防止跨服务混淆代理 - Amazon Transfer Family
Transfer 家庭用户角色TTransfer Family fer 工作流程角色Transfer Family 记录/调用角色
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

防止跨服务混淆代理

混淆代理问题是一个安全性问题，即不具有操作执行权限的实体可能会迫使具有更高权限的实体执行该操作。在 Amazon 中，跨服务模拟可能会导致混淆代理问题。一个服务（呼叫服务) 调用另一项服务（所谓的服务)时，可能会发生跨服务模拟。可以操纵调用服务来使用其权限对另一个客户的资源进行操作，否则该服务不应有访问权限。为了防止这种情况，Amazon 提供可帮助您保护所有服务的服务委托人数据的工具，这些服务委托人有权限访问账户中的资源。有关此问题的详细描述，请参阅 IAM 用户指南中的混乱副手问题。

我们建议在资源策略中使用aws:SourceArn和aws:SourceAccount全局条件上下文密钥来限制 TransferAmazon Family 对资源的权限。如果使用两个全局条件上下文键，在同一策略语句中使用时，aws:SourceAccount 值和 aws:SourceArn 值中的账户必须使用相同的账户 ID。

防止混代理问题最有效的方法是使用所需资源的确Amazon Resource Name (ARN)。如果要指定多个资源，请针对 ARN 未知部分使用带有通配符字符 (*) 的aws:SourceArn全局上下文条件键。例如，arn:aws:transfer::region::account-id:server/*。

AmazonTransfanser Family 使用以下类型的角色：

  • 访问角色：提供对正在传输的正确 Amazon S3 文件的访问权限。对于 AS2 入站转移，它使用协议中的Amazon 资源名称 (ARN)。对于出站 AS2 传输，它使用 ARN 作为连接器。

  • 用户角色：允许服务管理的用户访问必要的 Transfer Family 资源。Transfer 在传输用户 ARN 的上下文中假定了这一点。

  • 调用角色：用于 Amazon API Gateway 作为服务器的自定义身份提供商。Transfer 在传输服务器 ARN 的上下文中假定了这一点。

  • 记录角色：用于将条目登录到Amazon CloudWatch。Transfer 使用此角色记录成功和失败的详细信息以及有关文件传输的信息。Transfer 在传输服务器 ARN 的上下文中假定了这一点。对于出站 AS2 传输，它使用连接器 ARN。

  • 工作流角色：允许 Transfer Family 用户调用和执行工作流程。Transfer 在传输工作流程 ARN 的上下文中假定了这一点。

有关更多信息，请参阅 IAM 用户指南中的 IAM 中的策略和权限。

注意

在以下示例中，将每个 user input placeholder 替换为您自己的信息。

注意

在我们的示例中，我们同时使用ArnLike和ArnEquals。它们在功能上是相同的，因此您可以在构建策略时使用任何一个。Transfer Family 文档在条件包含通配符ArnLike时使用，ArnEquals用于表示完全匹配的条件。

AmazonTransfer Family 跨服务混代理混

以下示例策略允许账户中任何服务器的任何用户担任该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:user/*"
                }
            }
        }
    ]
}

以下示例策略允许特定服务器的任何用户担任该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:user/server-id/*"
                }
            }
        }
    ]
}

以下示例日志策略允许特定服务器的特定用户代入该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:user/server-id/user-name"
                }
            }
        }
    ]
}

AmazonTransfer Family 跨服务混代理混

以下示例策略允许账户中的任何工作流程担任该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:workflow/*"
                }
            }
        }
    ]
}

以下示例策略允许特定工作流代入该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:workflow/workflow-id"
                }
            }
        }
    ]
}

AmazonTransfer Family 登录和调用角色跨服务混乱副手预防

注意

以下示例可以在日志和调用角色中使用。

以下示例日志/调用策略允许账户中的任何服务器担任该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllServers",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:server/*"
                }
            }
        }
    ]
}

以下示例日志/调用策略允许特定服务器代入该角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSpecificServer",
            "Effect": "Allow",
            "Principal": {
                "Service": "transfer.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:transfer:region:account-id:/server/server-id"
                }
            }
        }
    ]
}