安全配置 #

安全层次：
├── 网络安全
│   ├── VPC隔离
│   ├── 安全组
│   └── 网络ACL
├── 访问控制
│   ├── IAM认证
│   └── 资源策略
├── 数据安全
│   ├── 传输加密
│   └── 静态加密
└── 审计日志
    └── CloudWatch Logs

VPC配置建议：
├── 使用私有子网
├── 配置NAT网关（如需公网访问）
├── 使用VPC端点
└── 禁止公网访问

# 创建安全组
aws ec2 create-security-group \
  --group-name neptune-sg \
  --description "Neptune security group" \
  --vpc-id vpc-xxx

# 配置入站规则
aws ec2 authorize-security-group-ingress \
  --group-id sg-xxx \
  --protocol tcp \
  --port 8182 \
  --source-group sg-yyy  # 应用服务器安全组

# 配置出站规则
aws ec2 authorize-security-group-egress \
  --group-id sg-xxx \
  --protocol tcp \
  --port 8182 \
  --cidr 0.0.0.0/0

网络ACL建议：
├── 限制入站流量
├── 限制出站流量
├── 使用最小权限原则
└── 记录日志

# 启用IAM数据库认证
aws neptune modify-db-cluster \
  --db-cluster-identifier my-neptune-cluster \
  --enable-iam-database-authentication \
  --apply-immediately

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "neptune-db:connect"
      ],
      "Resource": [
        "arn:aws:neptune-db:region:account:cluster-identifier"
      ]
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "neptune-db:connect",
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery"
      ],
      "Resource": [
        "arn:aws:neptune-db:region:account:cluster-identifier"
      ]
    }
  ]
}

import requests
from requests_aws4auth import AWS4Auth
import boto3

# 获取凭证
credentials = boto3.Session().get_credentials()
auth = AWS4Auth(
    credentials.access_key,
    credentials.secret_key,
    'us-east-1',
    'neptune-db',
    session_token=credentials.token
)

# 发送请求
endpoint = 'https://your-cluster-endpoint:8182/gremlin'
response = requests.post(endpoint, auth=auth, json={'gremlin': 'g.V().limit(10)'})

# 创建加密集群
aws neptune create-db-cluster \
  --db-cluster-identifier my-neptune-cluster \
  --engine neptune \
  --storage-encrypted \
  --kms-key-id alias/aws/neptune

传输加密特点：
├── 默认启用TLS
├── 强制HTTPS连接
├── 支持TLS 1.2
└── 证书验证

# 创建KMS密钥
aws kms create-key \
  --description "Neptune encryption key" \
  --policy '{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {"AWS": "arn:aws:iam::account:root"},
        "Action": "kms:*",
        "Resource": "*"
      }
    ]
  }'

# 创建别名
aws kms create-alias \
  --alias-name alias/neptune-key \
  --target-key-id key-id

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::account:role/NeptuneAccessRole"
      },
      "Action": [
        "neptune-db:connect",
        "neptune-db:ReadDataViaQuery",
        "neptune-db:WriteDataViaQuery",
        "neptune-db:DeleteDataViaQuery"
      ],
      "Resource": "arn:aws:neptune-db:region:account:cluster-identifier"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["neptune-db:connect"],
      "Resource": ["*"],
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": ["10.0.0.0/8"]
        }
      }
    }
  ]
}

# 启用CloudWatch日志
aws neptune modify-db-cluster \
  --db-cluster-identifier my-neptune-cluster \
  --cloudwatch-logs-export-configuration '{"EnableLogTypes":["audit"]}'

审计日志内容：
├── 连接事件
├── 查询事件
├── 数据修改
├── 权限变更
└── 错误事件

# 查询CloudWatch日志
aws logs filter-log-events \
  --log-group-name /aws/neptune/my-cluster/audit \
  --start-time $(date -d '1 hour ago' +%s)000

网络安全建议：
├── 使用私有子网
├── 配置安全组限制访问
├── 禁止公网访问
├── 使用VPC端点
└── 监控网络流量

访问控制建议：
├── 启用IAM认证
├── 使用最小权限原则
├── 定期轮换凭证
├── 监控访问日志
└── 实施MFA

数据安全建议：
├── 启用静态加密
├── 使用客户管理密钥
├── 启用传输加密
├── 定期备份
└── 监控数据访问

合规认证：
├── SOC 1/2/3
├── PCI DSS
├── HIPAA
├── ISO 27001
├── ISO 27017
├── ISO 27018
└── FedRAMP

合规配置建议：
├── 启用所有安全功能
├── 配置审计日志
├── 实施访问控制
├── 定期安全审计
└── 保留审计记录

# 创建安全告警
aws cloudwatch put-metric-alarm \
  --alarm-name neptune-auth-failures \
  --metric-name AuthFailures \
  --namespace AWS/Neptune \
  --threshold 10 \
  --comparison-operator GreaterThanThreshold \
  --evaluation-periods 1

GuardDuty检测：
├── 异常访问模式
├── 潜在的攻击行为
├── 数据泄露风险
└── 权限滥用