Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Tag-based 亚马逊 Neptune 数据平面操作的访问控制

Tag-based 访问控制 (TBAC) 允许您使用 Amazon 资源标签和 IAM 委托人标签作为 IAM 策略和服务控制策略 (SCP) 中的条件来控制对 Amazon Neptune 数据平面操作的访问权限。使用 TBAC，您可以强制只有标签与 Neptune 数据库集群上的标签匹配的委托人才能对该集群执行neptune-db:*操作，而无需在每个策略中枚举特定的集群 Amazon 资源名称 (ARN)。

TBAC 建立在 Neptune 现有的安全模型之上，补充了基于操作的访问控制数据平面操作。

TBAC 如何融入海王星的安全层

Neptune 通过多种重叠的安全机制保护您的数据。TBAC 添加了一个基于属性的授权层，该层与所有授权层并驾齐驱：

TBAC 的关键概念

使用 TBAC 的先决条件

在将 TBAC 与 Neptune 数据平面操作配合使用之前，必须具备以下条件：

TBAC 政策模式

以下模式显示了在 Neptune 数据平面操作的 IAM 策略中使用 TBAC 的常用方法。

当委托人和资源标签不匹配时拒绝访问

这是最常见的 TBAC 模式。除非主体的标签与资源的标签匹配，否则它会拒绝所有 Neptune 数据平面操作。您可以将其作为 SCP 应用于组织范围的强制执行，也可以将其作为 IAM 策略应用于定向控制。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

工作原理：每条语句对单个标签密钥使用单独的StringNotEquals条件。拒绝会针对每个标签单独触发，如果资源的标签与委托人的Project标签不匹配，则无论使用何种Project标签，都将Department拒绝访问。这样可以确保标记为的主体Project=FraudDetection只能访问也被标记的 Neptune 集群Project=FraudDetection，同样。Department

缺少所需资源标签时拒绝访问

此模式可防止访问未正确标记的 Neptune 集群，从而确保所有集群都已注册 TBAC 方案：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

工作原理：当资源上不存在指定的标签键时，Null条件的计算结果为 true。这会迫使所有 Neptune 集群携带所需的分类标签，然后任何主体才能访问它们。

将 TBAC 与基于操作的访问控制相结合

TBAC 可以与特定neptune-db:操作相结合，以创建细粒度的标签感知策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

使用 TBAC 查询语言限制

将 TBAC 与neptune-db:QueryLanguage条件键结合使用，以限制委托人可以访问哪些集群以及他们可以使用的查询语言：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

将 TBAC 与服务控制策略配合使用

SCP 非常适合实施 TBAC，因为它们无需更改单个 IAM 策略即可跨整个组织单位 (OU) 或账户设置权限边界。

我们建议采用以下 SCP 策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

为 Neptune 实现 TBAC

第 1 步：定义标签分类法

选择代表您的组织界限的标签密钥。常见模式：

第 2 步：标记您的 Neptune 数据库集群

使用 Amazon CLI 向您的 Neptune 数据库集群添加所需的分类标签：

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

第 3 步：标记您的 IAM 委托人

使用使用与您的 Neptune 集群相同的密钥和值来标记 IAM 角色。 Amazon CLI 对于 IAM 角色：

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

对于联合用户，请使用身份提供商提供的aws:PrincipalTag属性通过 SAML/OIDC 会话标签传递标签。

步骤 4：部署 TBAC 策略

作为 SCP 附加以在组织范围内强制执行，或作为 IAM 策略进行定向控制。

第 5 步：保护标签完整性

限制谁可以修改 Neptune 资源和 IAM 委托人的标签：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

待定 TBAC 的重要注意事项

与现有 Neptune 安全功能的关系