Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Tag-based kontrol akses untuk operasi pesawat data Amazon Neptune

Tag-based kontrol akses (TBAC) memungkinkan Anda menggunakan tag AWS sumber daya dan tag utama IAM sebagai kondisi dalam kebijakan IAM dan Kebijakan Kontrol Layanan (SCP) untuk mengontrol akses ke operasi bidang data Amazon Neptune. Dengan TBAC, Anda dapat menerapkan bahwa hanya prinsipal yang tagnya cocok dengan tag pada cluster Neptune DB yang dapat melakukan neptune-db:* tindakan terhadap cluster tersebut, tanpa menyebutkan nama sumber daya Amazon (ARN) cluster tertentu di setiap kebijakan.

TBAC dibangun di atas model keamanan Neptunus yang ada dan melengkapi tindakan bidang data kontrol akses berbasis tindakan.

Bagaimana TBAC cocok dengan lapisan keamanan Neptunus

Neptunus melindungi data Anda melalui beberapa mekanisme keamanan yang tumpang tindih. TBAC menambahkan lapisan otorisasi berbasis atribut yang bekerja bersama semuanya:

Konsep utama TBAC

Prasyarat untuk menggunakan TBAC

Sebelum Anda dapat menggunakan TBAC dengan operasi bidang data Neptunus, Anda harus memiliki yang berikut:

Pola kebijakan TBAC

Pola berikut menunjukkan cara umum untuk menggunakan TBAC dalam kebijakan IAM untuk operasi bidang data Neptunus.

Tolak akses saat tag utama dan sumber daya tidak cocok

Ini adalah pola TBAC yang paling umum. Ini menyangkal semua tindakan bidang data Neptunus kecuali tag kepala sekolah cocok dengan tag sumber daya. Anda dapat menerapkan ini sebagai SCP untuk penegakan di seluruh organisasi atau sebagai kebijakan IAM untuk kontrol yang ditargetkan.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

Cara kerjanya: Setiap pernyataan menggunakan StringNotEquals kondisi terpisah untuk satu kunci tag. Deny dipicu secara independen untuk setiap tag—jika Project tag sumber daya tidak cocok dengan Project tag kepala sekolah, akses ditolak terlepas dari tag. Department Ini memastikan prinsipal yang ditandai hanya Project=FraudDetection dapat mengakses cluster Neptunus yang juga ditandaiProject=FraudDetection, dan serupa untukDepartment.

Tolak akses saat tag sumber daya yang diperlukan hilang

Pola ini mencegah akses ke cluster Neptunus yang belum diberi tag dengan benar, memastikan semua cluster terdaftar dalam skema TBAC:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Cara kerjanya: Null Kondisi dievaluasi menjadi true ketika kunci tag yang ditentukan tidak ada pada sumber daya. Ini memaksa semua cluster Neptunus untuk membawa tag klasifikasi yang diperlukan sebelum kepala sekolah dapat mengaksesnya.

Menggabungkan TBAC dengan kontrol akses berbasis tindakan

TBAC dapat digabungkan dengan neptune-db: tindakan spesifik untuk membuat kebijakan yang tepat dan sadar tag:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

Pembatasan bahasa kueri dengan TBAC

Gabungkan TBAC dengan kunci neptune-db:QueryLanguage kondisi untuk membatasi cluster mana yang dapat diakses oleh kepala sekolah dan bahasa kueri mana yang dapat mereka gunakan:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

Menggunakan TBAC dengan kebijakan kontrol layanan

SCP ideal untuk menegakkan TBAC karena mereka menetapkan batas izin di seluruh unit organisasi (OU) atau akun tanpa memerlukan perubahan pada kebijakan IAM individu.

Kami merekomendasikan strategi SCP berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Menerapkan TBAC untuk Neptunus

Langkah 1: Tentukan taksonomi tag

Pilih kunci tag yang mewakili batas-batas organisasi Anda. Pola umum:

Langkah 2: Tandai cluster DB Neptunus Anda

Gunakan AWS CLI untuk menambahkan tag klasifikasi yang diperlukan ke cluster Neptune DB Anda:

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Langkah 3: Tandai prinsipal IAM Anda

Gunakan AWS CLI untuk menandai peran IAM dengan kunci dan nilai yang sama yang digunakan pada cluster Neptunus Anda. Untuk peran IAM:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Untuk pengguna federasi, berikan tag melalui tag SAML/OIDC sesi menggunakan aws:PrincipalTag atribut dari penyedia identitas Anda.

Langkah 4: Terapkan kebijakan TBAC

Lampirkan sebagai SCP untuk penegakan di seluruh organisasi, atau sebagai kebijakan IAM untuk kontrol yang ditargetkan.

Langkah 5: Lindungi integritas tag

Batasi siapa yang dapat memodifikasi tag pada sumber daya Neptunus dan prinsipal IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

Pertimbangan penting untuk TBAC

Hubungan dengan fitur keamanan Neptunus yang ada