翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# HealthImaging でのサービス間の混乱した代理の防止
<a name="cross-service-confused-deputy-prevention"></a>

混乱した代理問題は、アクションを実行する許可を持たないエンティティが、より特権のあるエンティティにアクションを実行するように強制できるセキュリティの問題です。AWS では、サービス間でのなりすましが、混乱した代理問題の原因となる可能性があります。サービス間でのなりすましは、1 つのサービス (*呼び出し元サービス*) が、別のサービス (*呼び出し対象サービス*) を呼び出すときに発生する可能性があります。呼び出し元サービスは、本来ならアクセスすることが許可されるべきではない方法でその許可を使用して、別のお客様のリソースに対する処理を実行するように操作される場合があります。これを防ぐために、AWS では、アカウントのリソースへのアクセス許可が付与されたサービスプリンシパルを持つすべてのサービスのデータ保護に役立つツールを提供しています。

AWS HealthImaging がリソースに別のサービスに付与するアクセス許可を制限するには、IAM `ImportJobDataAccessRole` ロールの信頼関係ポリシーで [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn)および [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) グローバル条件コンテキストキーを使用することをお勧めします。1 つのリソースだけをクロスサービスのアクセスに関連付ける場合は、`aws:SourceArn` を使用します。アカウント内の任意のリソースをクロスサービスの使用に関連付ける場合は、`aws:SourceAccount` を使用します。これらのグローバル条件コンテキストキーの両方を、同じポリシーステートメントで使用する場合、`aws:SourceAccount` 値と `aws:SourceArn` 値の中の参照されるアカウントには、同じアカウント ID を使用する必要があります。

の値は、影響を受けるデータストアの ARN `aws:SourceArn`である必要があります。データストアの完全な ARN がわからない場合、または複数のデータストアを指定する場合は、ARN の不明な部分に \$1 ワイルドカードで`aws:SourceArn`グローバルコンテキスト条件キーを使用します。たとえば、`aws:SourceArn` を `arn:aws:medical-imaging:us-west-2:111122223333:datastore/*`に設定できます。

次の信頼ポリシーの例では、 `aws:SourceArn` および `aws:SourceAccount`条件キーを使用して、データストアの ARN に基づいてサービスプリンシパルへのアクセスを制限し、混乱した代理問題を防ぎます。

------
#### [ JSON ]

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "medical-imaging.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "ArnLike": {
          "aws:SourceArn": "arn:aws:medical-imaging:us-east-1:123456789012:datastore/*"
        },
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        }
      }
    }
  ]
}
```

------