JWTauthentification et autorisation pour Amazon OpenSearch Service

Amazon OpenSearch Service vous permet désormais d'utiliser des jetons JSON Web (JWTs) pour l'authentification et l'autorisation. JWTssont des jetons d'accès JSON basés sur des jetons d'accès utilisés pour accorder un accès par authentification unique (SSO). Vous pouvez utiliser JWTs in OpenSearch Service pour créer des jetons d'authentification unique afin de valider les demandes adressées à votre domaine OpenSearch de service. Pour l'utiliserJWTs, le contrôle d'accès détaillé doit être activé et vous devez fournir une clé publique valide RSA ou ECDSA PEM formatée. Pour plus d'informations sur le contrôle d'accès détaillé, consultez la section Contrôle d'accès détaillé dans Amazon Service. OpenSearch

Vous pouvez configurer les jetons JSON Web à l'aide de la console de OpenSearch service, du AWS Command Line Interface (AWS CLI) ou du AWS SDKs.

Considérations

Avant de l'utiliser JWTs avec Amazon OpenSearch Service, vous devez prendre en compte les points suivants :

Modification de la stratégie d'accès au domaine

Avant de configurer votre domaine pour utiliser l'JWTauthentification et l'autorisation, vous devez mettre à jour votre politique d'accès au domaine afin de permettre aux JWT utilisateurs d'accéder au domaine. Dans le cas contraire, toutes les demandes JWT autorisées entrantes sont refusées. La politique d'accès au domaine recommandée pour fournir un accès complet aux sous-ressources (/*) est la suivante :

{
  "Version": "2012-10-17",
  "Statement": [
      {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

Configuration de JWT l'authentification et de l'autorisation

Vous pouvez activer JWT l'authentification et l'autorisation pendant le processus de création du domaine ou en mettant à jour un domaine existant. Les étapes de configuration varient légèrement en fonction de l'option choisie.

Les étapes suivantes expliquent comment configurer un domaine existant pour JWT l'authentification et l'autorisation dans la console OpenSearch de service :

Utiliser un JWT pour envoyer une demande de test

Après en avoir créé un nouveau JWT avec une paire sujet/rôle spécifiée, vous pouvez envoyer une demande de test. Pour ce faire, utilisez la clé privée pour signer votre demande via l'outil qui a créé leJWT. OpenSearch Le service est en mesure de valider la demande entrante en vérifiant cette signature.

Voici un exemple d'utilisation d'un JWT jeton pour accéder au OpenSearch Service via le point de terminaison de recherche de votre domaine :

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}