JWT-Authentifizierung und Autorisierung für Amazon Service OpenSearch

Amazon OpenSearch Service ermöglicht es Ihnen jetzt, JSON Web Tokens (JWTs) für die Authentifizierung und Autorisierung zu verwenden. JWTs sind JSON-basierte Zugriffstoken, die verwendet werden, um Single Sign-On (SSO) -Zugriff zu gewähren. Sie können JWTs in OpenSearch Service verwenden, um Single Sign-On-Token zu erstellen, um Anfragen an Ihre Service-Domain zu validieren. OpenSearch Für die Verwendung JWTs müssen Sie die detaillierte Zugriffskontrolle aktiviert haben und einen gültigen öffentlichen Schlüssel im RSA- oder ECDSA-PEM-Format angeben. Weitere Informationen zur feinkörnigen Zugriffskontrolle finden Sie unter Feinkörnige Zugriffskontrolle in Amazon Service. OpenSearch

Sie können JSON-Web-Tokens mithilfe der OpenSearch Service-Konsole, der AWS Command Line Interface (AWS CLI) oder der konfigurieren. AWS SDKs

Überlegungen

Bevor Sie Amazon OpenSearch Service verwenden JWTs , müssen Sie Folgendes beachten:

Ändern der Domainzugriffsrichtlinie

Bevor Sie Ihre Domain für die Verwendung der JWT-Authentifizierung und -Autorisierung konfigurieren können, müssen Sie Ihre Domain-Zugriffsrichtlinie aktualisieren, damit JWT-Benutzer auf die Domain zugreifen können. Andernfalls werden alle eingehenden autorisierten JWT-Anfragen abgelehnt. Die empfohlene Domänenzugriffsrichtlinie für den vollständigen Zugriff auf die Unterressourcen (/*) lautet:

Konfiguration der JWT-Authentifizierung und -Autorisierung

Sie können die JWT-Authentifizierung und -Autorisierung während der Domainerstellung oder durch Aktualisierung einer vorhandenen Domain aktivieren. Die Einrichtungsschritte variieren geringfügig, je nachdem, welche Option Sie wählen.

In den folgenden Schritten wird erklärt, wie Sie eine vorhandene Domäne für die JWT-Authentifizierung und -Autorisierung in der OpenSearch Servicekonsole konfigurieren:

Verwenden eines JWKS-Endpunkts zur Validierung eines JWT

Anstatt einen statischen öffentlichen Schlüssel zu konfigurieren, können Sie eine JWKS-Endpunkt-URL (JSON Web Key Set) konfigurieren, um öffentliche Schlüssel dynamisch von Ihrem Identitätsanbieter abzurufen. Wenn ein JWKS-Endpunkt konfiguriert ist, ruft der OpenSearch Service automatisch die öffentlichen Schlüssel ab, die zur Validierung von JWT-Signaturen verwendet werden, und speichert sie im Cache, sodass die Schlüssel nicht manuell aktualisiert werden müssen, wenn Ihr Identitätsanbieter die Signaturschlüssel rotiert.

Für die JWKS-Endpunktkonfiguration ist Version 3.3 oder höher erforderlich. OpenSearch

Abwärtskompatibilität

Diese Funktion gewährleistet die vollständige Abwärtskompatibilität:

Konfiguration eines JWKS-Endpunkts

Sie können einen JWKS-Endpunkt mithilfe der OpenSearch Servicekonsole, der oder der AWS CLI Konfigurations-API konfigurieren.

aws opensearch update-domain-config \
  --domain-name my-domain \
  --advanced-security-options '{"JWTOptions":{"Enabled":true, "JwksUrl":"https://example.com/.well-known/jwks.json", "SubjectKey":"sub", "RolesKey":"roles"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "JwksUrl": "https://example.com/.well-known/jwks.json",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
    }
  }
}

Anforderungen an den JWT-Header

Wenn Sie einen JWKS-Endpunkt verwenden, muss Ihr JWT-Header eine Schlüssel-ID (kid) enthalten, die den spezifischen Schlüssel identifiziert, der für die Überprüfung verwendet werden soll:

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "V-diposfUJIk5jDBFi_QRouiVinG5PowskcSWy5EuCo"
}

Der kid Wert muss mit einer Schlüssel-ID in der JWKS-Endpunktantwort übereinstimmen.

Weitere Informationen zu den JWKS-Konfigurationsoptionen und Sicherheitseinstellungen finden Sie in der Dokumentation unter Verwenden eines JWKS-Endpunkts zur Validierung eines JWT. OpenSearch

Verwenden eines JWT zum Senden einer Testanfrage

Nachdem Sie ein neues JWT mit einem bestimmten Betreff- und Rollenpaar erstellt haben, können Sie eine Testanfrage senden. Verwenden Sie dazu den privaten Schlüssel, um Ihre Anfrage über das Tool zu signieren, mit dem das JWT erstellt wurde. OpenSearch Der Service ist in der Lage, die eingehende Anfrage zu validieren, indem er diese Signatur überprüft.

Im Folgenden finden Sie ein Beispiel dafür, wie Sie ein JWT-Token verwenden, um über den Suchendpunkt Ihrer Domain auf den OpenSearch Service zuzugreifen:

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}