Amazon Neptune unterstützt jetzt tagbasierte Zugriffskontrolle für IAM
Amazon Neptune Database unterstützt jetzt Tag-Based Access Control (TBAC) für IAM, sodass Kunden AWS-Ressourcen-Tags und IAM-Principal-Tags als Bedingungen in IAM-Richtlinien und Service Control Policies (SCPs) verwenden können, um den Zugriff auf Neptune-Datenebenenoperationen zu kontrollieren. Neptune bietet bereits robuste Sicherheit durch VPC-Isolierung, TLS-Verschlüsselung und IAM-Authentifizierung, aber Kunden, die mehrere Cluster in großem Umfang verwalten, benötigten einen dynamischen, attributbasierten Mechanismus, um organisatorische Zugriffsgrenzen durchzusetzen. TBAC behebt dieses Problem, indem es Administratoren ermöglicht, den Clusterzugriff zu steuern, ohne in jeder Richtlinie bestimmte Cluster-ARNs aufzulisten.
Mit TBAC können IAM-Prinzipale nur neptune-db:*-Aktionen gegen Neptune-Cluster ausführen, deren Tags mit ihren eigenen übereinstimmen – zum Beispiel ist ein Principal mit dem Tag project=frauddetection automatisch auf Cluster beschränkt, die dasselbe Tag verwenden. Dadurch werden laterale Zugriffsrisiken in gemeinsam genutzten VPC-Umgebungen vermieden, die projektübergreifende Isolierung auf Team- und Umgebungsebene erzwungen und föderierte Identitätsworkflows mithilfe von SAML- oder OIDC-Sitzungs-Tags von externen Identitätsanbietern unterstützt. Granulare Berechtigungen wie neptune-db:QueryLanguage können zusammen mit TBAC für eine detailliertere Zugriffskontrolle verwendet werden.
Diese Funktion ist in allen AWS-Regionen verfügbar, in denen Amazon Neptune verfügbar ist, und erfordert die Neptune-Engine-Version 1.2.0.0 oder höher mit aktivierter IAM-Authentifizierung.
Weitere Informationen zur Konfiguration der tagbasierten Zugriffskontrolle für Amazon Neptune, einschließlich der Kennzeichnung Ihrer DB-Cluster und IAM-Principals und der Bereitstellung von organisationsweitem Integritätsschutz mithilfe von SCPs, finden Sie in der Amazon Neptune-Dokumentation.