Chiavi di condizione disponibili nelle dichiarazioni sulla politica amministrativa di IAM Neptune

Utilizzando le chiavi condizionali, è possibile specificare le condizioni in una dichiarazione IAM politica in modo che l'istruzione abbia effetto solo quando le condizioni sono vere. Le chiavi di condizione che è possibile utilizzare nelle dichiarazioni di policy amministrative di Neptune rientrano nelle seguenti categorie:

• Chiavi di condizione globali: sono definite da AWS per l'uso generale con AWS i servizi. La maggior parte può essere utilizzata nelle dichiarazioni di policy amministrative di Neptune.

• Chiavi di condizione delle proprietà delle risorse amministrative: queste chiavi, elencate di seguito, si basano sulle proprietà delle risorse amministrative.

• Chiavi di condizione di accesso basate su tag: queste chiavi, elencate di seguito, si basano sui tagAWS collegati alle risorse amministrative.

Chiavi di condizione delle proprietà delle risorse amministrative di Neptune

Chiavi di condizione	Descrizione	Type
rds:DatabaseClass	Filtra l'accesso in base al tipo di classe di istanza database.	Stringa
rds:DatabaseEngine	Filtra l'accesso in base al motore di database. Per i valori possibili, fare riferimento al parametro del motore in C reateDBInstance API	Stringa
rds:DatabaseName	Filtra l'accesso in base al nome definito dall'utente del database nell'istanza database	Stringa
rds:EndpointType	Filtra l'accesso in base al tipo di endpoint. Uno dei seguenti: READERWRITER, CUSTOM	Stringa
rds:Vpc	Filtra l'accesso in base al valore che specifica se l'istanza DB viene eseguita in un Amazon Virtual Private Cloud (AmazonVPC). Per indicare che l'istanza DB viene eseguita in un AmazonVPC, specificatrue.	Booleano

Chiavi di condizione amministrative basate su tag

Amazon Neptune supporta la specificazione di condizioni in IAM una policy utilizzando tag personalizzati, per controllare l'accesso a Neptune tramite. Documentazione di riferimento delle API di gestione

Ad esempio, se aggiungi un tag denominato environment alle tue istanze database, con valori come beta, staging e production, puoi quindi creare una policy che limiti l'accesso alle istanze in base al valore di quel tag.

Importante

Se gestisci l'accesso alle risorse Neptune utilizzando i tag, assicurati di proteggere l'accesso ai tag. Puoi limitare l'accesso ai tag creando policy per le azioni AddTagsToResource e RemoveTagsFromResource.

Ad esempio, potresti usare la policy seguente per negare agli utenti la possibilità di aggiungere o rimuovere tag per tutte le risorse. Potresti quindi creare policy per permettere a utenti specifici di aggiungere o rimuovere tag.

{ "Version": "2012-10-17",
  "Statement":[
    { "Sid": "DenyTagUpdates",
      "Effect": "Deny",
      "Action": [
        "rds:AddTagsToResource",
        "rds:RemoveTagsFromResource"
      ],
      "Resource":"*"
    }
  ]
}

Le seguenti chiavi di condizione basate su tag funzionano solo con le risorse amministrative contenute nelle dichiarazioni di policy amministrative.

Chiavi di condizione amministrative basate su tag
Chiavi di condizione	Descrizione	Type
aws:RequestTag/${TagKey}	Filtra l'accesso in base alla presenza di coppie chiave-valore di tag nella richiesta.	Stringa
aws:ResourceTag/${TagKey}	Filtra l'accesso in base a coppie chiave/valore di tag collegate alla risorsa.	Stringa
aws:TagKeys	Filtra l'accesso in base alla presenza di chiavi di tag nella richiesta.	Stringa
rds:cluster-pg-tag/${TagKey}	Filtra l'accesso in base al tag collegato a un gruppo di parametri del cluster database.	Stringa
rds:cluster-snapshot-tag/${TagKey}	Filtra l'accesso in base al tag collegato a uno snapshot del cluster database.	Stringa
rds:cluster-tag/${TagKey}	Filtra l'accesso in base al tag collegato a un cluster database.	Stringa
rds:db-tag/${TagKey}	Filtra l'accesso in base al tag collegato a un'istanza database.	Stringa
rds:es-tag/${TagKey}	Filtra l'accesso in base al tag collegato a una sottoscrizione di eventi.	Stringa
rds:pg-tag/${TagKey}	Filtra l'accesso in base al tag collegato a un gruppo di parametri database.	Stringa
rds:req-tag/${TagKey}	Filtra l'accesso in base al set di chiavi e valori di tag che possono essere utilizzati per aggiungere tag a una risorsa.	Stringa
rds:secgrp-tag/${TagKey}	Filtra l'accesso in base al tag collegato a un gruppo di sicurezza database.	Stringa
rds:snapshot-tag/${TagKey}	Filtra l'accesso in base al tag collegato a uno snapshot del database.	Stringa
rds:subgrp-tag/${TagKey}	Filtra l'accesso in base al tag collegato a un gruppo di sottoreti DB	Stringa