預防跨服務混淆代理人

混淆代理人問題屬於安全性問題，其中沒有執行動作許可的實體可以強制具有更多許可的實體執行該動作。在 中 AWS，跨服務模擬可能會導致混淆代理人問題。在某個服務 (呼叫服務) 呼叫另一個服務 (被呼叫服務) 時，可能會發生跨服務模擬。可以操縱呼叫服務來使用其許可，以其不應有存取許可的方式對其他客戶的資源採取動作。為了避免這種情況， AWS 提供工具，協助您保護所有 服務的資料，讓 服務主體有權存取您帳戶中的資源。

我們建議在資源政策中使用 aws:SourceArn和 aws:SourceAccount全域條件內容索引鍵，以限制將另一個 服務 AWS Backup 提供給資源的許可。如果同時使用全域條件內容金鑰，則在相同政策陳述式中使用 aws:SourceAccount 值和 aws:SourceArn 值中的帳戶時，必須使用相同的帳戶 ID。

使用 代表您發佈 Amazon SNS AWS Backup 主題時， 的值aws:SourceArn必須是 AWS Backup 保存庫。

防範混淆代理人問題最有效的方法，是使用 aws:SourceArn 全域條件內容金鑰，以及資源的完整 ARN。如果不知道資源的完整 ARN，或者如果您指定了多個資源，請使用 aws:SourceArn 全域條件內容金鑰，同時使用萬用字元 (*) 表示 ARN 的未知部分。例如 arn:aws::servicename::123456789012:*。

下列範例示範如何在 中使用 aws:SourceArn和 aws:SourceAccount全域條件內容索引鍵 AWS Backup ，以防止混淆代理人問題。將下列陳述式新增至您的 KMS 金鑰政策，backup-storage.amazonaws.com以拒絕服務主體執行 KMS 動作，除非請求來自您指定的備份保存庫和帳戶：

{
  "Sid": "Deny Backup Storage confused deputy",
  "Effect": "Deny",
  "Principal": {
    "Service": "backup-storage.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:RetireGrant",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringNotEquals": {
      "aws:SourceAccount": "123456789012"
    },
    "ArnNotLike": {
      "aws:SourceArn": "arn:aws::backup:us-east-1:123456789012:backup-vault:*"
    }
  }
}

將 us-east-1 取代為您的 AWS 區域 ，並將 123456789012 取代為您的 AWS 帳戶 ID。此政策會拒絕 AWS Backup 儲存服務主體使用您的 KMS 金鑰，除非請求來自您指定帳戶和區域中的備份保存庫。