Amazon Neptune が IAM タグベースのアクセス制御 (TBAC) をサポート

Amazon Neptune のデータプレーン操作（neptune-db:*）において、IAM タグベースのアクセス制御 (TBAC) が利用可能になりました。これにより、IAM ポリシーやサービスコントロールポリシー (SCP) 内で、リソースタグと IAM プリンシパルタグを照合させる条件（Condition）を使用し、動的にアクセス権限を管理できます。本機能を利用するには、Neptune エンジンバージョン 1.2.0.0 以降かつ IAM 認証が有効である必要があります。Amazon Neptune が提供されているすべての AWS リージョンで利用可能です。

🚀 Amazon Neptune の権限管理がより動的でスケーラブルに

これまで、多数のクラスターを運用している環境では、IAM ポリシーに個別のクラスター ARN を一つずつ列挙する必要があり、管理コストとミスが発生しやすいという課題がありました。今回の TBAC サポートにより、**「プロジェクトタグが一致するクラスターのみ操作可能」**といった属性ベースの制御が実現し、運用負荷が大幅に軽減されます。

📍 日本国内リージョンの状況

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能であることが確認されています。国内のプロジェクト分離やマルチテナント環境の構築において、非常に強力な武器になります。

💡 エンジニアへのアドバイス

• セキュリティの強化: 共有 VPC 環境において、プロジェクト間での横方向のアクセス（Lateral Movement）を防ぐためのガードレールとして非常に有効です。SAML や OIDC を利用した外部 ID プロバイダーとの連携時にも、セッションタグを活用した動的な権限割り当てが可能です。
• 運用の注意点: 本機能はエンジンバージョン 1.2.0.0 以降 が必須です。既存のクラスターをアップグレードする際は、IAM 認証が有効になっているか、およびタグの命名規則がポリシーと一致しているかを事前に検証してください。

✅ 次のアクション

まずは、検証環境の Neptune クラスターに適切なタグを付与し、IAM ロールに同様のタグを付けたテストユーザーで、意図した通りにアクセスが制限されるかを確認することをお勧めします。

参照ドキュメント: Tag-based access control for Amazon Neptune data-plane operations