기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon Neptune 데이터 영역 작업에 대한 태그 기반 액세스 제어

태그 기반 액세스 제어(TBAC)를 사용하면 AWS 리소스 태그와 IAM 보안 주체 태그를 IAM 정책 및 서비스 제어 정책(SCPs)의 조건으로 사용하여 Amazon Neptune 데이터 영역 작업에 대한 액세스를 제어할 수 있습니다. TBAC를 사용하면 태그가 Neptune DB 클러스터의 태그와 일치하는 보안 주체만 모든 정책에서 특정 클러스터 Amazon 리소스 이름(ARNs)을 열거하지 않고도 해당 클러스터에 대한 neptune-db:* 작업을 수행할 수 있도록 할 수 있습니다.

TBAC는 Neptune의 기존 보안 모델을 기반으로 하며 작업 기반 액세스 제어 데이터 영역 작업을 보완합니다.

TBAC가 Neptune의 보안 계층에 적용되는 방식

Neptune은 중복되는 여러 보안 메커니즘을 통해 데이터를 보호합니다. TBAC는 모든 권한 부여 계층과 함께 작동하는 속성 기반 권한 부여 계층을 추가합니다.

주요 TBAC 개념

TBAC를 사용하기 위한 사전 조건

Neptune 데이터 영역 작업에서 TBAC를 사용하려면 먼저 다음 사항이 있어야 합니다.

TBAC 정책 패턴

다음 패턴은 Neptune 데이터 영역 작업에 대한 IAM 정책에서 TBAC를 사용하는 일반적인 방법을 보여줍니다.

보안 주체 태그와 리소스 태그가 일치하지 않는 경우 액세스 거부

이는 가장 일반적인 TBAC 패턴입니다. 보안 주체의 태그가 리소스의 태그와 일치하지 않는 한 모든 Neptune 데이터 영역 작업을 거부합니다. 이를 조직 전체의 적용을 위한 SCP 또는 대상 제어에 대한 IAM 정책으로 적용할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

작동 방식: 각 문은 단일 태그 키에 대해 별도의 StringNotEquals 조건을 사용합니다. 거부는 각 태그에 대해 독립적으로 트리거됩니다. 리소스의 Project 태그가 보안 주체의 Project 태그와 일치하지 않으면 Department 태그에 관계없이 액세스가 거부됩니다. 이렇게 하면 로 태그가 지정된 보안 주체가 태그가 지정된 Neptune 클러스터에만 액세스할 Project=FraudDetection 수 있으며 Project=FraudDetection에 대해서도 마찬가지로 액세스할 수 있습니다Department.

필수 리소스 태그가 누락된 경우 액세스 거부

이 패턴은 적절하게 태그가 지정되지 않은 Neptune 클러스터에 대한 액세스를 방지하여 모든 클러스터가 TBAC 체계에 등록되도록 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

작동 방식: 지정된 태그 키가 리소스에 없는 경우 Null 조건이 true로 평가됩니다. 이렇게 하면 모든 Neptune 클러스터가 필요한 분류 태그를 전달해야 보안 주체가 액세스할 수 있습니다.

TBAC와 작업 기반 액세스 제어 결합

TBAC를 특정 neptune-db: 작업과 결합하여 세분화된 태그 인식 정책을 생성할 수 있습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

TBAC를 사용한 쿼리 언어 제한

TBAC를 neptune-db:QueryLanguage 조건 키와 결합하여 보안 주체가 액세스할 수 있는 클러스터와 사용할 수 있는 쿼리 언어를 모두 제한합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

서비스 제어 정책과 함께 TBAC 사용

SCPs는 개별 IAM 정책을 변경할 필요 없이 전체 조직 단위(OU) 또는 계정에 걸쳐 권한 경계를 설정하므로 TBAC를 적용하는 데 적합합니다.

다음과 같은 SCP 전략을 권장합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Neptune용 TBAC 구현

1단계: 태그 분류 정의

조직 경계를 나타내는 태그 키를 선택합니다. 일반적인 패턴:

2단계: Neptune DB 클러스터에 태그 지정

AWS CLI 를 사용하여 Neptune DB 클러스터에 필요한 분류 태그를 추가합니다.

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

3단계: IAM 보안 주체에 태그 지정

AWS CLI 를 사용하여 Neptune 클러스터에 사용된 것과 동일한 키와 값으로 IAM 역할에 태그를 지정합니다. IAM 역할의 경우:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

페더레이션 사용자의 경우 자격 증명 공급자의 aws:PrincipalTag 속성을 사용하여 SAML/OIDC 세션 태그를 통해 태그를 전달합니다.

4단계: TBAC 정책 배포

조직 전체의 적용을 위한 SCP 또는 대상 제어에 대한 IAM 정책으로를 연결합니다.

5단계: 태그 무결성 보호

Neptune 리소스 및 IAM 보안 주체에서 태그를 수정할 수 있는 사용자를 제한합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

TBAC에 대한 중요 고려 사항

기존 Neptune 보안 기능과의 관계