翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Neptune データプレーンオペレーションのタグベースのアクセスコントロール

タグベースのアクセスコントロール (TBAC) を使用すると、 AWS リソースタグと IAM プリンシパルタグを IAM ポリシーとサービスコントロールポリシー (SCPs) の条件として使用して、Amazon Neptune データプレーンオペレーションへのアクセスを制御できます。TBAC では、Neptune DB クラスターのタグと一致するタグを持つプリンシパルのみが、すべてのポリシーで特定のクラスターの Amazon リソースネーム (ARNs) を列挙することなく、そのクラスターに対してneptune-db:*アクションを実行できるように強制できます。

TBAC は Neptune の既存のセキュリティモデルに基づいて構築され、アクションベースのアクセスコントロールデータプレーンアクションを補完します。

TBAC が Neptune のセキュリティレイヤーにどのように適合するか

Neptune は、重複する複数のセキュリティメカニズムを通じてデータを保護します。TBAC は、すべての属性と連携する属性ベースの認可レイヤーを追加します。

TBAC の主要な概念

TBAC を使用するための前提条件

Neptune データプレーンオペレーションで TBAC を使用する前に、以下を設定する必要があります。

TBAC ポリシーパターン

次のパターンは、Neptune データプレーンオペレーションの IAM ポリシーで TBAC を使用する一般的な方法を示しています。

プリンシパルタグとリソースタグが一致しない場合のアクセスを拒否する

これは最も一般的な TBAC パターンです。プリンシパルのタグがリソースのタグと一致しない限り、すべての Neptune データプレーンアクションを拒否します。これは、組織全体の強制のための SCP として、またはターゲットを絞ったコントロールのための IAM ポリシーとして適用できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

仕組み: 各ステートメントは、単一のタグキーに個別のStringNotEquals条件を使用します。拒否はタグごとに個別にトリガーされます。リソースのProjectタグがプリンシパルのProjectタグと一致しない場合、アクセスはDepartmentタグに関係なく拒否されます。これにより、 でタグ付けされたプリンシパルProject=FraudDetectionはProject=FraudDetection、同様に でタグ付けされた Neptune クラスターにのみアクセスできますDepartment。

必要なリソースタグがない場合のアクセスの拒否

このパターンにより、適切にタグ付けされていない Neptune クラスターへのアクセスが防止され、すべてのクラスターが TBAC スキームに登録されます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

仕組み: 指定されたタグキーがリソースに存在しない場合、 Null条件は true に評価されます。これにより、プリンシパルがアクセスする前に、すべての Neptune クラスターに必要な分類タグを強制的に持ち込むことができます。

TBAC とアクションベースのアクセスコントロールの組み合わせ

TBAC を特定のneptune-db:アクションと組み合わせて、きめ細かなタグ対応ポリシーを作成できます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

TBAC を使用したクエリ言語の制限

TBAC を neptune-db:QueryLanguage条件キーと組み合わせて、プリンシパルがアクセスできるクラスターと使用できるクエリ言語の両方を制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

サービスコントロールポリシーでの TBAC の使用

SCPsは、個々の IAM ポリシーを変更することなく、組織単位 (OU) またはアカウント全体のアクセス許可の境界を設定するため、TBAC の適用に最適です。

次の SCP 戦略をお勧めします。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Neptune の TBAC の実装

ステップ 1: タグ分類を定義する

組織の境界を表すタグキーを選択します。一般的なパターン:

ステップ 2: Neptune DB クラスターにタグを付ける

を使用して AWS CLI 、必要な分類タグを Neptune DB クラスターに追加します。

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

ステップ 3: IAM プリンシパルにタグを付ける

を使用して AWS CLI 、Neptune クラスターで使用されているのと同じキーと値で IAM ロールにタグ付けします。IAM ロールの場合:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

フェデレーティッドユーザーの場合は、ID プロバイダーのaws:PrincipalTag属性を使用して SAML/OIDC セッションタグを介してタグを渡します。

ステップ 4: TBAC ポリシーをデプロイする

を組織全体の強制のための SCP として、またはターゲットを絞ったコントロールのための IAM ポリシーとしてアタッチします。

ステップ 5: タグの整合性を保護する

Neptune リソースと IAM プリンシパルのタグを変更できるユーザーを制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

TBAC に関する重要な考慮事項

既存の Neptune セキュリティ機能との関係