Amazon Fraud Detector는 2025년 11월 7일부터 신규 고객에게 더 이상 공개되지 않습니다. Amazon Fraud Detector와 유사한 기능을 알아보려면 Amazon SageMaker, AutoGluon 및를 살펴보세요 AWS WAF.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# 혼동된 대리자 방지
<a name="confused-deputy-prevention"></a>

혼동된 대리자 문제는 작업을 수행할 권한이 없는 엔터티가 더 많은 권한이 있는 엔터티에 작업을 수행하도록 강요할 때 발생합니다.는 계정의 리소스에 대한 타사(*교차 계정*이라고 함) 또는 기타 AWS 서비스(*교차 서비스*라고 함) 액세스를 제공하는 경우 계정을 보호하는 데 도움이 되는 도구를 AWS 제공합니다.

교차 서비스 혼동된 대리자 문제는 한 서비스(*호출 서비스*)가 다른 서비스(*호출 서비스*)를 호출할 때 발생할 수 있습니다. 직접 호출하는 서비스는 다른 고객의 리소스에 대해 액세스 권한이 없는 방식으로 작동하게 권한을 사용하도록 조작될 수 있습니다. 이를 방지하기 위해 서비스 리소스에 대한 액세스 권한이 부여된 서비스 보안 주체를 사용하여 모든 서비스에 대한 데이터를 보호하는 데 도움이 되는 정책을 생성할 수 있습니다.

Amazon Fraud Detector는 권한 정책에서 [서비스 역할을](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role) 사용하여 서비스가 사용자를 대신하여 다른 서비스의 리소스에 액세스할 수 있도록 지원합니다. 역할에는 두 가지 정책이 필요합니다. 즉, 역할을 수임할 수 있는 보안 주체를 지정하는 역할 신뢰 정책과 역할로 수행할 수 있는 작업을 지정하는 권한 정책이 필요합니다. 서비스가 사용자를 대신하여 역할을 맡을 경우 서비스 보안 주체는 역할 신뢰 정책의 `sts:AssumeRole` 작업을 수행하도록 허용되어야 합니다. 서비스가를 호출하면 서비스 보안 주체가 역할의 권한 정책에서 허용하는 리소스에 액세스하는 데 사용하는 임시 보안 자격 증명 세트를 `sts:AssumeRole` AWS STS 반환합니다.

교차 서비스 혼동된 대리자 문제를 방지하기 위해 Amazon Fraud Detector는 역할 신뢰 정책의 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) 및 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) 전역 조건 컨텍스트 키를 사용하여 역할에 대한 액세스를 예상 리소스에서 생성된 요청으로만 제한할 것을 권장합니다.

는 계정 ID를 `aws:SourceAccount` 지정하고는 교차 서비스 액세스와 연결된 리소스의 ARN을 `aws:SourceArn` 지정합니다. 는 [ARN 형식을](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html#arns-syntax) 사용하여 지정해야 `aws:SourceArn` 합니다. 동일한 정책 문에서 사용할 때 `aws:SourceAccount` 및 `aws:SourceArn`가 모두 동일한 계정 ID를 사용하고 있는지 확인합니다.

혼동된 대리인 문제로부터 보호하는 가장 효과적인 방법은 리소스의 전체 ARN이 포함된 `aws:SourceArn`글로벌 조건 컨텍스트 키를 사용하는 것입니다. 리소스의 전체 ARN을 모르거나 여러 리소스를 지정하는 경우 ARN의 알 수 없는 부분에 와일드카드(`*`)와 함께 `aws:SourceArn` 전역 컨텍스트 조건 키를 사용합니다. 예를 들어 `arn:aws:{{servicename}}:*:{{123456789012}}:*`입니다. 권한 정책에 사용할 수 있는 Amazon Fraud Detector 리소스 및 작업에 대한 자세한 내용은 [Amazon Fraud Detector에 사용되는 작업, 리소스 및 조건 키를](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonfrauddetector.html#amazonfrauddetector-resources-for-iam-policies) 참조하세요.

다음 역할 신뢰 정책 예제에서는 `aws:SourceArn` 조건 키에서 와일드카드(\*)를 사용하여 Amazon Fraud Detector가 계정 ID와 연결된 여러 리소스에 액세스할 수 있도록 허용합니다.

다음 역할 신뢰 정책은 Amazon Fraud Detector가 `external-model` 리소스에만 액세스할 수 있도록 허용합니다. 조건 블록의 `aws:SourceArn` 파라미터를 확인합니다. 리소스 한정자는 `PutExternalModel` API 호출을 위해 제공되는 모델 엔드포인트를 사용하여 빌드됩니다.

------
#### [ JSON ]

****  

```
    {
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "frauddetector.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:frauddetector:us-west-2:123456789012:external-model/MyExternalModeldoNotDelete-ReadOnly"
        }
      }
    }
  ]
}
```

------