有用户发现 [1] AWS 于昨日为 AWSSupportServiceRolePolicy 政策的最新版本 (Version 20) 添加了一系列权限，包括用于获取 S3 中文件内容的 s3:getObject 权限。这可能使用户在 S3 中存储的内容泄露给 AWS 的客户支持人员。

由于 AWS 的 IAM 政策相当复杂，且 Version 20 目前并不是此政策的默认版本，因此本台无法确定此更新对用户数据安全性的影响。如果订户对此有所担忧，请咨询您附近的 AWS 专家或服务人员。

您可以在登录 AWS 控制台后，访问 [2] 查看政策详情。

src: https://t.me/bupt_moe/1383
seealso: https://news.ycombinator.com/item?id=29645462

1. gh:z0ph/MAMIP@9d72709
2. console.aws.amazon.com/~

#AWS #IAM #S3 #Security #Support

消息来源: https://t.me/outvivid/3268

Telegram

bupt.moe

#security #AWS #S3
AWS 用于客户支持角色的 AWSSupportServiceRolePolicy 添加了 s3:getObject 权限，意味着所有AWS客户支持人员可以访问任意AWS的S3 Object。
根据笔者对S3的了解，如果你没有配置 KMS，也没有配置 CloudTrail 日志审计，也没有在其他地方限制对S3的访问（比如IP限制），那么你的S3 Object可以推定泄漏。建议使用S3的各位检查自己的敏感数据。
https://github.com/z0ph/MAMI…