Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Tag-based 亚马逊海王星数据平面操作的访问控制

Tag-based 访问控制 (TBAC) 允许您在 IAM 策略和服务控制策略 (SCP) 中使用 Amazon 资源标签和 IAM 委托人标签作为条件来控制对 Amazon Neptune 数据平面操作的访问权限。使用 TBAC，您可以强制只有标签与 Neptune 数据库集群上的标签匹配的委托人才能对该集群执行neptune-db:*操作，而无需在每个策略中列举特定的集群 Amazon 资源名称 (ARN)。

TBAC 建立在 Neptune 现有的安全模型基础上，对基于操作的访问控制数据平面操作进行了补充。

TBAC 如何融入海王星的安全层

Neptune 通过多种重叠的安全机制保护您的数据。TBAC 添加了一个基于属性的授权层，可与所有这些层一起使用：

关键的 TBAC 概念

使用 TBAC 的先决条件

在使用 TBAC 进行 Neptune 数据平面操作之前，必须具备以下条件：

TBAC 政策模式

以下模式显示了在海王星数据平面操作的 IAM 策略中使用 TBAC 的常用方法。

当主体和资源标签不匹配时拒绝访问

这是最常见的 TBAC 模式。除非主体的标签与资源的标签相匹配，否则它拒绝所有海王星数据平面操作。您可以将其用作 SCP 进行组织范围的强制执行，也可以将其用作 IAM 策略进行定向控制。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    }
  ]
}

工作原理：每条语句对单个标签密钥使用单独的StringNotEquals条件。每个标签都会单独触发 “拒绝” ——如果资源的Project标签与主体的标签不匹配，则无论Project标签如何，访问都将被拒绝。Department这样可以确保标有的主体Project=FraudDetection只能访问也带有标签的海王星集群Project=FraudDetection，同样。Department

缺少所需资源标签时拒绝访问

此模式可防止访问未正确标记的 Neptune 集群，从而确保所有集群都注册到 TBAC 方案中：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

工作原理：当资源上不存在指定的标签密钥时，Null条件的计算结果为真。这迫使所有海王星星团在任何主体都可以访问它们之前携带所需的分类标签。

将 TBAC 与基于操作的访问控制相结合

TBAC 可以与特定neptune-db:操作相结合，以创建精细的标签感知策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowReadOnlyForMatchingTags",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:GetQueryStatus",
        "neptune-db:GetEngineStatus"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    }
  ]
}

使用 TBAC 进行查询语言限制

将 TBAC 与neptune-db:QueryLanguage条件键结合使用，以限制主体可以访问的集群以及他们可以使用哪些查询语言：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOpenCypherOnlyForMatchingProject",
      "Effect": "Allow",
      "Action": [
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:*:*:*/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}",
          "neptune-db:QueryLanguage": "OpenCypher"
        }
      }
    }
  ]
}

将 TBAC 与服务控制策略一起使用

SCP 是执行 TBAC 的理想之选，因为它们无需更改个人 IAM 策略即可跨整个组织单位 (OU) 或账户设置权限边界。

我们建议采用以下 SCP 策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyNeptuneProjectMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Project": "${aws:PrincipalTag/Project}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneDepartmentMismatch",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceTag/Department": "${aws:PrincipalTag/Department}"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingProjectTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Project": "true"
        }
      }
    },
    {
      "Sid": "DenyNeptuneMissingDepartmentTag",
      "Effect": "Deny",
      "Action": "neptune-db:*",
      "Resource": "*",
      "Condition": {
        "Null": {
          "aws:ResourceTag/Department": "true"
        }
      }
    }
  ]
}

为海王星实现 TBAC

第 1 步：定义您的标签分类

选择代表组织边界的标签密钥。常见模式：

第 2 步：标记您的 Neptune 数据库集群

使用 Amazon CLI 向您的 Neptune 数据库集群添加所需的分类标签：

aws neptune add-tags-to-resource \
  --resource-name arn:aws:rds:us-east-1:123456789012:cluster:my-neptune-cluster \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

第 3 步：标记您的 IAM 委托人

使用标记 IAM 角色 Amazon CLI ，其密钥和值与 Neptune 集群上使用的密钥和值相同。对于 IAM 角色：

aws iam tag-role \
  --role-name NeptuneAppRole \
  --tags Key=Project,Value=FraudDetection Key=Department,Value=Engineering

对于联合用户，使用身份提供商的aws:PrincipalTag属性通过 SAML/OIDC 会话标签传递标签。

第 4 步：部署 TBAC 策略

作为 SCP 附加，用于组织范围内的执法，或作为 IAM 策略进行定向控制。

第 5 步：保护标签完整性

限制谁可以修改 Neptune 资源和 IAM 委托人的标签：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyTagModification",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource": "*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": ["Project", "Department"]
        }
      }
    }
  ]
}

TBAC 的重要注意事项

与现有海王星安全功能的关系