本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon Neptune 資料平面操作的標籤型存取控制

標籤型存取控制 (TBAC) 可讓您使用 AWS 資源標籤和 IAM 主體標籤作為 IAM 政策和服務控制政策 (SCPs) 中的條件，以控制對 Amazon Neptune 資料平面操作的存取。使用 TBAC，您可以強制執行只有標籤符合 Neptune 資料庫叢集上標籤的主體才能對該叢集執行neptune-db:*動作，而無需在每個政策中列舉特定叢集的 Amazon Resource Name ARNs)。

TBAC 以 Neptune 現有的安全模型為基礎，並補充以動作為基礎的存取控制資料平面動作。

TBAC 如何符合 Neptune 的安全層

Neptune 透過多個重疊的安全機制來保護您的資料。TBAC 新增屬性型授權層，可與所有授權層搭配使用：

關鍵 TBAC 概念

使用 TBAC 的先決條件

您必須先備妥下列項目，才能搭配 Neptune 資料平面操作使用 TBAC：

TBAC 政策模式

下列模式顯示在 Neptune 資料平面操作的 IAM 政策中使用 TBAC 的常見方法。

當主體和資源標籤不相符時拒絕存取

這是最常見的 TBAC 模式。除非委託人的標籤符合資源的標籤，否則它會拒絕所有 Neptune 資料平面動作。您可以將此套用為全組織強制執行的 SCP，或將其套用為目標控制的 IAM 政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

運作方式：每個陳述式對單一標籤金鑰使用單獨的StringNotEquals條件。拒絕會為每個標籤獨立觸發 - 如果資源的Project標籤與委託人的Project標籤不相符，無論Department標籤為何，存取都會被拒絕。這可確保使用 標記的委託人Project=FraudDetection只能存取也標記 的 Neptune 叢集Project=FraudDetection，並且同樣適用於 Department。

缺少必要的資源標籤時拒絕存取

此模式可防止存取未正確標記的 Neptune 叢集，確保所有叢集都已註冊 TBAC 方案：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

運作方式：當指定的標籤索引鍵不存在於資源上時， Null條件會評估為 true。這會強制所有 Neptune 叢集攜帶所需的分類標籤，然後任何主體才能存取它們。

結合 TBAC 與動作型存取控制

TBAC 可以與特定neptune-db:動作結合，以建立精細的標籤感知政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

使用 TBAC 查詢語言限制

結合 TBAC 與 neptune-db:QueryLanguage條件金鑰，以限制委託人可存取的叢集，以及他們可以使用的查詢語言：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

搭配服務控制政策使用 TBAC

SCPs 非常適合強制執行 TBAC，因為它們會設定整個組織單位 (OU) 或帳戶的許可界限，而不需要變更個別 IAM 政策。

我們建議採用下列 SCP 策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

實作 Neptune 的 TBAC

步驟 1：定義標籤分類

選擇代表組織界限的標籤索引鍵。常見模式：

步驟 2：標記 Neptune 資料庫叢集

使用 AWS CLI 將必要的分類標籤新增至 Neptune 資料庫叢集：

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

步驟 3：標記您的 IAM 主體

使用 AWS CLI 使用與 Neptune 叢集相同的金鑰和值來標記 IAM 角色。對於 IAM 角色：

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

對於聯合身分使用者，使用身分提供者的aws:PrincipalTag屬性透過 SAML/OIDC 工作階段標籤傳遞標籤。

步驟 4：部署 TBAC 政策

做為整個組織的強制執行的 SCP 連接，或做為目標控制的 IAM 政策連接。

步驟 5：保護標籤完整性

限制誰可以修改 Neptune 資源和 IAM 主體上的標籤：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

TBAC 的重要考量事項

與現有 Neptune 安全功能的關係