Konfiguration der Amazon Cognito Cognito-Authentifizierung für Dashboards OpenSearch

Sie können Ihre Amazon OpenSearch Service-Standardinstallation von OpenSearch Dashboards mit Amazon Cognito authentifizieren und schützen. Die Amazon Cognito Cognito-Authentifizierung ist optional und nur für Domains OpenSearch verfügbar, die Elasticsearch 5.1 oder höher verwenden. Wenn Sie die Amazon-Cognito-Authentifizierung nicht konfigurieren, können Sie Dashboards dennoch mit einer IP-basierten Zugriffsrichtlinie und einem Proxy-Server, HTTP-Basisauthentifizierung oder SAML schützen.

Ein Großteil des Authentifizierungsprozesses findet in Amazon Cognito statt, aber dieser Abschnitt enthält Richtlinien und Anforderungen für die Konfiguration von Amazon Cognito Cognito-Ressourcen für die Verwendung mit OpenSearch Service-Domains. Die Standardpreise gelten für alle Amazon-Cognito-Ressourcen.

Voraussetzungen

Bevor Sie die Amazon Cognito Cognito-Authentifizierung für OpenSearch Dashboards konfigurieren können, müssen Sie mehrere Voraussetzungen erfüllen. Die OpenSearch Servicekonsole hilft dabei, die Erstellung dieser Ressourcen zu optimieren, aber das Verständnis des Zwecks der einzelnen Ressourcen hilft bei der Konfiguration und Fehlerbehebung. Für die Amazon-Cognito-Authentifizierung für Dashboards sind die folgenden Ressourcen erforderlich:

Über den Benutzerpool

Benutzerpools haben zwei Hauptfunktionen: das Erstellen und Verwalten von Benutzerverzeichnissen und die Benutzerregistrierung und -anmeldung. Eine Anleitung zum Erstellen eines Benutzerpools finden Sie unter Erstellen eines Benutzerpools im Amazon-Cognito-Entwicklerhandbuch.

Wenn Sie einen Benutzerpool für die Verwendung mit OpenSearch Service erstellen, sollten Sie Folgendes berücksichtigen:

Benutzerpool-IDs haben die Form: region_ID. Wenn Sie beabsichtigen, die AWS CLI oder ein AWS SDK zur Konfiguration des OpenSearch Dienstes zu verwenden, notieren Sie sich die ID.

Über den Identitätenpool

Mit Identitäten-Pools können Sie Benutzern nach der Anmeldung temporäre Rollen mit beschränkten Berechtigungen zuweisen. Eine Anleitung zum Erstellen eines Identitätenpools finden Sie unter Identitätenpools im Amazon-Cognito-Entwicklerhandbuch. Beachten Sie Folgendes, wenn Sie einen Identitätspool für die Verwendung mit OpenSearch Service erstellen:

Identitäten-Pool-IDs haben die Form: region:ID-ID-ID-ID-ID. Wenn Sie beabsichtigen, die AWS CLI oder ein AWS SDK zur Konfiguration des OpenSearch Dienstes zu verwenden, notieren Sie sich die ID.

Informationen über die CognitoAccessForAmazonOpenSearch-Rolle

OpenSearch Der Service benötigt Berechtigungen, um die Benutzer- und Identitätspools von Amazon Cognito zu konfigurieren und für die Authentifizierung zu verwenden. Zu diesem AmazonOpenSearchServiceCognitoAccess Zweck können Sie eine AWS verwaltete Richtlinie verwenden. AmazonESCognitoAccessist eine ältere Richtlinie, die durch die AmazonOpenSearchServiceCognitoAccess Umbenennung des Dienstes in Amazon OpenSearch Service ersetzt wurde. Beide Richtlinien bieten die Mindestberechtigungen für Amazon Cognito, die erforderlich sind, um die Cognito-Authentifizierung zu aktivieren. Informationen zum Richtlinien-JSON finden Sie unter IAM-Konsole.

Wenn Sie die Konsole verwenden, um Ihre OpenSearch Service-Domain zu erstellen oder zu konfigurieren, erstellt sie eine IAM-Rolle für Sie und fügt die AmazonOpenSearchServiceCognitoAccess Richtlinie (oder die AmazonESCognitoAccess Richtlinie, wenn es sich um eine Elasticsearch-Domain handelt) an die Rolle an. Der Standardname der Rolle lautet CognitoAccessForAmazonOpenSearch.

AmazonOpenSearchServiceCognitoAccessSowohl die Richtlinien für Rollenberechtigungen AmazonESCognitoAccess als auch beide ermöglichen es OpenSearch Service, die folgenden Aktionen für alle Identitäts- und Benutzerpools durchzuführen:

Wenn Sie das AWS CLI oder eines der AWS SDKs verwenden, müssen Sie Ihre eigene Rolle erstellen, die Richtlinie anhängen und den ARN für diese Rolle angeben, wenn Sie Ihre OpenSearch Service-Domain konfigurieren. Die Rolle muss über die folgende Vertrauensstellung verfügen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Anleitungen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen AWS-Service und Anfügen und Trennen von IAM-Richtlinien im IAM-Benutzerhandbuch.

Konfigurieren einer Domain zur Verwendung der Amazon-Cognito-Authentifizierung

Nachdem Sie die Voraussetzungen erfüllt haben, können Sie eine OpenSearch Service-Domain für die Verwendung von Amazon Cognito for Dashboards konfigurieren.

Konfigurieren der Amazon-Cognito-Authentifizierung (Konsole)

Da sie die CognitoAccessForAmazonOpenSearchRolle für Sie erstellt, bietet die Konsole die einfachste Konfigurationserfahrung. Zusätzlich zu den standardmäßigen OpenSearch Serviceberechtigungen benötigen Sie die folgenden Berechtigungen, um mit der Konsole eine Domain zu erstellen, die die Amazon Cognito Cognito-Authentifizierung für OpenSearch Dashboards verwendet.

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools",
        "iam:CreateRole",
        "iam:AttachRolePolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Anweisungen zum Hinzufügen von Berechtigungen zu einer Identität (Benutzer, Gruppe oder Rolle) finden Sie unter Hinzufügen von IAM-Identitätsberechtigungen (Konsole).

Wenn CognitoAccessForAmazonOpenSearch bereits vorhanden ist, benötigen Sie weniger Berechtigungen:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Nachdem Ihre Domain die Verarbeitung abgeschlossen hat, finden Sie unter Zulassen der authentifizierten Rolle und Konfigurieren von Identitätsanbietern weitere Konfigurationsschritte.

Konfigurieren der Amazon-Cognito-Authentifizierung (AWS CLI)

Verwenden Sie den --cognito-options Parameter, um Ihre OpenSearch Service-Domain zu konfigurieren. Die folgende Syntax wird von den create-domain- und update-domain-config-Befehlen verwendet:

--cognito-options Enabled=true,UserPoolId="user-pool-id",IdentityPoolId="identity-pool-id",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Beispiel

Im folgenden Beispiel wird eine Domain in der Region us-east-1 erstellt, die Amazon-Cognito-Authentifizierung für Dashboards mit der Rolle CognitoAccessForAmazonOpenSearch aktiviert und der Domain Zugriff auf Cognito_Auth_Role erlaubt:

aws opensearch create-domain --domain-name my-domain --region us-east-1 --access-policies '{ "Version":"2012-10-17", "Statement":[{"Effect":"Allow","Principal":{"AWS": ["arn:aws:iam::123456789012:role/Cognito_Auth_Role"]},"Action":"es:ESHttp*","Resource":"arn:aws:es:us-east-1:123456789012:domain/*" }]}' --engine-version "OpenSearch_1.0" --cluster-config InstanceType=m4.xlarge.search,InstanceCount=1 --ebs-options EBSEnabled=true,VolumeSize=10 --cognito-options Enabled=true,UserPoolId="us-east-1_123456789",IdentityPoolId="us-east-1:12345678-1234-1234-1234-123456789012",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Nachdem Ihre Domain die Verarbeitung abgeschlossen hat, finden Sie unter Zulassen der authentifizierten Rolle und Konfigurieren von Identitätsanbietern weitere Konfigurationsschritte.

Konfigurieren der Amazon-Cognito-Authentifizierung (AWS-SDKs)

Die AWS SDKs (außer den Android- und iOS-SDKs) unterstützen alle Operationen, die in der Amazon OpenSearch Service API-Referenz definiert sind, einschließlich des CognitoOptions Parameters für die Operationen CreateDomain undUpdateDomainConfig. Weitere Informationen über die Installation und Verwendung der AWS SDKs finden Sie unter AWS-Software-Entwicklungs-Kits.

Nachdem Ihre Domain die Verarbeitung abgeschlossen hat, finden Sie unter Zulassen der authentifizierten Rolle und Konfigurieren von Identitätsanbietern weitere Konfigurationsschritte.

Zulassen der authentifizierten Rolle

Standardmäßig verfügt die authentifizierte IAM-Rolle, die Sie gemäß den Richtlinien unter konfiguriert haben, Über den Identitätenpool nicht über die erforderlichen Rechte für den Zugriff auf Dashboards. OpenSearch Sie müssen der Rolle zusätzliche Berechtigungen gewähren.

Sie können diese Berechtigungen in eine identitätsbasierte Richtlinie aufnehmen. Wenn Sie jedoch nicht möchten, dass authentifizierte Benutzer Zugriff auf alle OpenSearch Dienstdomänen haben, ist eine ressourcenbasierte Richtlinie, die an eine einzelne Domäne angehängt ist, der bessere Ansatz.

Geben Sie für Principal den ARN der von Cognito authentifizierten Rolle an, die Sie mit den Richtlinien in Über den Identitätenpool konfiguriert haben.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam::123456789012:role/Cognito_identitypoolnameAuth_Role"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789012:domain/domain-name/*"
      }
   ]
}

Anweisungen zum Hinzufügen einer ressourcenbasierten Richtlinie zu einer Dienstdomäne finden Sie unter. OpenSearch Konfigurieren von Zugriffsrichtlinien

Konfigurieren von Identitätsanbietern

Wenn Sie eine Domain für die Verwendung der Amazon Cognito Cognito-Authentifizierung für Dashboards konfigurieren, fügt OpenSearch Service dem Benutzerpool einen App-Client hinzu und fügt den Benutzerpool dem Identitätspool als Authentifizierungsanbieter hinzu.

Je nachdem, wie Sie Ihren Benutzerpool konfiguriert haben, müssen Sie Benutzerkonten entweder manuell erstellen oder Benutzer können eigene Konten erstellen. Wenn Sie mit diesen Einstellungen zufrieden sind, müssen Sie nichts weiter unternehmen. Viele Anwender verwenden jedoch lieber externe Identitätsanbieter.

Um einen SAML 2.0-Identitätsanbieter zu aktivieren, müssen Sie ein SAML-Metadatendokument bereitstellen. Um soziale Identitätsanbieter wie Login with Amazon, Facebook und Google zu aktivieren, müssen Sie über eine App-ID und einen geheimen App-Schlüssel von diesen Anbietern verfügen. Sie können Identitätsanbieter in beliebigen Kombinationen aktivieren.

Der einfachste Weg, Ihren Benutzerpool zu konfigurieren, erfolgt über die Amazon-Cognito-Konsole. Eine Anleitung finden Sie unter Verwenden des Verbunds für einen Benutzerpool und So geben Sie die Einstellungen Ihres Anwendungs-Identitätsanbieters (IdP) für Ihren Benutzerpool an im Amazon-Cognito-Entwicklerhandbuch.

(Optional) Konfigurieren von individuell festgelegtem Zugriff

Ihnen ist wahrscheinlich aufgefallen, dass mit den Standardeinstellungen des Identitätenpools jedem Benutzer, der sich anmeldet, dieselbe IAM-Rolle zugewiesen wird (Cognito_identitypoolAuth_Role). Hierdurch erhalten alle Benutzer Zugriff auf dieselben AWS-Ressourcen. Wenn Sie die differenzierte Zugriffskontrolle mit Amazon Cognito verwenden möchten – etwa weil Sie wollen, dass die Analysten Ihrer Organisation schreibgeschützt auf mehrere Indizes zugreifen, Entwickler aber Schreibzugriff auf alle Indizes haben sollen – haben Sie zwei Möglichkeiten:

Ein Walkthrough, das die differenzierte Zugriffskontrolle enthält, finden Sie unter Tutorial: Konfigurieren einer Domain mit einem IAM-Hauptbenutzer und Amazon-Cognito-Authentifizierung.

Benutzergruppen und Token

Wenn Sie eine Benutzergruppe erstellen, wählen Sie eine IAM-Rolle für die Mitglieder dieser Gruppe aus. Informationen zum Erstellen von Gruppen finden Sie unter Benutzergruppen im Amazon-Cognito-Entwicklerhandbuch.

Nachdem Sie mindestens eine Benutzergruppe erstellt haben, können Sie Ihren Authentifizierungsanbieter so konfigurieren, dass er Benutzern die Rollen ihrer jeweiligen Gruppe anstelle der Standardrolle des Identitäten-Pools zuweist. Wählen Sie Rolle aus Token auswählen aus, und wählen Sie dann entweder Authentifizierte Standardrolle verwenden oder VERWEIGERN, um anzugeben, wie der Identitätenpool Benutzer behandelt, die nicht Teil einer Gruppe sind.

Regeln

Regeln bestehen im Grunde genommen aus einer Reihe von if-Anweisungen, die Amazon Cognito der Reihe nach auswertet. Wenn die E-Mail-Adresse eines Benutzers beispielsweise @corporate enthält, weist Amazon Cognito dem Benutzer Role_A zu. Wenn die E-Mail-Adresse eines Benutzers @subsidiary enthält, wird dem Benutzer Role_B zugewiesen. Andernfalls wird dem Benutzer die Standardauthentifizierungsrolle zugewiesen.

Weitere Informationen finden Sie unter Zuweisen von Rollen zu Benutzern mit dem rollenbasierten Mapping im Amazon-Cognito-Entwicklerhandbuch.

(Optional) Anpassen der Anmeldeseite

Sie können die Amazon Cognito Cognito-Konsole verwenden, um ein benutzerdefiniertes Logo hochzuladen und CSS-Änderungen an der Anmeldeseite vorzunehmen. Eine Anleitung sowie eine vollständige Liste der CSS-Eigenschaften finden Sie unter So geben Sie App-Einstellungen für die Benutzeroberfläche Ihres Benutzerpools an im Amazon-Cognito-Entwicklerhandbuch.

(Optional) Konfiguration der erweiterten Sicherheit

Amazon-Cognito-Benutzerpools unterstützen erweiterte Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung, Überprüfung auf nicht mehr zuverlässige Anmeldeinformationen und die adaptive Authentifizierung. Weitere Informationen hierzu finden Sie unter Verwalten der Sicherheit im Amazon-Cognito-Entwicklerhandbuch.

Testen

Wenn Sie mit der Konfiguration zufrieden sind, stellen Sie sicher, dass die Benutzererfahrung Ihren Erwartungen entspricht.

Falls ein Schritt in diesem Prozess fehlschlägt, finden Sie unter Häufige Konfigurationsprobleme Hilfestellung zur Problembehebung.

Kontingente

In Amazon Cognito sind Soft Limits für viele Ressourcen konfiguriert. Wenn Sie die Dashboard-Authentifizierung für eine große Anzahl von OpenSearch Service-Domains aktivieren möchten, überprüfen Sie die Kontingente in Amazon Cognito und fordern Sie bei Bedarf eine Erhöhung des Limits an.

Jede OpenSearch Service-Domain fügt dem Benutzerpool einen App-Client hinzu, wodurch dem Identitätspool ein Authentifizierungsanbieter hinzugefügt wird. Wenn Sie die OpenSearch Dashboard-Authentifizierung für mehr als 10 Domains aktivieren, stoßen Sie möglicherweise auf das Limit „maximale Amazon Cognito Cognito-Benutzerpoolanbieter pro Identitätspool“. Wenn Sie ein Limit überschreiten, können alle OpenSearch Service-Domains, die Sie für die Verwendung der Amazon Cognito Cognito-Authentifizierung für Dashboards zu konfigurieren versuchen, im Konfigurationsstatus Verarbeitung hängen bleiben.

Häufige Konfigurationsprobleme

Die folgenden Tabellen enthalten häufige Konfigurationsprobleme und deren Lösungen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

aws cognito-idp list-user-pools --max-results 60 --region region

aws cognito-identity list-identity-pools --max-results 60 --region region

aws cognito-idp create-user-pool-domain --domain name --user-pool-id id

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "identity-pool-id"
      },
      "ForAnyValue:StringLike": {
        "cognito-identity.amazonaws.com:amr": "authenticated"
      }
    }
  }]
}

Amazon Cognito Cognito-Authentifizierung für Dashboards deaktivieren OpenSearch

Gehen Sie wie folgt vor, um die Amazon-Cognito-Authentifizierung für Dashboards zu deaktivieren.

Löschen von Domains, die die Amazon Cognito Cognito-Authentifizierung für OpenSearch Dashboards verwenden

Um zu verhindern, dass Domänen, die Amazon Cognito Cognito-Authentifizierung für Dashboards verwenden, im Konfigurationsstatus Verarbeitung stecken bleiben, löschen Sie OpenSearch Service-Domains, bevor Sie die zugehörigen Amazon Cognito Cognito-Benutzer- und Identitätspools löschen.