Chặn confused deputy

Một nhà cung cấp giám sát hoạt động trong tài khoản của bạn bằng cách assume một role bạn đã tạo cho họ. Bạn đã đưa role ARN khi thiết lập tích hợp, và đó là tất cả những gì nhà cung cấp cần để thực hiện cuộc gọi.

Mở bảng điều khiển External ID. Ba lệnh AssumeRole đã đến role của bạn trong giờ vừa rồi, tất cả đều từ nhà cung cấp. Đọc thẻ ở dưới cùng và so sánh những gì nhà cung cấp đã làm trong mỗi lần.

Hai trong ba lần đọc đó được yêu cầu bởi người khác. Đánh dấu yêu cầu sts:ExternalId và xem cả hai dừng lại.

Tại sao một khách hàng khác của nhà cung cấp không thể đơn giản gửi kèm giá trị của bạn?