像的有效区域。
SageMaker Inference
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 SageMaker 实时、无服务器和异步推理出现跨服务混淆代理问题。请注意,由于账号是 aws:SourceArn
值的一部分,因此您无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:*" } } } }
请勿将此模板中的 aws:SourceArn
替换为特定模型或端点的完整 ARN。ARN 必须采用上面提供的格式。ARN 模板中的星号不代表通配符,不应更改。
SageMaker 批量转换作业
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker 批量转换作业出现跨服务混淆代理问题。请注意,由于账号在 ARN 中,因此无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:transform-job/*" } } } ] }
您可以将此模板中的 aws:SourceArn
替换为特定批量转换作业的完整 ARN,以进一步限制权限。
SageMaker Marketplace
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker Marketplace 出现跨服务混淆代理问题。请注意,由于账号在 ARN 中,因此无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:*" } } } ] }
请勿将此模板中的 aws:SourceArn
替换为特定算法或模型包的完整 ARN。ARN 必须采用上面提供的格式。ARN 模板中的星号代表通配符,涵盖了验证步骤中的所有训练作业、模型和批量转换作业,以及发布到 SageMaker Marketplace 的算法和模型包。
SageMaker Neo
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker Neo 编译作业出现跨服务混淆代理问题。请注意,由于账号在 ARN 中,因此无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:compilation-job/*
" } } } ] }
您可以将此模板中的 aws:SourceArn
替换为特定编译作业的完整 ARN,以进一步限制权限。
SageMaker Pipelines
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 SageMaker Pipelines 使用一个或多个管道的管道执行记录时出现跨服务混淆代理问题。请注意,由于账号在 ARN 中,因此无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:
partition
:sagemaker:region
:123456789012
:pipeline/mypipeline/*
" } } } ] }
请勿将此模板中的 aws:SourceArn
替换为特定管道执行的完整 ARN。ARN 必须采用上面提供的格式。partition
占位符应指定一个 Amazon 商业分区 (aws
) 或中国分区中的一个 Amazon (aws-cn
),具体取决于管道的运行位置。同样,ARN 中的 region
占位符可以是任何提供 SageMaker Pipelines 的有效区域。
ARN 模板中的星号代表通配符,涵盖名为 mypipeline
的管道的所有管道执行。如果要允许账户 123456789012
中的所有管道而不是某个特定管道使用 AssumeRole
权限,则 aws:SourceArn
应为 arn:aws:sagemaker:*:123456789012:pipeline/*
。
SageMaker Processing 作业
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker 处理作业出现跨服务混淆代理问题。请注意,由于账号在 ARN 中,因此无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:processing-job/*
" } } } ] }
您可以将此模板中的 aws:SourceArn
替换为特定处理作业的完整 ARN,以进一步限制权限。
SageMaker Studio
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker Studio 出现跨服务混淆代理问题。请注意,由于账号是 aws:SourceArn
值的一部分,因此您无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:*" } } } ] }
请勿将此模板中的 aws:SourceArn
替换为特定 Studio 应用程序、用户配置文件或域的完整 ARN。ARN 必须采用前面示例中提供的格式。ARN 模板中的星号不代表通配符,不应更改。
SageMaker 训练作业
以下示例演示如何使用 aws:SourceArn
全局条件键来防范 us-west-2
区域中账号 123456789012
创建的 SageMaker 训练作业出现跨服务混淆代理问题。请注意,由于账号在 ARN 中,因此无需指定 aws:SourceAccount
值。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "sagemaker.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:sagemaker:
us-west-2
:123456789012
:training-job/*
" } } } ] }
您可以将此模板中的 aws:SourceArn
替换为特定训练作业的完整 ARN,以进一步限制权限。
后续步骤
有关管理执行角色的更多信息,请参阅 SageMaker 角色。