Mengonfigurasi otentikasi Amazon Cognito untuk Dasbor OpenSearch

Anda dapat mengautentikasi dan melindungi instalasi OpenSearch Dasbor default OpenSearch Layanan Amazon Anda menggunakan Amazon Cognito. Otentikasi Amazon Cognito bersifat opsional dan hanya tersedia untuk domain yang menggunakan OpenSearch atau Elasticsearch 5.1 atau yang lebih baru. Jika Anda tidak mengonfigurasi autentikasi Amazon Cognito, Anda masih dapat melindungi Dasbor menggunakan kebijakan akses berbasis IP dan server proxy, otentikasi dasar HTTP, atau SALL.

Sebagian besar proses otentikasi terjadi di Amazon Cognito, tetapi bagian ini menawarkan pedoman dan persyaratan untuk mengonfigurasi sumber daya Amazon Cognito agar berfungsi dengan domain Layanan. OpenSearch Harga standar berlaku untuk semua sumber daya Amazon Cognito.

Prasyarat

Sebelum Anda dapat mengonfigurasi otentikasi Amazon Cognito untuk OpenSearch Dasbor, Anda harus memenuhi beberapa prasyarat. Konsol OpenSearch Layanan membantu merampingkan pembuatan sumber daya ini, tetapi memahami tujuan setiap sumber daya membantu konfigurasi dan pemecahan masalah. Autentikasi Amazon Cognito untuk Dasbor memerlukan sumber daya berikut:

Tentang kolam pengguna

Kolam pengguna memiliki dua fitur utama: membuat dan mengelola direktori pengguna, dan memungkinkan pengguna untuk mendaftar dan masuk. Untuk petunjuk cara membuat kumpulan pengguna, lihat Membuat Kumpulan Pengguna di Panduan Pengembang Amazon Cognito.

Saat Anda membuat kumpulan pengguna untuk digunakan dengan OpenSearch Layanan, pertimbangkan hal berikut:

ID kolam pengguna mengambil bentuk region_ID. Jika Anda berencana untuk menggunakan AWS CLI atau AWS SDK untuk mengkonfigurasi OpenSearch Layanan, catat ID.

Tentang kolam identitas

Kolam identitas memungkinkan Anda menetapkan peran hak istimewa sementara dan terbatas kepada pengguna setelah mereka masuk. Untuk petunjuk tentang cara membuat kolam identitas, lihat Kumpulan Pengguna di Panduan Developer Amazon Cognito. Saat Anda membuat kumpulan identitas untuk digunakan dengan OpenSearch Layanan, pertimbangkan hal berikut:

ID kolam identitas mengambil bentuk region:ID-ID-ID-ID-ID. Jika Anda berencana untuk menggunakan AWS CLI atau AWS SDK untuk mengkonfigurasi OpenSearch Layanan, catat ID.

Tentang peran CognitoAccessForAmazonOpenSearch

OpenSearch Layanan memerlukan izin untuk mengonfigurasi pengguna Amazon Cognito dan kumpulan identitas dan menggunakannya untuk otentikasi. Anda dapat menggunakanAmazonOpenSearchServiceCognitoAccess, yang merupakan kebijakan AWS -managed, untuk tujuan ini. AmazonESCognitoAccessadalah kebijakan warisan yang digantikan oleh AmazonOpenSearchServiceCognitoAccess ketika layanan diubah namanya menjadi Amazon OpenSearch Service. Kedua kebijakan memberikan izin Amazon Cognito minimum yang diperlukan untuk mengaktifkan otentikasi Cognito. Untuk kebijakan JSON, lihat konsol IAM.

Jika Anda menggunakan konsol untuk membuat atau mengonfigurasi domain OpenSearch Layanan, itu akan membuat peran IAM untuk Anda dan melampirkan AmazonOpenSearchServiceCognitoAccess kebijakan (atau AmazonESCognitoAccess kebijakan jika itu adalah domain Elasticsearch) ke peran tersebut. Nama default untuk peran ini adalah CognitoAccessForAmazonOpenSearch.

Kebijakan izin peran AmazonOpenSearchServiceCognitoAccess dan AmazonESCognitoAccess keduanya memungkinkan OpenSearch Layanan untuk menyelesaikan tindakan berikut pada semua identitas dan kumpulan pengguna:

Jika Anda menggunakan AWS CLI atau salah satu AWS SDK, Anda harus membuat peran Anda sendiri, melampirkan kebijakan, dan menentukan ARN untuk peran ini ketika OpenSearch Anda mengonfigurasi domain Layanan. Peran harus memiliki hubungan kepercayaan berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Untuk instruksi, lihat Membuat Peran untuk Mendelegasikan izin ke sebuah Layanan AWS dan Melampirkan dan Melepaskan Kebijakan IAM di Panduan Pengguna IAM.

Mengonfigurasi domain untuk menggunakan otentikasi Amazon Cognito

Setelah menyelesaikan prasyarat, Anda dapat mengonfigurasi domain OpenSearch Layanan untuk menggunakan Amazon Cognito untuk Dasbor.

Mengonfigurasi autentikasi Amazon Cognito (konsol)

Karena menciptakan CognitoAccessForAmazonOpenSearchperan untuk Anda, konsol menawarkan pengalaman konfigurasi paling sederhana. Selain izin OpenSearch Layanan standar, Anda memerlukan kumpulan izin berikut untuk menggunakan konsol guna membuat domain yang menggunakan autentikasi Amazon Cognito untuk Dasbor. OpenSearch

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools",
        "iam:CreateRole",
        "iam:AttachRolePolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Untuk petunjuk menambahkan izin ke identitas (pengguna, grup pengguna, atau peran), lihat Menambahkan izin identitas IAM (konsol).

Jika CognitoAccessForAmazonOpenSearch sudah ada, Anda memerlukan lebih sedikit izin:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Setelah domain selesai diproses, lihat Mengizinkan peran terautentikasi dan Mengonfigurasi penyedia identitas untuk langkah-langkah konfigurasi tambahan.

Mengonfigurasi autentikasi Amazon Cognito (AWS CLI)

Gunakan --cognito-options parameter untuk mengonfigurasi domain OpenSearch Layanan Anda. Sintaks berikut digunakan oleh perintah create-domain dan update-domain-config:

--cognito-options Enabled=true,UserPoolId="user-pool-id",IdentityPoolId="identity-pool-id",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Contoh

Contoh berikut membuat domain di us-east-1 Wilayah yang memungkinkan otentikasi Amazon Cognito untuk Dasbor menggunakan CognitoAccessForAmazonOpenSearch peran dan menyediakan akses domain ke: Cognito_Auth_Role

aws opensearch create-domain --domain-name my-domain --region us-east-1 --access-policies '{ "Version":"2012-10-17", "Statement":[{"Effect":"Allow","Principal":{"AWS": ["arn:aws:iam::123456789012:role/Cognito_Auth_Role"]},"Action":"es:ESHttp*","Resource":"arn:aws:es:us-east-1:123456789012:domain/*" }]}' --engine-version "OpenSearch_1.0" --cluster-config InstanceType=m4.xlarge.search,InstanceCount=1 --ebs-options EBSEnabled=true,VolumeSize=10 --cognito-options Enabled=true,UserPoolId="us-east-1_123456789",IdentityPoolId="us-east-1:12345678-1234-1234-1234-123456789012",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Setelah domain selesai diproses, lihat Mengizinkan peran terautentikasi dan Mengonfigurasi penyedia identitas untuk langkah-langkah konfigurasi tambahan.

Mengonfigurasi Autentikasi Amazon Cognito (SDK AWS)

AWSSDK (kecuali SDK Android dan iOS) mendukung semua operasi yang ditentukan dalam Referensi API OpenSearch Layanan Amazon, termasuk CognitoOptions parameter untuk CreateDomain dan UpdateDomainConfig operasi. Untuk informasi selengkapnya tentang menginstal dan menggunakan SDK AWS, lihat AWSKit Pengembangan Perangkat Lunak.

Setelah domain selesai diproses, lihat Mengizinkan peran terautentikasi dan Mengonfigurasi penyedia identitas untuk langkah-langkah konfigurasi tambahan.

Mengizinkan peran terautentikasi

Secara default, peran IAM terautentikasi yang Anda konfigurasikan dengan mengikuti pedoman di Tentang kolam identitas tidak memiliki hak istimewa yang diperlukan untuk mengakses Dasbor. OpenSearch Anda harus memberikan peran dengan izin tambahan.

Anda dapat menyertakan izin ini dalam kebijakan berbasis identitas, tetapi kecuali Anda ingin pengguna yang diautentikasi memiliki akses ke semua domain OpenSearch Layanan, kebijakan berbasis sumber daya yang dilampirkan ke satu domain adalah pendekatan yang lebih baik.

UntukPrincipal, tentukan ARN dari peran terautentikasi Cognito yang Anda konfigurasikan dengan pedoman. Tentang kolam identitas

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam::123456789012:role/Cognito_identitypoolnameAuth_Role"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789012:domain/domain-name/*"
      }
   ]
}

Untuk petunjuk tentang menambahkan kebijakan berbasis sumber daya ke domain OpenSearch Layanan, lihat. Mengonfigurasi kebijakan akses

Mengonfigurasi penyedia identitas

Saat Anda mengonfigurasi domain untuk menggunakan autentikasi Amazon Cognito untuk Dasbor, OpenSearch Layanan menambahkan klien aplikasi ke kumpulan pengguna dan menambahkan kumpulan pengguna ke kumpulan identitas sebagai penyedia autentikasi.

Tergantung pada bagaimana Anda mengonfigurasi kolam pengguna, Anda mungkin perlu membuat akun pengguna secara manual, atau pengguna mungkin dapat membuatnya sendiri. Jika pengaturan ini dapat diterima, Anda tidak perlu melakukan tindakan lebih lanjut. Banyak orang, bagaimanapun, lebih memilih untuk menggunakan penyedia identitas eksternal.

Untuk mengaktifkan penyedia identitas SAML 2.0, Anda harus menyediakan dokumen metadata SAML. Untuk mengaktifkan penyedia identitas sosial seperti Login with Amazon, Facebook, dan Google, Anda harus memiliki ID aplikasi dan rahasia aplikasi dari penyedia layanan tersebut. Anda dapat mengaktifkan kombinasi penyedia identitas.

Cara termudah untuk mengonfigurasi kolam pengguna Anda adalah dengan menggunakan konsol Amazon Cognito. Untuk instruksi, lihat Menggunakan Federasi dari Kolam Pengguna dan Menentukan Pengaturan Penyedia Identitas untuk Aplikasi Kolam Pengguna Anda di Panduan Developer Amazon Cognito.

(Opsional) Mengonfigurasi akses terperinci

Anda mungkin telah memperhatikan bahwa pengaturan kolam identitas default menetapkan setiap pengguna yang mencatat dalam IAM role yang sama (Cognito_identitypoolAuth_Role), yang berarti bahwa setiap pengguna dapat mengakses sumber daya AWS yang sama. Jika Anda ingin menggunakan kontrol akses detail dengan Amazon Cognito—misalnya, jika Anda ingin analis organisasi Anda memiliki akses hanya-baca ke beberapa indeks, tetapi developer memiliki akses tulis ke semua indeks—Anda memiliki dua opsi:

Untuk panduan yang mencakup kontrol akses detail, lihat Tutorial: Konfigurasikan domain dengan pengguna master IAM dan otentikasi Amazon Cognito.

Kelompok pengguna dan token

Bila Anda membuat grup pengguna, Anda memilih IAM role untuk anggota grup. Untuk informasi tentang membuat grup, lihat Grup Pengguna di Panduan Developer Amazon Cognito.

Setelah Anda membuat satu grup pengguna atau lebih, Anda dapat mengonfigurasi penyedia autentikasi Anda untuk menetapkan peran pengguna grup mereka daripada peran default kolam identitas. Pilih Pilih peran dari token, lalu pilih Gunakan peran default yang Diautentikasi atau DENY untuk menentukan cara kumpulan identitas menangani pengguna yang bukan bagian dari grup.

Aturan

Aturan pada dasarnya adalah serangkaian pernyataan if bahwa Amazon Cognito mengevaluasi secara berurutan. Misalnya, jika alamat email pengguna berisi @corporate, Amazon Cognito menetapkan pengguna tersebut Role_A. Jika alamat email pengguna berisi @subsidiary, maka menetapkan pengguna tersebut Role_B. Jika tidak, maka menetapkan pengguna menjadi peran terautentikasi default.

Untuk mempelajari selengkapnya, lihat Menggunakan Pemetaan Berbasis Aturan untuk Menetapkan Peran untuk Pengguna di Panduan Developer Amazon Cognito.

(Opsional) Menyesuaikan halaman masuk

Anda dapat menggunakan konsol Amazon Cognito untuk mengunggah logo khusus dan membuat perubahan CSS ke halaman masuk. Untuk petunjuk dan daftar lengkap properti CSS, lihat Menentukan Pengaturan Kustomisasi UI Aplikasi untuk Kolam Pengguna Anda di Panduan Developer Amazon Cognito.

(Opsional) Mengonfigurasi keamanan tingkat lanjut

Kolam pengguna Amazon Cognito mendukung fitur keamanan canggih seperti autentikasi multi-faktor, pemeriksaan kredensial yang dikompromikan, dan autentikasi adaptif. Untuk mempelajari selengkapnya, lihat Mengelola Keamanan di Panduan Developer Amazon Cognito.

Pengujian

Setelah Anda puas dengan konfigurasi Anda, verifikasi bahwa pengalaman pengguna memenuhi harapan Anda.

Jika ada langkah dari proses ini yang gagal, lihat Masalah konfigurasi umum untuk informasi pemecahan masalah.

Quotas

Amazon Cognito memiliki batas lunak pada banyak sumber dayanya. Jika Anda ingin mengaktifkan otentikasi Dasbor untuk sejumlah besar domain OpenSearch Layanan, tinjau Kuota di Amazon Cognito dan minta kenaikan batas seperlunya.

Setiap domain OpenSearch Layanan menambahkan klien aplikasi ke kumpulan pengguna, yang menambahkan penyedia autentikasi ke kumpulan identitas. Jika Anda mengaktifkan autentikasi OpenSearch Dasbor untuk lebih dari 10 domain, Anda mungkin menemukan batas “penyedia kumpulan pengguna Amazon Cognito maksimum per kumpulan identitas”. Jika Anda melebihi batas, domain OpenSearch Layanan apa pun yang Anda coba konfigurasikan untuk menggunakan autentikasi Amazon Cognito untuk Dasbor dapat macet dalam status konfigurasi Pemrosesan.

Masalah konfigurasi umum

Tabel berikut mencantumkan masalah konfigurasi umum dan solusinya.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

aws cognito-idp list-user-pools --max-results 60 --region region

aws cognito-identity list-identity-pools --max-results 60 --region region

aws cognito-idp create-user-pool-domain --domain name --user-pool-id id

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "identity-pool-id"
      },
      "ForAnyValue:StringLike": {
        "cognito-identity.amazonaws.com:amr": "authenticated"
      }
    }
  }]
}

Menonaktifkan otentikasi Amazon Cognito untuk Dasbor OpenSearch

Gunakan prosedur berikut untuk menonaktifkan otentikasi Amazon Cognito untuk Dasbor.

Menghapus domain yang menggunakan autentikasi Amazon Cognito untuk Dasbor OpenSearch

Untuk mencegah domain yang menggunakan autentikasi Amazon Cognito untuk Dasbor macet dalam status konfigurasi Pemrosesan, OpenSearch hapus domain Layanan sebelum menghapus kumpulan pengguna dan identitas Amazon Cognito terkait.