Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Tag-based controllo degli accessi per le operazioni sul piano dati di Amazon Neptune

Tag-based il controllo degli accessi (TBAC) consente di utilizzare i tag AWS delle risorse e i tag principali IAM come condizioni nelle politiche IAM e nelle politiche di controllo dei servizi (SCP) per controllare l'accesso alle operazioni del piano dati di Amazon Neptune. Con TBAC, puoi far sì che solo gli amministratori i cui tag corrispondono ai tag di un cluster Neptune DB possano eseguire neptune-db:* azioni su quel cluster, senza enumerare Amazon Resource Names (ARN) di cluster specifici in ogni policy.

TBAC si basa sul modello di sicurezza esistente di Neptune e integra le azioni del piano dati di controllo degli accessi basate sull'azione. Azioni IAM per l'accesso ai dati in Amazon Neptune

In che modo il TBAC si inserisce nei livelli di sicurezza di Neptune

Neptune protegge i tuoi dati tramite molteplici meccanismi di sicurezza sovrapposti. TBAC aggiunge un livello di autorizzazione basato sugli attributi che funziona insieme a tutti:

Concetti chiave del TBAC

Prerequisiti per l'utilizzo del TBAC

Prima di poter utilizzare TBAC con le operazioni sul piano dati Neptune, è necessario disporre di quanto segue:

Schemi politici TBAC

I modelli seguenti mostrano i modi comuni di utilizzare il TBAC nelle politiche IAM per le operazioni sul piano dati di Neptune.

Nega l'accesso quando i tag principale e quelli delle risorse non corrispondono

Questo è il pattern TBAC più comune. Nega tutte le azioni del piano dati di Neptune a meno che i tag del principale non corrispondano ai tag della risorsa. Puoi applicarlo come SCP per l'applicazione a livello di organizzazione o come policy IAM per un controllo mirato.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

Come funziona: ogni istruzione utilizza una StringNotEquals condizione separata per una singola chiave di tag. Il Deny si attiva indipendentemente per ogni tag: se il Project tag della risorsa non corrisponde al tag del principale, l'accesso viene negato indipendentemente dal Project tag. Department Ciò garantisce che un principale taggato con Project=FraudDetection possa accedere solo ai cluster Neptune a cui è stato assegnato anche il tag, e analogamente per. Project=FraudDetection Department

Nega l'accesso quando mancano i tag delle risorse richiesti

Questo pattern impedisce l'accesso ai cluster Neptune che non sono stati etichettati correttamente, garantendo che tutti i cluster siano iscritti nello schema TBAC:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Come funziona: la Null condizione viene valutata vera quando la chiave tag specificata non esiste nella risorsa. Ciò obbliga tutti i cluster Neptune a contenere i tag di classificazione richiesti prima che qualsiasi principale possa accedervi.

Combinazione del TBAC con il controllo degli accessi basato sull'azione

Il TBAC può essere combinato con neptune-db: azioni specifiche per creare politiche dettagliate e basate sui tag:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

Restrizione del linguaggio di interrogazione con TBAC

Combina TBAC con la chiave neptune-db:QueryLanguage condizionale per limitare sia i cluster a cui può accedere un principale sia i linguaggi di interrogazione che può utilizzare:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

Utilizzo del TBAC con le politiche di controllo del servizio

Gli SCP sono ideali per applicare il TBAC perché stabiliscono i limiti di autorizzazione su un'intera unità organizzativa (OU) o account senza richiedere modifiche alle singole politiche IAM.

Consigliamo la seguente strategia SCP:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Implementazione del TBAC per Neptune

Fase 1: Definisci la tassonomia dei tag

Scegli le chiavi dei tag che rappresentino i confini della tua organizzazione. Schemi comuni:

Passaggio 2: contrassegna i cluster Neptune DB

Usa il AWS CLI per aggiungere i tag di classificazione richiesti ai tuoi cluster Neptune DB:

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Passaggio 3: tagga i tuoi principali IAM

Usa il AWS CLI per etichettare i ruoli IAM con le stesse chiavi e valori usati sui tuoi cluster Neptune. Per i ruoli IAM:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Per gli utenti federati, passa i tag tramite i tag di SAML/OIDC sessione utilizzando aws:PrincipalTag gli attributi del tuo provider di identità.

Fase 4: Implementazione della politica TBAC

Aggiungila come SCP per l'applicazione a livello di organizzazione o come policy IAM per un controllo mirato.

Fase 5: Proteggi l'integrità dei tag

Limita chi può modificare i tag sulle risorse Neptune e sui presidi IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

Considerazioni importanti per il TBAC

Relazione con le funzionalità di sicurezza esistenti di Neptune