Configuration de l'authentification Amazon Cognito pour les tableaux de bord OpenSearch

Vous pouvez authentifier et protéger votre installation par défaut des OpenSearch tableaux de bord Amazon OpenSearch Service à l'aide d'Amazon Cognito. L'authentification Amazon Cognito est facultative et disponible uniquement pour les domaines utilisant Elasticsearch OpenSearch 5.1 ou version ultérieure. Si vous ne configurez pas l'authentification Amazon Cognito, vous pouvez malgré tout protéger Dashboards à l'aide d'une stratégie d'accès basée sur l'adresse IP, d'un serveur proxy, de l'authentification HTTP de base ou de SAML.

La majeure partie du processus d'authentification se déroule dans Amazon Cognito, mais cette section fournit des directives et des exigences relatives à la configuration des ressources Amazon Cognito pour qu'elles fonctionnent OpenSearch avec les domaines de service. La tarification standard s'applique à toutes les ressources Amazon Cognito.

Prérequis

Avant de pouvoir configurer l'authentification Amazon Cognito pour les OpenSearch tableaux de bord, vous devez remplir plusieurs conditions préalables. La console OpenSearch de service permet de rationaliser la création de ces ressources, mais la compréhension de l'objectif de chaque ressource facilite la configuration et le dépannage. L'authentification Amazon Cognito pour Dashboards nécessite les ressources suivantes :

À propos du groupe d'utilisateurs

Les groupes d'utilisateurs ont deux fonctions principales : créer et gérer un annuaire d'utilisateurs et permettre l'inscription et la connexion des utilisateurs. Pour plus d'informations sur la création d'un groupe d'utilisateurs, consultez Création d'un groupe d'utilisateurs dans le Guide du développeur Amazon Cognito.

Lorsque vous créez un groupe d'utilisateurs à utiliser avec OpenSearch Service, tenez compte des points suivants :

Les ID de groupe d'utilisateurs se présentent sous la forme region_ID. Si vous prévoyez d'utiliser la AWS CLI ou un AWS SDK pour configurer le OpenSearch service, notez l'ID.

À propos du groupe d'identités

Les groupes d'identités vous permettent d'attribuer des rôles temporaires dotés de privilèges limités aux utilisateurs une fois qu'ils se sont connectés. Pour plus d'informations sur la création d'un groupe d'identités, consultez Groupes d'identités dans le Guide du développeur Amazon Cognito. Lorsque vous créez un pool d'identités à utiliser avec OpenSearch Service, tenez compte des points suivants :

Les ID des groupes d'identités se présentent sous la forme region:ID-ID-ID-ID-ID. Si vous prévoyez d'utiliser la AWS CLI ou un AWS SDK pour configurer le OpenSearch service, notez l'ID.

À propos du rôle CognitoAccessForAmazonOpenSearch

OpenSearch Le service a besoin d'autorisations pour configurer les groupes d'utilisateurs et d'identités Amazon Cognito et les utiliser pour l'authentification. Vous pouvez utiliserAmazonOpenSearchServiceCognitoAccess, qui est une politique AWS gérée, à cette fin. AmazonESCognitoAccessest une ancienne politique qui a été remplacée AmazonOpenSearchServiceCognitoAccess lorsque le service a été renommé Amazon OpenSearch Service. Les deux politiques fournissent les autorisations Amazon Cognito minimales nécessaires pour activer l'authentification Cognito. Pour connaître le JSON de la politique, consultez Console IAM.

Si vous utilisez la console pour créer ou configurer votre domaine de OpenSearch service, elle crée un rôle IAM pour vous et associe la AmazonOpenSearchServiceCognitoAccess politique (ou la AmazonESCognitoAccess politique s'il s'agit d'un domaine Elasticsearch) au rôle. Le nom par défaut du rôle est CognitoAccessForAmazonOpenSearch.

Les politiques d'autorisation des rôles AmazonOpenSearchServiceCognitoAccess et AmazonESCognitoAccess les deux permettent au OpenSearch Service d'effectuer les actions suivantes sur tous les groupes d'identités et d'utilisateurs :

Si vous utilisez le AWS CLI ou l'un des AWS SDK, vous devez créer votre propre rôle, associer la politique et spécifier l'ARN de ce rôle lorsque vous configurez votre domaine de OpenSearch service. Le rôle doit avoir la relation d'approbation suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Pour plus d'informations, consultez Création d'un rôle pour déléguer des autorisations à un service AWS et Attachement et détachement de politiques IAM dans le Guide de l'utilisateur IAM.

Configurer un domaine pour utiliser l'authentification Amazon Cognito

Une fois les conditions requises remplies, vous pouvez configurer un domaine de OpenSearch service pour utiliser Amazon Cognito pour les tableaux de bord.

Configuration de l'authentification Amazon Cognito (console)

Parce qu'elle crée le CognitoAccessForAmazonOpenSearchrôle qui vous convient, la console offre l'expérience de configuration la plus simple. Outre les autorisations de OpenSearch service standard, vous avez besoin de l'ensemble d'autorisations suivant pour utiliser la console afin de créer un domaine qui utilise l'authentification Amazon Cognito pour les OpenSearch tableaux de bord.

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools",
        "iam:CreateRole",
        "iam:AttachRolePolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Pour obtenir des instructions sur l'ajout d'autorisations à une identité (utilisateur, groupe d'utilisateurs ou rôle), consultez la section Ajout d'autorisations à une identité IAM (console).

Si CognitoAccessForAmazonOpenSearch existe déjà, vous avez besoin de moins d'autorisations :

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Lorsque votre domaine a terminé le traitement, consultez les étapes de configuration supplémentaires dans Autorisation du rôle authentifié et Configuration des fournisseurs d'identité.

Configuration de l'authentification Amazon Cognito (AWS CLI)

Utilisez le --cognito-options paramètre pour configurer votre domaine OpenSearch de service. La syntaxe suivante est utilisée par les commandes create-domain et update-domain-config :

--cognito-options Enabled=true,UserPoolId="user-pool-id",IdentityPoolId="identity-pool-id",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Example (Exemple)

L'exemple suivant crée un domaine dans la région us-east-1, qui permet l'authentification Amazon Cognito pour Dashboards à l'aide du rôle CognitoAccessForAmazonOpenSearch et fournit un accès au domaine à Cognito_Auth_Role :

aws opensearch create-domain --domain-name my-domain --region us-east-1 --access-policies '{ "Version":"2012-10-17", "Statement":[{"Effect":"Allow","Principal":{"AWS": ["arn:aws:iam::123456789012:role/Cognito_Auth_Role"]},"Action":"es:ESHttp*","Resource":"arn:aws:es:us-east-1:123456789012:domain/*" }]}' --engine-version "OpenSearch_1.0" --cluster-config InstanceType=m4.xlarge.search,InstanceCount=1 --ebs-options EBSEnabled=true,VolumeSize=10 --cognito-options Enabled=true,UserPoolId="us-east-1_123456789",IdentityPoolId="us-east-1:12345678-1234-1234-1234-123456789012",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Lorsque votre domaine a terminé le traitement, consultez les étapes de configuration supplémentaires dans Autorisation du rôle authentifié et Configuration des fournisseurs d'identité.

Configuration de l'authentification Amazon Cognito (kits SDK AWS)

Les AWS SDK (à l'exception des SDK Android et iOS) prennent en charge toutes les opérations définies dans le Amazon OpenSearch Service API Reference, y compris le CognitoOptions paramètre des opérations CreateDomain etUpdateDomainConfig. Pour plus d'informations sur l'installation et l'utilisation des kits SDK AWS, consultez Kits de développement logiciel AWS.

Lorsque votre domaine a terminé le traitement, consultez les étapes de configuration supplémentaires dans Autorisation du rôle authentifié et Configuration des fournisseurs d'identité.

Autorisation du rôle authentifié

Par défaut, le rôle IAM authentifié que vous avez configuré en suivant les instructions À propos du groupe d'identités ne dispose pas des privilèges nécessaires pour accéder OpenSearch aux tableaux de bord. Vous devez lui apporter des autorisations supplémentaires.

Vous pouvez inclure ces autorisations dans une politique basée sur l'identité, mais à moins que vous ne souhaitiez que les utilisateurs authentifiés aient accès à tous les domaines du OpenSearch service, une stratégie basée sur les ressources attachée à un seul domaine est la meilleure approche.

Pour le Principal, spécifiez l'ARN du rôle authentifié Cognito que vous avez configuré conformément aux instructions figurant dans À propos du groupe d'identités.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam::123456789012:role/Cognito_identitypoolnameAuth_Role"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789012:domain/domain-name/*"
      }
   ]
}

Pour obtenir des instructions sur l'ajout d'une politique basée sur les ressources à un domaine OpenSearch de service, consultez. Configuration des politiques d'accès

Configuration des fournisseurs d'identité

Lorsque vous configurez un domaine pour utiliser l'authentification Amazon Cognito pour les tableaux de bord, OpenSearch Service ajoute un client d'application au groupe d'utilisateurs et ajoute le groupe d'utilisateurs au pool d'identités en tant que fournisseur d'authentification.

Selon la manière dont vous avez configuré votre groupe d'utilisateurs, vous pouvez avoir besoin de créer des comptes d'utilisateur manuellement, ou les utilisateurs peuvent créer leur propre compte. Si ces paramètres sont acceptables, aucune action n'est requise de votre part. Toutefois, de nombreuses personnes préfèrent utiliser des fournisseurs d'identité externes.

Pour activer un fournisseur d'identité SAML 2.0, vous devez fournir un document de métadonnées SAML. Pour activer des fournisseurs d'identité sociaux tels que Login with Amazon, Facebook et Google, vous devez vous procurer un ID d'application et une clé secrète d'application auprès de ces fournisseurs. Vous pouvez activer n'importe quelle combinaison de fournisseurs d'identité.

Le moyen le plus simple de configurer votre groupe d'utilisateurs est d'utiliser la console Amazon Cognito. Pour plus d'informations, consultez Utilisation de la fédération à partir d'un groupe d'utilisateurs et Spécification des paramètres du fournisseur d'identité pour l'application de groupe d'utilisateurs dans le Guide du développeur Amazon Cognito.

(Facultatif) Configuration du contrôle précis des accès

Vous avez peut-être remarqué que les paramètres de groupe d'identités par défaut affectent à chaque utilisateur qui se connecte le même rôle IAM (Cognito_identitypoolAuth_Role), ce qui signifie que chaque utilisateur peut accéder aux mêmes ressources AWS. Si vous souhaitez utiliser un contrôle précis des accès avec Amazon Cognito (par exemple, si vous souhaitez que les analystes de votre organisation disposent d'un accès en lecture seule à plusieurs index, mais que les développeurs disposent d'un accès en écriture à tous les index), vous avez deux options :

Pour obtenir une procédure pas à pas qui inclut un contrôle d'accès affiné, veuillez consulter Didacticiel : configurer un domaine avec un utilisateur principal IAM et l'authentification Amazon Cognito.

Groupes d'utilisateurs et jetons

Lorsque vous créez un groupe d'utilisateurs, vous choisissez un rôle IAM pour les membres du groupe. Pour plus d'informations sur la création de groupes, consultez Groupes d'utilisateurs dans le Guide du développeur Amazon Cognito.

Une fois que vous avez créé un ou plusieurs groupes d'utilisateurs, vous pouvez configurer votre fournisseur d'authentification pour affecter les utilisateurs aux rôles de leurs groupes et non au rôle par défaut du groupe d'identités. Choisissez Choose role from token (Utiliser le rôle du jeton), puis Utiliser le rôle authentifié par défaut ou DENY (REFUSER) pour spécifier la façon dont le groupe d'identités doit gérer les utilisateurs qui ne font pas partie d'un groupe.

Règles

Les règles correspondent essentiellement à une série d'instructions if qu'Amazon Cognito évalue de manière séquentielle. Par exemple, si l'adresse e-mail d'un utilisateur contient @corporate, Amazon Cognito attribue le Role_A à cet utilisateur. Si l'adresse e-mail d'un utilisateur contient @subsidiary, il attribue Role_B à cet utilisateur. Sinon, il attribue à l'utilisateur le rôle authentifié par défaut.

Pour en savoir plus, consultez Utilisation du mappage basé sur des règles pour attribuer des rôles aux utilisateurs dans le Guide du développeur Amazon Cognito.

(Facultatif) Personnalisation de la page de connexion

Vous pouvez utiliser la console Amazon Cognito pour télécharger un logo personnalisé et apporter des modifications CSS à la page de connexion. Pour obtenir des instructions et accéder à la liste complète des propriétés CSS, consultez Spécification des paramètres de personnalisation de l'interface utilisateur de l'application pour votre groupe d'utilisateurs dans le Guide du développeur Amazon Cognito.

(Facultatif) Configuration de la sécurité avancée

Les groupes d'utilisateurs Amazon Cognito prennent en charge les fonctionnalités de sécurité avancée, telles que l'authentification multifacteur, la vérification des informations d'identification compromises et l'authentification adaptative. Pour en savoir plus, consultez Gestion de la sécurité dans le Guide du développeur Amazon Cognito.

Test

Une fois que vous êtes satisfait de votre configuration, vérifiez que l'expérience utilisateur répond à vos attentes.

Si une étape de ce processus échoue, consultez Problèmes de configuration courants pour obtenir des informations de dépannage.

Quotas

Amazon Cognito comporte des limites souples sur un grand nombre de ses ressources. Si vous souhaitez activer l'authentification par tableau de bord pour un grand nombre de domaines de OpenSearch service, consultez les quotas dans Amazon Cognito et demandez des augmentations de la limite si nécessaire.

Chaque domaine OpenSearch de service ajoute un client d'application au groupe d'utilisateurs, ce qui ajoute un fournisseur d'authentification au pool d'identités. Si vous activez l'authentification par tableau de OpenSearch bord pour plus de 10 domaines, vous risquez de rencontrer la limite du « nombre maximum de fournisseurs de pool d'utilisateurs Amazon Cognito par pool d'identités ». Si vous dépassez une limite, tous les domaines de OpenSearch service que vous essayez de configurer pour utiliser l'authentification Amazon Cognito pour les tableaux de bord peuvent rester bloqués dans un état de configuration en cours de traitement.

Problèmes de configuration courants

Les tableaux suivants répertorient les problèmes de configuration courants et les solutions correspondantes.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

aws cognito-idp list-user-pools --max-results 60 --region region

aws cognito-identity list-identity-pools --max-results 60 --region region

aws cognito-idp create-user-pool-domain --domain name --user-pool-id id

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "identity-pool-id"
      },
      "ForAnyValue:StringLike": {
        "cognito-identity.amazonaws.com:amr": "authenticated"
      }
    }
  }]
}

Désactivation de l'authentification Amazon Cognito pour les tableaux de bord OpenSearch

Utilisez la procédure suivante pour désactiver l'authentification Amazon Cognito pour Dashboards.

Suppression de domaines utilisant l'authentification Amazon Cognito pour les tableaux de bord OpenSearch

Pour éviter que les domaines qui utilisent l'authentification Amazon Cognito pour les tableaux de bord ne restent bloqués dans un état de configuration de traitement, supprimez les domaines de OpenSearch service avant de supprimer les groupes d'utilisateurs et d'identités Amazon Cognito associés.