Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Autenticación SAML para Amazon OpenSearch sin servidor

Con la autenticación SAML para Amazon OpenSearch sin servidor, puede utilizar su proveedor de identidades existente con el fin de brindar inicio de sesión único (SSO) para OpenSearch Dashboards de colecciones sin servidor.

La autenticación SAML le permite utilizar proveedores de identidad de terceros para iniciar sesión en OpenSearch Dashboards a fin de indexar y buscar datos. OpenSearch sin servidor admite proveedores que utilizan el estándar SAML 2.0, como IAM Identity Center, Okta, Keycloak, Active Directory Federation Services (AD FS) y Auth0. Puede configurar IAM Identity Center para sincronizar usuarios y grupos de otros orígenes de identidades, como Okta, OneLogin y Microsoft Entra ID. Para obtener una lista de los orígenes de identidades que admite IAM Identity Center y los pasos para configurarlos, consulte Getting started tutorials en la Guía del usuario de IAM Identity Center.

Para configurar la autenticación SAML, primero debe configurar un proveedor de identidades (IdP) SAML. A continuación, se incluyen uno o más usuarios de ese IdP en una política de acceso a datos. Esta política le otorga ciertos permisos para las colecciones o los índices. A continuación, el usuario puede iniciar sesión en OpenSearch Dashboards y realizar las acciones permitidas en la política de acceso a los datos.

Consideraciones

A la hora de configurar la autenticación SAML, tenga en cuenta lo siguiente:

Permisos necesarios

La autenticación SAML para OpenSearch sin servidor utiliza los siguientes permisos AWS Identity and Access Management (IAM):

La siguiente política de acceso basada en la identidad permite al usuario administrar todas las configuraciones de IdP:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Tenga en cuenta que el elemento Resource debe ser un comodín.

Crear proveedores SAML de (consola)

En estos pasos se explica cómo crear proveedores de SAML. Esto permite la autenticación SAML con autenticación iniciada por el proveedor de servicios (SP) para OpenSearch Dashboards. No se admite la autenticación IdP.

Acceso a OpenSearch Dashboards

Después de configurar un proveedor de SAML, todos los usuarios y grupos asociados a ese proveedor pueden navegar hasta el punto de conexión de OpenSearch Dashboards. La URL de Dashboards tiene el formato collection-endpoint/_dashboards/ para todas las colecciones.

Si tiene SAML activado, al seleccionar el enlace que aparece en la AWS Management Console, será dirigido a la página de selección de IdP, donde puede iniciar sesión con sus credenciales de SAML. Primero, use el menú desplegable para seleccionar un proveedor de identidades:

Inicie sesión con sus credenciales de usuario de IdP.

Si no tiene SAML activado, al seleccionar el enlace que aparece en la AWS Management Console, se le indica que inicie sesión como rol o usuario de IAM, sin opción de usar SAML.

Concesión de acceso a las identidades de SAML a los datos de la colección

Después de crear un proveedor de SAML, aún tendrá que concederles acceso a los datos de sus colecciones a los usuarios y grupos subyacentes. Para concederles el acceso deberá hacerlo a través de políticas de acceso a datos. Hasta que no les proporcione acceso a los usuarios, estos no podrán leer, escribir ni eliminar ningún dato de sus colecciones.

Para conceder el acceso, cree una política de acceso a los datos y especifique sus ID de usuario o grupo de SAML en la declaración de Principal:

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

Puede concederles acceso a colecciones, índices o ambos. Si desea que diferentes usuarios tengan permisos diferentes, cree varias reglas. Para obtener una lista de los permisos disponibles, consulte Permisos de políticas compatibles. Para obtener información sobre cómo dar formato a una política de acceso, consulte Sintaxis de políticas.

Creación de proveedores SAML (AWS CLI)

Para crear un proveedor de SAML mediante la API de OpenSearch sin servidor, envíe una solicitud CreateSecurityConfig:

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

Especifique saml-options, incluido el XML de los metadatos, como un mapa clave-valor dentro de un archivo .json. El XML de los metadatos debe estar codificado como una cadena de escape JSON.

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

Ver proveedores SAML

La siguiente solicitud ListSecurityConfigs muestra todos los proveedores de SAML de su cuenta:

aws opensearchserverless list-security-configs --type saml

La solicitud devuelve información sobre todos los proveedores de SAML existentes, incluidos los metadatos completos del IdP que genera su proveedor de identidades:

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

Para ver los detalles de un proveedor específico, incluida la configVersion para actualizaciones futuras, envíe una solicitud GetSecurityConfig.

Actualización de proveedores SAML

Para actualizar un proveedor de SAML mediante la consola de OpenSearch sin servidor, seleccione Autenticación SAML, seleccione su proveedor de identidad y elija Editar. Puede modificar todos los campos, incluidos los metadatos y los atributos personalizados.

Para actualizar un proveedor a través de la API de OpenSearch sin servidor, envíe una solicitud UpdateSecurityConfig e incluya el identificador de la política que se va a actualizar. También debe incluir una versión de configuración, que puede recuperar mediante los comandos ListSecurityConfigs o GetSecurityConfig. Incluir la versión más reciente garantiza que no se anule inadvertidamente un cambio realizado por otra persona.

La siguiente solicitud actualiza las opciones de SAML de un proveedor:

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

Especifique las opciones de configuración de SAML como un mapa clave-valor dentro de un archivo .json.

Eliminar proveedores SAML

Al eliminar un proveedor de SAML, las referencias de los usuarios y grupos asociados en las políticas de acceso a datos dejan de funcionar. Para evitar confusiones, le recomendamos que elimine todas las referencias al punto de conexión en sus políticas de acceso antes de eliminar el punto de conexión.

Para eliminar un proveedor de SAML mediante la consola de OpenSearch sin servidor, seleccione Autenticación, seleccione el proveedor y elija Eliminar.

Para eliminar un proveedor a través de la API de OpenSearch sin servidor, envíe una solicitud DeleteSecurityConfig:

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider