Gerenciar o acesso usando políticas do IAM

As políticas do IAM são objetos JSON que definem permissões para usar ações e recursos.

Você controla o acesso AWS criando políticas e anexando-as a AWS identidades ou recursos. Uma política é um objeto AWS que, quando associada a uma identidade ou recurso, define suas permissões. AWS avalia essas políticas quando um principal (usuário, usuário raiz ou sessão de função) faz uma solicitação. As permissões nas políticas determinam se a solicitação será permitida ou negada. A maioria das políticas é armazenada AWS como documentos JSON. Para obter mais informações sobre a estrutura e o conteúdo de documentos de políticas JSON, consulte Visão geral das políticas JSON no Guia do Usuário do IAM.

Os administradores podem usar políticas AWS JSON para especificar quem tem acesso ao quê. Ou seja, qual entidade principal pode executar ações em quais recursos e em que condições.

Por padrão, usuários e funções não têm permissões. Para conceder aos usuários permissões para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM. O administrador pode então adicionar as políticas do IAM aos perfis e os usuários podem presumir os perfis.

As políticas do IAM definem permissões para uma ação independente do método usado para executar a operação. Por exemplo, suponha que você tenha uma política que permite a ação iam:GetRole. Um usuário com essa política pode obter informações de função da AWS Management Console AWS CLI, da ou da AWS API.

Políticas baseadas em identidade

As políticas baseadas em identidade são documentos de políticas de permissões JSON que você pode anexar a uma identidade, como usuário do IAM, grupo de usuários ou perfil. Essas políticas controlam quais ações os usuários e perfis podem realizar, em quais recursos e em que condições. Para saber como criar uma política baseada em identidade, consulte Criando políticas do IAM no Guia do Usuário do IAM.

As políticas baseadas em identidade podem ser categorizadas ainda adicionalmente como políticas em linha ou políticas gerenciadas. As políticas em linha são anexadas diretamente a um único usuário, grupo ou perfil. As políticas gerenciadas são políticas autônomas que você pode associar a vários usuários, grupos e funções em seu Conta da AWS. As políticas AWS gerenciadas incluem políticas gerenciadas e políticas gerenciadas pelo cliente. Para saber como escolher entre uma política gerenciada ou uma política em linha, consulte Escolher entre políticas gerenciadas e políticas em linha no Guia do Usuário do IAM.

Usando políticas de controle de serviços (SCP) com organizações AWS

As políticas de controle de serviço (SCPs) são políticas JSON que especificam as permissões máximas para uma organização ou unidade organizacional (OU) em. AWS Organizations AWS Organizations é um serviço para agrupar e gerenciar centralmente várias AWS contas que sua empresa possui. Se você habilitar todos os atributos em uma organização, poderá aplicar políticas de controle de serviço (SCPs) a qualquer uma ou a todas as contas. O SCP limita as permissões para entidades nas contas dos membros, incluindo cada usuário raiz AWS da conta. Para obter mais informações sobre Organizations e SCPs, consulte Como os SCPs funcionam no Guia do AWS Organizations Usuário.

Clientes que implantam o Amazon Neptune AWS em uma conta AWS dentro de uma organização podem utilizar SCPs para controlar quais contas podem usar o Neptune. Para garantir o acesso ao Neptune em uma conta de membro, viabilize o acesso às ações do IAM do ambiente de gerenciamento e do plano de dados usando neptune:* e neptune-db:*, respectivamente.

Permissões necessárias para usar o console do Amazon Neptune

Para um usuário trabalhar com o console do Amazon Neptune, esse usuário deve ter um conjunto mínimo de permissões. Essas permissões possibilitam que o usuário descreva os recursos do Neptune para a conta da AWS e forneça outras informações relacionadas, inclusive informações de segurança e rede do Amazon EC2.

Se você criar uma política do IAM que seja mais restritiva que as permissões mínimas necessárias, o console do não funcionará como pretendido para os usuários com essa política do IAM. Para garantir que esses usuários ainda consigam usar o console do Neptune, associe também a política gerenciada NeptuneReadOnlyAccess ao usuário, conforme descrito em AWS políticas gerenciadas (predefinidas) para o Amazon Neptune.

Você não precisa permitir permissões mínimas de console para usuários que estão fazendo chamadas somente para a API do Amazon Neptune AWS CLI ou para a Amazon Neptune.

Como associar uma política do IAM a um usuário do IAM

Para aplicar uma política gerenciada ou personalizada, associe-a a um usuário do IAM. Para obter um tutorial sobre esse tópico, consulte Criar e anexar sua primeira política gerenciada pelo cliente no Guia do usuário do IAM.

À medida que avança pelo tutorial, você pode usar um dos exemplos de política mostrados nessa seção como um ponto de partida e adequá-lo às suas necessidades. No fim do tutorial, você terá um usuário do IAM com uma política anexada que pode usar a ação neptune-db:*.

Importante

• As alterações em uma política do IAM demoram até dez minutos para ser aplicadas aos recursos do Neptune especificados.

• As políticas do IAM aplicadas a um cluster de banco de dados do Neptune aplicam-se a todas as instâncias desse cluster.

Usar diferentes tipos de política do IAM para controle de acesso ao Neptune

Para conceder acesso às ações administrativas do Neptune ou aos dados em um cluster de banco de dados do Neptune, associe políticas a um usuário ou um perfil do IAM. Para obter informações sobre como anexar uma política do IAM, consulte Como associar uma política do IAM a um usuário do IAM. Para obter informações sobre como associar uma política a um perfil, consulte Adding and Removing IAM Policies no Guia do usuário do IAM

Para ter acesso geral ao Neptune, é possível usar uma das políticas gerenciadas do Neptune. Para ter um acesso mais restrito, você pode criar a própria política personalizada usando as ações administrativas e os recursos compatíveis com o Neptune.

Em uma política personalizada do IAM, é possível usar dois tipos diferentes de declaração de política que controlam diferentes modos de acesso a um cluster de banco de dados do Neptune:

• Declarações de política administrativa: as declarações de política administrativa concedem acesso às APIs de gerenciamento do Neptune que você usa para criar, configurar e gerenciar um cluster de banco de dados e suas instâncias.

  Como o Neptune compartilha a funcionalidade com o Amazon RDS, as ações administrativas, os recursos e as chaves de condição nas políticas do Neptune usam um prefixo rds: por design.

• Declarações de política de acesso a dados: as declarações de política de acesso a dados usam ações de acesso a dados, recursos e chaves de condição para controlar o acesso aos dados contidos em um cluster de banco de dados.

  As ações de acesso a dados, os recursos e as chaves de condição do Neptune usam um prefixo neptune-db:.

Usar chaves de contexto de condição do IAM no Amazon Neptune

É possível especificar condições em uma declaração de política do IAM que controle o acesso ao Neptune. A declaração de política terá efeito apenas quando as condições forem verdadeiras.

Por exemplo, é recomendável que uma declaração de política só entre em vigor após uma data específica ou viabilize o acesso apenas quando um valor específico estiver presente na solicitação.

Para expressar condições, use chaves de condição predefinidas no elemento Condition de uma declaração de política com operadores de política de condição do IAM, como “igual a” ou “menos do que”.

Se você especificar vários elementos Condition em uma instrução ou várias chaves em um único Condition elemento, a AWS os avaliará usando uma operação lógica AND. Se você especificar vários valores para uma única chave de condição, AWS avalia a condição usando uma OR operação lógica. Todas as condições devem ser atendidas antes que as permissões da instrução sejam concedidas.

Você também pode usar variáveis de espaço reservado ao especificar condições. Por exemplo, é possível conceder a um usuário do IAM permissão para acessar um atributo somente se ele estiver marcado com seu nome de usuário do IAM. Para obter mais informações, consulte Elementos de política do IAM: variáveis e tags no Guia do usuário do IAM.

O tipo de dados de uma chave de condição determina quais operadores de condição você pode usar para comparar valores na solicitação com os valores na declaração de política. Se você usar um operador de condição que não seja compatível com esse tipo de dados, a correspondência sempre falhará, e a declaração da política nunca será aplicada.

O Neptune aceita conjuntos de chaves de condição para declarações de política administrativa diferentes dos aceitos para declarações de política de acesso a dados:

• Chaves de condição para declarações de política administrativa

• Chaves de condição para declarações de política de acesso a dados

Suporte para políticas do IAM e recursos de controle de acesso no Amazon Neptune

A tabela a seguir mostra quais atributos do IAM o Neptune aceita para declarações de política administrativa e declarações de política de acesso a dados:

Atributos do IAM que você pode usar com o Neptune
Atributo do IAM	Administração	Acesso aos dados
Políticas baseadas em identidade	Sim	Sim
Políticas baseadas em recursos	Não	Não
Ações das políticas	Sim	Sim
Atributos de políticas	Sim	Sim
Chaves de condições globais	Sim	(um subconjunto)
Chaves de condição baseadas em tags	Sim	Não
Listas de controle de acesso (ACLs)	Não	Não
Políticas de controle de serviço (SCPs)	Sim	Sim
Funções vinculadas ao serviço	Sim	Não

Limitações da política do IAM

As alterações em uma política do IAM demoram até dez minutos para ser aplicadas aos recursos do Neptune especificados.

As políticas do IAM aplicadas a um cluster de banco de dados do Neptune aplicam-se a todas as instâncias desse cluster.

No momento, o Neptune não é compatível com o controle de acesso entre contas.