As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Tag-based controle de acesso para operações de plano de dados do Amazon Neptune

Tag-based o controle de acesso (TBAC) permite que você use tags de AWS recursos e tags principais do IAM como condições nas políticas do IAM e nas políticas de controle de serviços (SCPs) para controlar o acesso às operações do plano de dados do Amazon Neptune. Com o TBAC, você pode garantir que somente os principais cujas tags correspondam às tags em um cluster de banco de dados Neptune possam realizar neptune-db:* ações nesse cluster, sem enumerar nomes de recursos da Amazon (ARNs) específicos do cluster em cada política.

O TBAC se baseia no modelo de segurança existente da Neptune e complementa as ações do plano de dados de controle de acesso baseadas em ações. Ações do IAM para acesso a dados no Amazon Neptune

Como o TBAC se encaixa nas camadas de segurança do Neptune

O Neptune protege seus dados por meio de vários mecanismos de segurança sobrepostos. O TBAC adiciona uma camada de autorização baseada em atributos que funciona junto com todas elas:

Principais conceitos do TBAC

Pré-requisitos para usar o TBAC

Antes de usar o TBAC com as operações de plano de dados do Neptune, você deve ter o seguinte em vigor:

Padrões de política do TBAC

Os padrões a seguir mostram maneiras comuns de usar o TBAC nas políticas do IAM para operações de plano de dados do Neptune.

Negar acesso quando as tags principal e de recurso não coincidirem

Esse é o padrão TBAC mais comum. Ele nega todas as ações do plano de dados do Neptune, a menos que as tags do principal correspondam às tags do recurso. Você pode aplicar isso como um SCP para fiscalização em toda a organização ou como uma política de IAM para controle direcionado.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

Como funciona: cada instrução usa uma StringNotEquals condição separada para uma única chave de tag. O Deny é acionado de forma independente para cada tag — se a Project tag do recurso não corresponder à tag do principal, o acesso será negado independentemente da Project tag. Department Isso garante que um principal marcado com só Project=FraudDetection possa acessar clusters de Netuno também marcados eProject=FraudDetection, da mesma forma, para. Department

Negar acesso quando as tags de recursos necessárias estiverem ausentes

Esse padrão impede o acesso aos clusters do Neptune que não foram marcados corretamente, garantindo que todos os clusters estejam inscritos no esquema TBAC:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Como funciona: a Null condição é avaliada como verdadeira quando a chave de tag especificada não existe no recurso. Isso força todos os aglomerados de Netuno a carregarem as etiquetas de classificação necessárias antes que qualquer diretor possa acessá-las.

Combinando o TBAC com o controle de acesso baseado em ações

O TBAC pode ser combinado com neptune-db: ações específicas para criar políticas refinadas e com reconhecimento de tags:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

Restrição de idioma de consulta com TBAC

Combine o TBAC com a chave de neptune-db:QueryLanguage condição para restringir quais clusters um principal pode acessar e quais linguagens de consulta eles podem usar:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

Usando o TBAC com políticas de controle de serviços

Os SCPs são ideais para aplicar o TBAC porque definem limites de permissão em toda uma unidade organizacional (OU) ou conta sem exigir alterações nas políticas individuais do IAM.

Recomendamos a seguinte estratégia de SCP:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

Implementando o TBAC para Neptune

Etapa 1: defina sua taxonomia de tags

Escolha chaves de tag que representem seus limites organizacionais. Padrões comuns:

Etapa 2: marque seus clusters de banco de dados Neptune

Use o AWS CLI para adicionar as tags de classificação necessárias aos seus clusters de banco de dados Neptune:

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Etapa 3: marque seus diretores do IAM

Use o AWS CLI para marcar as funções do IAM com as mesmas chaves e valores usados em seus clusters do Neptune. Para funções do IAM:

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

Para usuários federados, passe tags por meio de tags de SAML/OIDC sessão usando aws:PrincipalTag atributos do seu provedor de identidade.

Etapa 4: implantar a política TBAC

Anexe como um SCP para aplicação em toda a organização ou como uma política de IAM para controle direcionado.

Etapa 5: Proteger a integridade da tag

Restrinja quem pode modificar tags nos recursos do Neptune e nos principais do IAM:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

Considerações importantes para o TBAC

Relação com os recursos de segurança existentes do Neptune