Cross-service confusa prevención adjunta

El problema de la sustitución confusa es un problema de seguridad en el que una entidad que no tiene permiso para realizar una acción puede obligar a una entidad con más privilegios a realizar la acción. En AWS, la suplantación de identidad entre servicios puede resultar en el confuso problema de los diputados. Cross-servicela suplantación de identidad puede ocurrir cuando un servicio (el servicio llamante) llama a otro servicio (el servicio llamado). El servicio que lleva a cabo las llamadas se puede manipular para utilizar sus permisos a fin de actuar en función de los recursos de otro cliente de una manera en la que no debe tener permiso para acceder. Para evitarlo, AWS proporciona herramientas que te ayudan a proteger los datos de todos los servicios con los directores de servicio que han tenido acceso a los recursos de tu cuenta.

Recomendamos usar las claves de contexto de condición aws:SourceAccount global aws:SourceArn y las claves de contexto de condición en las políticas de recursos para limitar los permisos que AWS Backup otorgan otro servicio al recurso. Si se utilizan ambas claves contextuales de condición global, el valor aws:SourceAccount y la cuenta del valor aws:SourceArn deben utilizar el mismo ID de cuenta cuando se utilicen en la misma declaración de política.

El valor de aws:SourceArn debe ser un AWS Backup almacén cuando se utilice AWS Backup para publicar temas de Amazon SNS en su nombre.

La forma más eficaz de protegerse contra el problema de la sustitución confusa es utilizar la clave de contexto de condición global de aws:SourceArn con el ARN completo del recurso. Si no conoce el ARN completo del recurso o si especifica varios recursos, utiliza la clave de condición de contexto global aws:SourceArn con comodines (*) para las partes desconocidas del ARN. Por ejemplo, arn:aws::servicename::123456789012:*.

El siguiente ejemplo muestra cómo puede utilizar las claves de contexto de condición aws:SourceAccount global aws:SourceArn y global AWS Backup para evitar el confuso problema del adjunto. Agregue la siguiente declaración a su política de claves de KMS para impedir que el principal del servicio realice acciones backup-storage.amazonaws.com de KMS, a menos que la solicitud se origine en los almacenes de respaldo y la cuenta que especificó:

{
  "Sid": "Deny Backup Storage confused deputy",
  "Effect": "Deny",
  "Principal": {
    "Service": "backup-storage.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:RetireGrant",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "aws:SourceAccount": "123456789012"
    },
    "ArnNotLike": {
      "aws:SourceArn": "arn:aws::backup:us-east-1:123456789012:backup-vault:*"
    }
  }
}

us-east-1Sustitúyala por la tuya Región de AWS y por la ID 123456789012 de tu cuenta. AWS Esta política impide que el principal del servicio de AWS Backup almacenamiento utilice tu clave de KMS, a menos que la solicitud provenga de un almacén de respaldo de la cuenta y región especificadas.