Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Tag-based Zugriffskontrolle für den Betrieb auf der Datenebene von Amazon Neptune

Tag-based Mit Access Control (TBAC) können Sie AWS Ressourcen-Tags und IAM-Principal-Tags als Bedingungen in IAM-Richtlinien und Service Control Policies (SCPs) verwenden, um den Zugriff auf Amazon Neptune-Datenebenenoperationen zu kontrollieren. Mit TBAC können Sie erzwingen, dass nur Principals, deren Tags mit den Tags auf einem Neptune-DB-Cluster übereinstimmen, neptune-db:* Aktionen gegen diesen Cluster ausführen können, ohne in jeder Richtlinie spezifische Cluster-Amazon-Ressourcennamen (ARNs) aufzulisten.

TBAC baut auf dem bestehenden Sicherheitsmodell von Neptune auf und ergänzt die aktionsbasierten Aktionen zur Zugriffskontrolle auf der Datenebene. IAM-Aktionen für den Datenzugriff in Amazon Neptune

So passt TBAC in die Sicherheitsebenen von Neptune

Neptune schützt Ihre Daten durch mehrere, sich überschneidende Sicherheitsmechanismen. TBAC fügt eine attributbasierte Autorisierungsebene hinzu, die mit allen zusammen funktioniert:

Wichtige TBAC-Konzepte

Voraussetzungen für die Verwendung von TBAC

Bevor Sie TBAC mit Neptune-Datenebenenoperationen verwenden können, müssen Sie über Folgendes verfügen:

TBAC-Richtlinienmuster

Die folgenden Muster zeigen gängige Methoden zur Verwendung von TBAC in IAM-Richtlinien für Neptune-Datenebenenoperationen.

Zugriff verweigern, wenn Principal- und Resource-Tags nicht übereinstimmen

Dies ist das häufigste TBAC-Muster. Es verweigert alle Neptune-Datenebenenaktionen, es sei denn, die Tags des Prinzipals stimmen mit den Tags der Ressource überein. Sie können dies als SCP zur unternehmensweiten Durchsetzung oder als IAM-Richtlinie für gezielte Kontrolle verwenden.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

So funktioniert es: Jede Anweisung verwendet eine separate StringNotEquals Bedingung für einen einzelnen Tag-Schlüssel. Die Option Verweigern wird für jedes Tag unabhängig ausgelöst. Wenn das Project Tag der Ressource nicht mit dem Project Tag des Principals übereinstimmt, wird der Department Zugriff unabhängig vom Tag verweigert. Dadurch wird sichergestellt, dass ein mit markierter Principal nur auf Neptune-Cluster zugreifen Project=FraudDetection kannProject=FraudDetection, für die auch und in ähnlicher Weise die entsprechenden Tags gelten. Department

Verweigern Sie den Zugriff, wenn die erforderlichen Ressourcen-Tags fehlen

Dieses Muster verhindert den Zugriff auf Neptune-Cluster, die nicht richtig markiert wurden, und stellt sicher, dass alle Cluster im TBAC-Schema registriert sind:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

So funktioniert es: Die Null Bedingung wird als wahr ausgewertet, wenn der angegebene Tag-Schlüssel in der Ressource nicht existiert. Dadurch müssen alle Neptun-Cluster die erforderlichen Klassifizierungs-Tags tragen, bevor ein Principal darauf zugreifen kann.

Kombination von TBAC mit aktionsbasierter Zugriffskontrolle

TBAC kann mit spezifischen neptune-db: Aktionen kombiniert werden, um feinkörnige, tagspezifische Richtlinien zu erstellen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

Sprachbeschränkung mit TBAC abfragen

Kombinieren Sie TBAC mit dem neptune-db:QueryLanguage Bedingungsschlüssel, um einzuschränken, auf welche Cluster ein Principal zugreifen kann und welche Abfragesprachen er verwenden kann:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

Verwenden von TBAC mit Dienststeuerungsrichtlinien

SCPs eignen sich ideal zur Durchsetzung von TBAC, da sie Berechtigungsgrenzen für eine gesamte Organisationseinheit (OU) oder ein Konto festlegen, ohne dass Änderungen an einzelnen IAM-Richtlinien erforderlich sind.

Wir empfehlen die folgende SCP-Strategie:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Implementierung von TBAC für Neptune

Schritt 1: Definieren Sie Ihre Tag-Taxonomie

Wählen Sie Tag-Schlüssel, die Ihre Unternehmensgrenzen repräsentieren. Allgemeine Muster:

Schritt 2: Taggen Sie Ihre Neptune-DB-Cluster

Verwenden Sie das AWS CLI , um die erforderlichen Klassifizierungs-Tags zu Ihren Neptune-DB-Clustern hinzuzufügen:

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Schritt 3: Taggen Sie Ihre IAM-Principals

Verwenden Sie das AWS CLI , um IAM-Rollen mit denselben Schlüsseln und Werten zu taggen, die in Ihren Neptune-Clustern verwendet werden. Für IAM-Rollen:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Für Verbundbenutzer geben Sie Tags mithilfe von aws:PrincipalTag Attributen Ihres Identitätsanbieters über SAML/OIDC Sitzungs-Tags weiter.

Schritt 4: Stellen Sie die TBAC-Richtlinie bereit

Fügen Sie sie als SCP zur unternehmensweiten Durchsetzung oder als IAM-Richtlinie zur gezielten Kontrolle hinzu.

Schritt 5: Schützen Sie die Tag-Integrität

Schränken Sie ein, wer Tags auf Neptune-Ressourcen und IAM-Principals ändern kann:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

Wichtige Überlegungen für TBAC

Beziehung zu bestehenden Neptune-Sicherheitsfunktionen