Gestione dell'accesso con le policy IAM

Le policy IAM sono oggetti JSON che definiscono le autorizzazioni per utilizzare azioni e risorse.

È possibile controllare l'accesso AWS creando policy e associandole a AWS identità o risorse. Una policy è un oggetto AWS che, se associato a un'identità o a una risorsa, ne definisce le autorizzazioni. AWS valuta queste politiche quando un principale (utente, utente root o sessione di ruolo) effettua una richiesta. Le autorizzazioni nelle policy determinano l'approvazione o il rifiuto della richiesta. La maggior parte delle politiche viene archiviata AWS come documenti JSON. Per ulteriori informazioni sulla struttura e sui contenuti dei documenti delle policy JSON, consulta Panoramica delle policy JSON nella Guida per l'utente IAM.

Gli amministratori possono utilizzare le policy AWS JSON per specificare chi ha accesso a cosa. In altre parole, quale principale può eseguire azioni su quali risorse e in quali condizioni.

Per impostazione predefinita, utenti e ruoli non dispongono di autorizzazioni. Per concedere agli utenti l'autorizzazione a eseguire operazioni sulle risorse di cui hanno bisogno, un amministratore IAM può creare policy IAM. L'amministratore può quindi aggiungere le policy IAM ai ruoli e gli utenti possono assumere i ruoli.

Le policy IAM definiscono le autorizzazioni relative a un'operazione, a prescindere dal metodo utilizzato per eseguirla. Ad esempio, supponiamo di disporre di una policy che consente l'operazione iam:GetRole. Un utente con tale policy può ottenere informazioni sul ruolo dall' AWS Management Console AWS CLI, dall'o dall' AWS API.

Policy basate sulle identità

Le policy basate su identità sono documenti di policy di autorizzazione JSON che è possibile allegare a un'identità (utente, gruppo di utenti o ruolo IAM). Tali policy definiscono le azioni che utenti e ruoli possono eseguire, su quali risorse e in quali condizioni. Per informazioni su come creare una policy basata su identità, consulta Creazione di policy IAM nella Guida per l'utente IAM.

Le policy basate su identità possono essere ulteriormente classificate come policy inline o policy gestite. Le policy inline sono integrate direttamente in un singolo utente, gruppo o ruolo. Le politiche gestite sono politiche autonome che puoi allegare a più utenti, gruppi e ruoli nel tuo Account AWS. Le politiche gestite includono politiche AWS gestite e politiche gestite dai clienti. Per informazioni su come scegliere tra una policy gestita o una policy inline, consulta Scelta fra policy gestite e policy inline nella Guida per l'utente IAM.

Utilizzo delle politiche di controllo dei servizi (SCP) con le organizzazioni AWS

Le policy di controllo dei servizi (SCP) sono politiche JSON che specificano le autorizzazioni massime per un'organizzazione o un'unità organizzativa (OU) in. AWS Organizations AWS Organizations è un servizio per il raggruppamento e la gestione centralizzata di più AWS account di proprietà dell'azienda. Se abiliti tutte le funzionalità in un'organizzazione, puoi applicare le policy di controllo dei servizi (SCP) a uno o tutti i tuoi account. L'SCP limita le autorizzazioni per le entità negli account dei membri, incluso ogni AWS utente root dell'account. Per ulteriori informazioni su Organizations and SCP, consulta How SCP work in the AWS Organizations User Guide.

I clienti che implementano Amazon Neptune AWS in un account AWS all'interno di un'organizzazione possono sfruttare gli SCP per controllare quali account possono utilizzare Neptune. Per garantire l'accesso a Neptune all'interno di un account membro, assicurarsi di consentire l'accesso alle azioni IAM del piano di controllo (control-plane) e del piano dati utilizzando rispettivamente neptune:* e neptune-db:*.

Autorizzazioni necessarie per utilizzare la console Amazon Neptune

Affinché un utente possa utilizzare la console Amazon Neptune, è necessario che disponga di un set minimo di autorizzazioni. Queste autorizzazioni permettono all'utente di descrivere le risorse Neptune per il proprio account AWS e di fornire altre informazioni correlate, tra cui informazioni sulla sicurezza e sulla rete di Amazon EC2.

Se decidi di creare una policy IAM più restrittiva delle autorizzazioni minime richieste, la console non funzionerà come previsto per gli utenti con tale policy IAM. Per garantire che gli utenti possano continuare a utilizzare la console Neptune, collega anche la policy gestita NeptuneReadOnlyAccess all'utente, come descritto in AWS politiche gestite (predefinite) per Amazon Neptune.

Non è necessario consentire autorizzazioni minime per la console per gli utenti che effettuano chiamate solo verso l' AWS CLI API Amazon Neptune.

Collegamento di una policy IAM a un utente IAM

Per applicare una policy gestita o personalizzata, collegarla a un utente IAM. Per un tutorial su questo argomento, consulta Creare e collegare la tua prima policy gestita dal cliente nella Guida per l'utente IAM.

Durante il tutorial, puoi utilizzare uno degli esempi di policy indicati in questa sezione come punto di partenza e personalizzarli in base alle tue esigenze. Al termine del tutorial, avrai un utente IAM con una policy collegata che potrà utilizzare l'operazione neptune-db:*.

Importante

• Le modifiche apportate a una policy IAM richiedono fino a 10 minuti per essere applicate alle risorse Neptune specificate.

• Le policy IAM applicate a un cluster database Neptune si applicano a tutte le istanze del cluster.

Utilizzo di diversi tipi di policy IAM per controllare l'accesso a Neptune

Per fornire l'accesso alle azioni amministrative di Neptune o ai dati in un cluster database Neptune, collegare le policy a un utente o un ruolo IAM. Per informazioni sul collegamento di una policy IAM a un utente, consulta Collegamento di una policy IAM a un utente IAM. Per informazioni su come collegare una policy a un ruolo, consulta Aggiunta e rimozione delle policy IAM nella Guida per l'utente di IAM.

Per l'accesso generale a Neptune, puoi utilizzare una delle policy gestite di Neptune. Per un accesso più limitato, puoi creare la tua policy personalizzata utilizzando le azioni e le risorse amministrative supportate da Neptune.

In una policy IAM personalizzata, puoi utilizzare due diversi tipi di dichiarazioni di policy che controllano diverse modalità di accesso a un cluster database Neptune:

• Dichiarazioni di policy amministrative: le dichiarazioni di policy amministrative forniscono l'accesso alle API di gestione Neptune utilizzate per creare, configurare e gestire un cluster database e le relative istanze.

  Poiché Neptune condivide funzionalità con Amazon RDS, le azioni amministrative, le risorse e le chiavi di condizione nelle policy Neptune utilizzano un prefisso rds: per impostazione predefinita.

• Dichiarazioni di policy di accesso ai dati: le dichiarazioni di policy di accesso ai dati utilizzano azioni di accesso ai dati, risorse e chiavi di condizione per controllare l'accesso ai dati contenuti in un cluster database.

  Le azioni di accesso ai dati, le risorse e le chiavi di condizione di Neptune utilizzano un prefisso neptune-db:.

Utilizzo delle chiavi di contesto delle condizioni IAM in Amazon Neptune

È possibile specificare le condizioni in una dichiarazione di policy IAM che controlla l'accesso a Neptune. La dichiarazione di policy diventa effettiva solo quando le condizioni sono true.

Ad esempio, potresti volere che una dichiarazione di policy diventi effettiva solo dopo una data specifica o che consenta l'accesso solo quando nella richiesta è presente un valore specifico.

Per specificare le condizioni, è possibile utilizzare le chiavi di condizione predefinite nell'elemento Condition di una dichiarazione di policy insieme agli operatori della policy della condizione IAM come uguale a o minore di.

Se specifichi più elementi Conditionin un'istruzione o più chiavi in un singolo elemento Condition, questi vengono valutati da AWS utilizzando un'operazione ANDlogica. Se specifichi più valori per una singola chiave di condizione, AWS valuta la condizione utilizzando un'operazione logica. OR Tutte le condizioni devono essere soddisfatte prima che le autorizzazioni dell'istruzione vengano concesse.

Puoi anche utilizzare variabili segnaposto quando specifichi le condizioni. Ad esempio, puoi autorizzare un utente IAM ad accedere a una risorsa solo se è stata taggata con il relativo nome utente IAM. Per ulteriori informazioni, consulta Elementi delle policy IAM: variabili e tag nella Guida per l'utente di IAM.

Il tipo di dati di una chiave di condizione determina quali operatori di condizione è possibile utilizzare per confrontare i valori nella richiesta con i valori della dichiarazione di policy. Se si utilizza un operatore di condizione che non è compatibile con tale tipo di dati, la corrispondenza ha sempre esito negativo e la dichiarazione di policy non viene mai applicata.

Neptune supporta diversi set di chiavi di condizione per le dichiarazioni di policy amministrative rispetto alle dichiarazioni di policy di accesso ai dati:

• Chiavi di condizione per le dichiarazioni di policy amministrative

• Chiavi di condizione per le dichiarazioni di policy di accesso ai dati

Supporto delle funzionalità delle policy IAM e di controllo degli accessi in Amazon Neptune

La tabella seguente mostra le funzionalità IAM supportate da Neptune per le dichiarazioni di policy amministrative e le dichiarazioni di policy di accesso ai dati:

Funzionalità IAM che è possibile utilizzare con Neptune
Funzionalità IAM	Amministrativa	Accesso ai dati
Policy basate su identità	Sì	Sì
Policy basate su risorse	No	No
Azioni di policy	Sì	Sì
Risorse relative alle policy	Sì	Sì
Chiavi della condizione globale	Sì	(un sottoinsieme)
Chiavi di condizione basate su tag	Sì	No
Liste di controllo degli accessi (ACL)	No	No
Policy di controllo dei servizi (Service Control Policies, SCP)	Sì	Sì
Ruoli collegati ai servizi	Sì	No

Limitazioni della policy IAM

Le modifiche apportate a una policy IAM richiedono fino a 10 minuti per essere applicate alle risorse Neptune specificate.

Le policy IAM applicate a un cluster database Neptune si applicano a tutte le istanze del cluster.

Neptune attualmente non supporta il controllo dell'accesso multi-account.