기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# OpsWorks Stacks의 교차 서비스 혼동된 대리자 방지
**중요**
이 AWS OpsWorks Stacks 서비스는 2024년 5월 26일에 수명이 종료되었으며 신규 및 기존 고객 모두에서 비활성화되었습니다. 가능한 한 빨리 워크로드를 다른 솔루션으로 마이그레이션하는 것이 좋습니다. 마이그레이션에 대한 질문이 있는 경우 [AWS re:Post](https://repost.aws/) 또는 [AWS Premium Support](https://aws.amazon.com/support)를 통해 AWS Support 팀에 문의하세요.
혼동된 대리자 문제는 작업을 수행할 권한이 없는 엔터티가 권한이 더 많은 엔터티에게 작업을 수행하도록 강요할 수 있는 보안 문제입니다. 에서 AWS교차 서비스 가장은 혼동된 대리자 문제를 초래할 수 있습니다. 교차 서비스 가장은 한 서비스(*직접 호출하는 서비스*)가 다른 서비스(*직접 호출되는 서비스*)를 직접 호출할 때 발생할 수 있습니다. 직접 호출하는 서비스는 다른 고객의 리소스에 대해 액세스 권한이 없는 방식으로 작동하게 권한을 사용하도록 조작될 수 있습니다. 이를 방지하기 위해 AWS 에서는 계정의 리소스에 대한 액세스 권한이 부여된 서비스 위탁자를 사용하여 모든 서비스에 대한 데이터를 보호하는 데 도움이 되는 도구를 제공합니다.
스택 액세스 정책에서 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourcearn) 및 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-sourceaccount) 전역 조건 컨텍스트 키를 사용하여 스택에 다른 서비스를 AWS OpsWorks 제공하는 권한을 제한하는 것이 좋습니다. 만약 `aws:SourceArn` 값에 Amazon S3 버킷 ARN과 같은 계정 ID가 포함되어 있지 않은 경우, 권한을 제한하려면 두 전역 조건 컨텍스트 키를 모두 사용해야 합니다. 두 전역 조건 컨텍스트 키와 계정을 포함한 `aws:SourceArn` 값을 모두 사용하는 경우, `aws:SourceAccount` 값 및 `aws:SourceArn` 값의 계정은 동일한 정책 명령문에서 사용할 경우 반드시 동일한 계정 ID를 사용해야 합니다. 하나의 스택만 교차 서비스 액세스와 연결되도록 허용하려는 경우 `aws:SourceArn`을(를) 사용하세요. 해당 계정의 모든 스택이 교차 서비스 사용과 연결되도록 허용하려는 경우 `aws:SourceAccount`을(를) 사용하세요.
의 값은 OpsWorks 스택의 ARN이어야 `aws:SourceArn` 합니다.
혼동된 대리자 문제로부터 보호하는 가장 효과적인 방법은 OpsWorks Stacks 스택의 전체 ARN이 포함된 `aws:SourceArn` 글로벌 조건 컨텍스트 키를 사용하는 것입니다. 스택의 전체 ARN을 모를 경우 또는 여러 스택 ARN을 지정하는 경우 ARN의 알 수 없는 부분에 대해 와일드카드(`*`)를 포함한 `aws:SourceArn` 글로벌 조건 컨텍스트 키를 사용합니다. 예를 들어 `arn:aws:servicename:*:123456789012:*`입니다.
다음 섹션에서는 OpsWorks Stacks에서 `aws:SourceArn` 및 `aws:SourceAccount` 전역 조건 컨텍스트 키를 사용하여 혼동된 대리자 문제를 방지하는 방법을 보여줍니다.
## OpsWorks Stacks에서 혼동된 대리자 악용 방지
이 섹션에서는 Stacks에서 OpsWorks 혼동된 대리자 악용을 방지하는 방법을 설명하고 OpsWorks Stacks에 액세스하는 데 사용하는 IAM 역할에 연결할 수 있는 권한 정책의 예를 포함합니다. 최상의 보안을 위해, IAM 역할이 다른 서비스와 가지는 신뢰 관계에 `aws:SourceArn` 및 `aws:SourceAccount` 조건 키를 추가하는 것이 좋습니다. 신뢰 관계를 통해 OpsWorks Stacks는 역할을 수임하여 OpsWorks Stacks 스택을 생성하거나 관리하는 데 필요한 다른 서비스에서 작업을 수행할 수 있습니다.
**신뢰 관계를 편집하여 `aws:SourceArn` 및 `aws:SourceAccount` 조건 키를 추가하려면**
1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/))을 엽니다.
1. 왼쪽 탐색 창에서 **역할**을 선택합니다.
1. **검색** 상자에서 OpsWorks Stacks에 액세스하는 데 사용하는 역할을 검색합니다. AWS 관리형 역할은 입니다`aws-opsworks-service-role`.
1. 역할의 **요약** 페이지에서 **신뢰 관계** 탭을 선택합니다.
1. **신뢰 관계** 탭에서 **신뢰 정책 편집**을 선택합니다.
1. **신뢰 정책 편집** 페이지에서 하나 이상의 `aws:SourceArn` 또는 `aws:SourceAccount` 조건 키를 정책에 추가합니다. `aws:SourceArn`를 사용하여 교차 서비스(예: Amazon EC2)와 OpsWorks Stacks 간의 신뢰 관계를 보다 제한적인 특정 OpsWorks Stacks 스택으로 제한합니다. `aws:SourceAccount`를 추가하여 교차 서비스와 OpsWorks Stacks 간의 신뢰 관계를 특정 계정의 스택으로 제한합니다. 이는 덜 제한적입니다. 다음은 예입니다. 두 조건 키를 모두 사용하는 경우 계정 ID가 동일해야 한다는 점에 유의하세요.
1. 조건 키 추가가 끝나면 **정책 업데이트**를 선택합니다.
다음은 `aws:SourceArn` 및 `aws:SourceAccount`를 사용하여 스택에 대한 액세스를 제한하는 역할의 추가 예입니다.
**Topics**
+ [예제: 특정 리전에서 스택 액세스](#confused-deputy-opsworks-stacks-example1)
+ [예: 두 개 이상의 스택 ARN을 `aws:SourceArn`에 추가](#confused-deputy-opsworks-stacks-example2)
### 예제: 특정 리전에서 스택 액세스
다음 역할 신뢰 관계 문은 미국 동부(오하이오) 리전()의 모든 OpsWorks Stacks 스택에 액세스합니다`us-east-2`. 참고로 리전은 `aws:SourceArn`의 ARN 값에서 지정되지만 스택 ID 값은 와일드카드 (\$1) 입니다.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "opsworks.amazonaws.com"
},
"Action": "sts:AssumeRole",
"Condition": {
"StringEquals": {
"aws:SourceAccount": "123456789012"
},
"ArnEquals": {
"aws:SourceArn": "arn:aws:opsworks:us-east-2:123456789012:stack/*"
}
}
}
]
}
```
------
### 예: 두 개 이상의 스택 ARN을 `aws:SourceArn`에 추가
다음 예시에서는 계정 ID 123456789012의 두 OpsWorks Stacks 스택 배열에 대한 액세스를 제한합니다.