Amazon Neptune が IAM 向けのタグベースのアクセスコントロールをサポート
Amazon Neptune Database では、IAM 向けのタグベースのアクセスコントロール (TBAC) をサポートするようになりました。これにより、IAM ポリシーおよびサービスコントロールポリシー (SCP) の条件として AWS リソースタグと IAM プリンシパルタグを使用し、Neptune のデータプレーン操作へのアクセスを制御できるようになりました。Neptune はこれまでも、VPC による分離、TLS 暗号化、IAM 認証を使用して堅牢なセキュリティを提供してきましたが、大規模に複数のクラスターを管理する場合には、組織のアクセス境界を適用するために、属性ベースの動的なメカニズムが必要でした。TBAC はこの課題に対応するもので、管理者はポリシーごとに特定のクラスターの ARN を列挙することなく、クラスターへのアクセスを管理できるようになります。
TBAC を使用すると、IAM プリンシパルは、自身と一致するタグを持つ Neptune クラスターに対してのみ neptune-db:* アクションを実行できます。例えば、Project=FraudDetection というタグが付いたプリンシパルは、同じタグを共有しているクラスターのみに自動的にアクセスが制限されます。これにより、共有された VPC 環境内での横方向のアクセスリスクを排除し、プロジェクト間でチームおよび環境レベルの分離を徹底できるほか、外部 ID プロバイダーからの SAML または OIDC セッションタグを使用したフェデレーション ID ワークフローにも対応できます。neptune-db:QueryLanguage のような詳細なアクセス許可を TBAC と組み合わせて使用することで、よりきめ細かなアクセスコントロールを実現できます。
この機能は Amazon Neptune が利用可能なすべての AWS リージョンでご利用いただけます。IAM 認証が有効な Neptune エンジンバージョン 1.2.0.0 以降が必要です。
DB クラスターと IAM プリンシパルにタグを付ける方法や、SCP を使用して組織全体のガードレールをデプロイする方法など、Amazon Neptune のタグベースのアクセスコントロールの設定の詳細については、Amazon Neptune のドキュメントをご覧ください。