Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Tag-based control de acceso para las operaciones del plano de datos de Amazon Neptune

Tag-based El control de acceso (TBAC) le permite usar las etiquetas de AWS recursos y las etiquetas principales de IAM como condiciones en las políticas de IAM y las políticas de control de servicios (SCP) para controlar el acceso a las operaciones del plano de datos de Amazon Neptune. Con el TBAC, puede hacer que solo las personas principales cuyas etiquetas coincidan con las de un clúster de base de datos de Neptune puedan realizar neptune-db:* acciones contra ese clúster, sin incluir los nombres de recursos de Amazon (ARN) específicos del clúster en cada política.

El TBAC se basa en el modelo de seguridad existente de Neptune y complementa las acciones del plano de datos de control de acceso basadas en acciones. Acciones de IAM para el acceso a los datos en Amazon Neptune

Cómo encaja el TBAC en las capas de seguridad de Neptune

Neptune protege sus datos mediante múltiples mecanismos de seguridad superpuestos. TBAC añade una capa de autorización basada en atributos que funciona junto con todos ellos:

Conceptos clave de TBAC

Requisitos previos para usar TBAC

Antes de poder usar el TBAC con las operaciones del plano de datos de Neptune, debe contar con lo siguiente:

Patrones de políticas de TBAC

Los siguientes patrones muestran formas comunes de usar el TBAC en las políticas de IAM para las operaciones del plano de datos de Neptune.

Denegue el acceso cuando las etiquetas principales y de recursos no coincidan

Este es el patrón de TBAC más común. Niega todas las acciones del plano de datos de Neptune, a menos que las etiquetas del principal coincidan con las del recurso. Puede aplicarlo como un SCP para aplicarlo en toda la organización o como una política de IAM para un control selectivo.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

Cómo funciona: cada declaración utiliza una StringNotEquals condición diferente para una única clave de etiqueta. La denegación se activa de forma independiente para cada etiqueta: si la Project etiqueta del recurso no coincide con la Project etiqueta del principal, se deniega el acceso independientemente de la Department etiqueta. Esto garantiza que un principal etiquetado con solo Project=FraudDetection pueda acceder a los clústeres de Neptuno que también estén etiquetadosProject=FraudDetection, y para ellos de forma similar. Department

Denegar el acceso cuando falten las etiquetas de recursos necesarias

Este patrón impide el acceso a los clústeres de Neptune que no se han etiquetado correctamente, lo que garantiza que todos los clústeres estén inscritos en el esquema TBAC:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Cómo funciona: La Null condición se evalúa como verdadera cuando la clave de etiqueta especificada no existe en el recurso. Esto obliga a todos los clústeres de Neptuno a llevar las etiquetas de clasificación necesarias antes de que cualquier principal pueda acceder a ellos.

Combinación del TBAC con el control de acceso basado en acciones

El TBAC se puede combinar con neptune-db: acciones específicas para crear políticas detalladas que tengan en cuenta las etiquetas:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

Restricción del lenguaje de consulta con TBAC

Combine el TBAC con la clave de neptune-db:QueryLanguage condición para restringir tanto a qué clústeres puede acceder un principal como a qué lenguajes de consulta puede usar:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

Uso del TBAC con políticas de control de servicios

Los SCP son ideales para aplicar el TBAC porque establecen límites de permisos en toda una unidad organizativa (OU) o cuenta sin necesidad de cambiar las políticas individuales de IAM.

Recomendamos la siguiente estrategia de SCP:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Implementación de TBAC para Neptune

Paso 1: Defina su taxonomía de etiquetas

Elige las claves de etiqueta que representen los límites de tu organización. Patrones comunes:

Paso 2: Etiquete sus clústeres de bases de datos de Neptune

Utilice el AWS CLI para agregar las etiquetas de clasificación necesarias a los clústeres de bases de datos de Neptune:

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Paso 3: Etiquete sus directores de IAM

Utilícela AWS CLI para etiquetar las funciones de IAM con las mismas claves y valores que se utilizan en los clústeres de Neptuno. Para los roles de IAM:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

En el caso de los usuarios federados, transfiera las etiquetas a través de las etiquetas de SAML/OIDC sesión utilizando aws:PrincipalTag los atributos de su proveedor de identidad.

Paso 4: Implemente la política de TBAC

Adjúntela como una SCP para aplicarla en toda la organización o como una política de IAM para un control específico.

Paso 5: Proteja la integridad de las etiquetas

Restrinja quién puede modificar las etiquetas de los recursos de Neptune y los principios de IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

Consideraciones importantes para el TBAC

Relación con las funciones de seguridad existentes de Neptune