Kontrol akses berbutir halus di Layanan Amazon OpenSearch

Kontrol akses berbutir halus menawarkan cara tambahan untuk mengontrol akses ke data Anda di Layanan Amazon. OpenSearch Misalnya, bergantung pada siapa yang membuat permintaan, Anda mungkin ingin penelusuran mengembalikan hasil hanya dari satu indeks. Anda mungkin ingin menyembunyikan bidang tertentu dalam dokumen Anda atau mengecualikan dokumen tertentu sama sekali.

Kontrol akses detail menawarkan manfaat sebagai berikut:

Gambaran yang lebih besar: kontrol akses berbutir halus dan keamanan Layanan OpenSearch

Keamanan Amazon OpenSearch Service memiliki tiga lapisan utama:

Diagram berikut mengilustrasikan konfigurasi umum: domain akses VPC dengan kontrol akses berbutir halus diaktifkan, kebijakan akses berbasis IAM, dan pengguna master IAM.

Diagram berikut menggambarkan konfigurasi umum lainnya: domain akses publik dengan kontrol akses halus diaktifkan, kebijakan akses yang tidak menggunakan prinsip IAM, dan pengguna master dalam database pengguna internal.

Contoh

Pertimbangkan permintaan GET ke movies/_search?q=thor. Apakah pengguna memiliki izin untuk mencari indeks movies? Jika demikian, apakah pengguna memiliki izin untuk melihat semua dokumen di dalamnya? Haruskah respons menghilangkan atau menganonimkan bidang apa pun? Untuk pengguna utama, responsnya mungkin akan terlihat seperti ini:

{
  "hits": {
    "total": 7,
    "max_score": 8.772789,
    "hits": [{
        "_index": "movies",
        "_type": "_doc",
        "_id": "tt0800369",
        "_score": 8.772789,
        "_source": {
          "directors": [
            "Kenneth Branagh",
            "Joss Whedon"
          ],
          "release_date": "2011-04-21T00:00:00Z",
          "genres": [
            "Action",
            "Adventure",
            "Fantasy"
          ],
          "plot": "The powerful but arrogant god Thor is cast out of Asgard to live amongst humans in Midgard (Earth), where he soon becomes one of their finest defenders.",
          "title": "Thor",
          "actors": [
            "Chris Hemsworth",
            "Anthony Hopkins",
            "Natalie Portman"
          ],
          "year": 2011
        }
      },
      ...
    ]
  }
}

Jika pengguna dengan izin yang lebih terbatas mengeluarkan permintaan yang sama persis, responsnya mungkin terlihat seperti ini:

{
  "hits": {
    "total": 2,
    "max_score": 8.772789,
    "hits": [{
        "_index": "movies",
        "_type": "_doc",
        "_id": "tt0800369",
        "_score": 8.772789,
        "_source": {
          "year": 2011,
          "release_date": "3812a72c6dd23eef3c750c2d99e205cbd260389461e19d610406847397ecb357",
          "plot": "The powerful but arrogant god Thor is cast out of Asgard to live amongst humans in Midgard (Earth), where he soon becomes one of their finest defenders.",
          "title": "Thor"
        }
      },
      ...
    ]
  }
}

Respons memiliki lebih sedikit klik dan lebih sedikit bidang untuk setiap klik. Juga, bidang release_date dianonimkan. Jika pengguna tanpa izin membuat permintaan yang sama, klaster mengembalikan kesalahan:

{
  "error": {
    "root_cause": [{
      "type": "security_exception",
      "reason": "no permissions for [indices:data/read/search] and User [name=limited-user, roles=[], requestedTenant=null]"
    }],
    "type": "security_exception",
    "reason": "no permissions for [indices:data/read/search] and User [name=limited-user, roles=[], requestedTenant=null]"
  },
  "status": 403
}

Jika pengguna memberikan kredensial yang tidak valid, klaster mengembalikan pengecualian Unauthorized.

Konsep utama

Saat Anda memulai dengan kontrol akses berbutir halus, pertimbangkan konsep-konsep berikut:

Tentang pengguna master

Pengguna utama di OpenSearch Layanan adalah kombinasi nama pengguna dan kata sandi, atau prinsipal IAM, yang memiliki izin penuh ke cluster yang mendasarinya OpenSearch. Seorang pengguna dianggap sebagai pengguna utama jika mereka memiliki semua akses ke OpenSearch cluster bersama dengan kemampuan untuk membuat pengguna internal, peran, dan pemetaan peran dalam OpenSearch Dasbor.

Pengguna master yang dibuat di konsol OpenSearch Layanan atau melalui CLI secara otomatis dipetakan ke dua peran yang telah ditentukan:

Dengan dua peran ini, pengguna mendapatkan akses ke tab Keamanan di OpenSearch Dasbor, tempat mereka dapat mengelola pengguna dan izin. Jika Anda membuat pengguna internal lain dan hanya memetakannya ke all_access peran, pengguna tidak memiliki akses ke tab Keamanan. Anda dapat membuat pengguna master tambahan dengan memetakannya secara eksplisit ke peran dan peran. all_access security_manager Untuk petunjuk, lihat Pengguna utama tambahan.

Saat Anda membuat pengguna master untuk domain Anda, Anda dapat menentukan salah satu prinsipal IAM yang ada, atau membuat pengguna master dalam database pengguna internal. Pertimbangkan hal berikut saat memutuskan mana yang akan digunakan:

Mengaktifkan kontrol akses detail

Aktifkan kontrol akses berbutir halus menggunakan konsol, AWS CLI, atau API konfigurasi. Untuk langkah, lihat Membuat dan mengelola domain OpenSearch Layanan Amazon.

Kontrol akses berbutir halus memerlukan OpenSearch atau Elasticsearch 6.7 atau yang lebih baru. Ini juga membutuhkan HTTPS untuk semua lalu lintas ke domain, Enkripsi data saat istirahat, dan node-to-node enkripsi. Bergantung pada cara Anda mengonfigurasi fitur lanjutan dari kontrol akses berbutir halus, pemrosesan tambahan permintaan Anda mungkin memerlukan sumber daya komputasi dan memori pada node data individual. Setelah Anda mengaktifkan kontrol akses detail, Anda tidak dapat menonaktifkannya.

Mengaktifkan kontrol akses berbutir halus pada domain yang ada

Anda dapat mengaktifkan kontrol akses berbutir halus pada domain yang ada yang berjalan OpenSearch atau Elasticsearch 6.7 atau yang lebih baru.

Perubahan tersebut memicu penerapan biru/hijau di mana kesehatan cluster menjadi merah, tetapi semua operasi cluster tetap tidak terpengaruh.

Untuk mengaktifkan kontrol akses berbutir halus pada domain yang ada (CLI)

Setel AnonymousAuthEnabled true untuk mengaktifkan periode migrasi dengan kontrol akses berbutir halus:

aws opensearch update-domain-config --domain-name test-domain --region us-east-1 \
      --advanced-security-options '{ "Enabled": true, "InternalUserDatabaseEnabled":true, "MasterUserOptions": {"MasterUserName":"master-username","MasterUserPassword":"master-password"},"AnonymousAuthEnabled": true}'

Tentang default_role

Kontrol akses berbutir halus membutuhkan pemetaan peran. Jika domain Anda menggunakan kebijakan akses berbasis identitas, OpenSearch Layanan secara otomatis memetakan pengguna Anda ke peran baru yang disebut default_role untuk membantu Anda memigrasi pengguna yang sudah ada dengan benar. Pemetaan sementara ini memastikan bahwa pengguna Anda masih dapat berhasil mengirim permintaan GET dan PUT yang ditandatangani oleh IAM hingga Anda membuat pemetaan peran Anda sendiri.

Peran tersebut tidak menambahkan kerentanan atau kekurangan keamanan apa pun ke domain OpenSearch Layanan Anda. Sebaiknya hapus peran default segera setelah Anda mengatur peran Anda sendiri dan memetakannya sesuai dengan itu.

Skenario migrasi

Tabel berikut menjelaskan perilaku untuk setiap metode otentikasi sebelum dan sesudah mengaktifkan kontrol akses berbutir halus pada domain yang ada, dan langkah-langkah yang harus diambil administrator untuk memetakan pengguna mereka dengan benar ke peran:

Mengakses OpenSearch Dasbor sebagai pengguna utama

Kontrol akses berbutir halus memiliki plugin OpenSearch Dasbor yang menyederhanakan tugas manajemen. Anda dapat menggunakan Dasbor untuk mengelola pengguna, peran, pemetaan, grup tindakan, dan penyewa. Namun, halaman login OpenSearch Dasbor dan metode otentikasi yang mendasarinya berbeda, tergantung pada cara Anda mengelola pengguna dan mengonfigurasi domain Anda.

Mengelola izin

Sebagaimana dicatat di Konsep utama, Anda mengelola izin kontrol akses detail menggunakan peran, pengguna, dan pemetaan. Bagian ini menjelaskan cara membuat dan menerapkan sumber daya tersebut. Kami menyarankan Anda masuk ke Dasbor sebagai pengguna utama untuk melakukan operasi ini.

Membuat peran

Anda dapat membuat peran baru untuk kontrol akses berbutir halus menggunakan OpenSearch Dasbor atau _plugins/_security operasi di REST API. Untuk informasi selengkapnya, lihat Membuat peran.

Kontrol akses detail juga mencakup sejumlah peran yang telah ditetapkan. Klien seperti OpenSearch Dasbor dan Logstash membuat berbagai macam permintaan OpenSearch, yang dapat menyulitkan untuk membuat peran secara manual dengan set izin minimum. Misalnya, peran opensearch_dashboards_user menyertakan izin yang pengguna perlu bekerja dengan pola indeks, visualisasi, dashboard, dan penyewa. Kami merekomendasikan untuk memetakannya ke setiap pengguna atau peran backend yang mengakses Dasbor, bersama dengan peran tambahan yang memungkinkan akses ke indeks lain.

Amazon OpenSearch Service tidak menawarkan OpenSearch peran berikut:

Amazon OpenSearch Service menawarkan beberapa peran yang tidak tersedia dengan OpenSearch:

Keamanan tingkat klaster

Izin tingkat klaster termasuk kemampuan untuk membuat permintaan yang luas seperti _mget, _msearch, dan _bulk, memantau kesehatan, mengambil snapshot, dan banyak lagi. Kelola izin ini menggunakan bagian Izin cluster saat membuat peran. Untuk daftar lengkap izin tingkat klaster, lihat Izin klaster.

Alih-alih izin individual, Anda sering dapat mencapai postur keamanan yang Anda inginkan menggunakan kombinasi grup tindakan default. Untuk daftar grup aksi tingkat klaster, lihat Tingkat klaster.

Keamanan tingkat indeks

Izin tingkat indeks termasuk kemampuan untuk membuat indeks baru, indeks pencarian, membaca dan menulis dokumen, menghapus dokumen, mengelola alias, dan banyak lagi. Kelola izin ini menggunakan bagian Izin Indeks saat membuat peran. Untuk daftar lengkap izin tingkat indeks, lihat Izin indeks.

Alih-alih izin individual, Anda sering dapat mencapai postur keamanan yang Anda inginkan menggunakan kombinasi grup tindakan default. Untuk daftar grup tindakan tingkat indeks, lihat Tingkat indeks.

Keamanan tingkat dokumen

Keamanan tingkat dokumen memungkinkan Anda membatasi dokumen mana dalam indeks yang dapat dilihat pengguna. Saat membuat peran, tentukan pola indeks dan OpenSearch kueri. Setiap pengguna yang Anda petakan ke peran tersebut dapat melihat hanya dokumen yang cocok dengan kueri. Keamanan tingkat dokumen mempengaruhi jumlah klik yang Anda terima saat Anda mencari.

Untuk informasi selengkapnya, lihat Keamanan tingkat dokumen.

Keamanan tingkat bidang

Keamanan tingkat bidang memungkinkan Anda mengontrol bidang dokumen mana yang dapat dilihat pengguna. Saat membuat peran, tambahkan daftar bidang untuk disertakan atau dikecualikan. Jika Anda menyertakan bidang, setiap pengguna yang Anda petakan ke peran tersebut hanya dapat melihat bidang tersebut. Jika Anda mengecualikan bidang, mereka dapat melihat semua bidang kecuali yang dikecualikan. Keamanan tingkat bidang memengaruhi jumlah bidang yang disertakan dalam klik saat Anda mencari..

Untuk informasi selengkapnya, lihat Keamanan tingkat lapangan.

Penyamaran bidang

Penyamaran bidang adalah alternatif untuk keamanan tingkat bidang yang memungkinkan Anda menganonimkan data di bidang daripada menghapusnya sama sekali. Saat membuat peran, tambahkan daftar bidang untuk disamarkan. Kolom penyamaran memengaruhi apakah Anda dapat melihat isi dari suatu bidang saat mencari.

Membuat pengguna

Jika Anda mengaktifkan database pengguna internal, Anda dapat membuat pengguna menggunakan OpenSearch Dasbor atau _plugins/_security operasi di REST API. Untuk informasi selengkapnya, lihat Membuat pengguna.

Jika Anda memilih IAM untuk pengguna master Anda, abaikan bagian Dasbor ini. Buat peran IAM sebagai gantinya. Untuk informasi lebih lanjut, lihat Panduan Pengguna IAM.

Memetakan peran untuk pengguna

Pemetaan peran adalah aspek yang paling penting dari kontrol akses detail. Kontrol akses detail memiliki beberapa peran yang telah ditetapkan untuk membantu Anda memulai, tetapi kecuali jika Anda memetakan peran untuk pengguna, setiap permintaan ke klaster berakhir dengan kesalahan izin.

Peran backend dapat membantu menyederhanakan proses pemetaan peran. Daripada memetakan peran yang sama ke 100 pengguna individu, Anda dapat memetakan peran tersebut ke peran backend tunggal yang dibagikan oleh 100 pengguna. Peran backend dapat berupa peran IAM atau string arbitrer.

Anda dapat memetakan peran ke pengguna menggunakan OpenSearch Dasbor atau _plugins/_security operasi di REST API. Untuk informasi selengkapnya, lihat Memetakan pengguna ke peran.

Membuat grup tindakan

Grup tindakan adalah kumpulan izin yang dapat Anda gunakan kembali di sumber daya yang berbeda. Anda dapat membuat grup tindakan baru menggunakan OpenSearch Dasbor atau _plugins/_security operasi di REST API, meskipun grup tindakan default cukup untuk sebagian besar kasus penggunaan. Untuk informasi selengkapnya tentang grup tindakan default, lihat Grup tindakan default.

OpenSearch Dasbor multi-tenancy

Penyewa adalah ruang untuk menyimpan pola indeks, visualisasi, dasbor, dan objek Dasbor lainnya. Dashboard multi-tenancy memungkinkan Anda berbagi pekerjaan dengan aman dengan pengguna Dasbor lain (atau menjaganya tetap pribadi) dan mengonfigurasi penyewa secara dinamis. Anda dapat mengontrol peran yang memiliki akses ke penyewa dan apakah peran tersebut telah membaca atau menulis akses. Penyewa global adalah default. Untuk mempelajari lebih lanjut, lihat OpenSearch Dasbor multi-tenancy.

Konfigurasi yang direkomendasikan

Karena kontrol akses detail berinteraksi dengan fitur keamanan lainnya, kami merekomendasikan beberapa konfigurasi kontrol akses detail yang bekerja dengan baik untuk sebagian besar kasus penggunaan.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    },
    {
      "Effect": "Deny",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/_dashboards*"
    }
  ]
}

Batasan

Kontrol akses detail memiliki beberapa keterbatasan penting:

Mengubah pengguna utama

Jika Anda lupa rincian pengguna utama, Anda dapat mengonfigurasi ulang menggunakan konsol, AWS CLI, atau API konfigurasi.

Pengguna utama tambahan

Anda menetapkan pengguna utama ketika Anda membuat domain, tetapi jika Anda ingin, Anda dapat menggunakan pengguna utama ini untuk membuat pengguna utama tambahan. Anda memiliki dua opsi: OpenSearch Dasbor atau REST API.

Snapshot manual

Kontrol akses detail memperkenalkan beberapa komplikasi tambahan dengan mengambil snapshot manual. Untuk mendaftarkan repositori snapshot — bahkan jika Anda menggunakan autentikasi basic HTTP untuk semua tujuan lain—Anda harus memetakan peran manage_snapshots ke IAM role yang memiliki peran izin iam:PassRole untuk mengasumsikan TheSnapshotRole, seperti yang didefinisikan dalam Prasyarat.

Kemudian gunakan IAM role tersebut untuk mengirim permintaan yang ditandatangani ke domain, seperti yang diuraikan dalam Mendaftarkan repositori snapshot manual.

Integrasi

Jika Anda menggunakan AWS layanan lain dengan OpenSearch Layanan, Anda harus memberikan peran IAM untuk layanan tersebut dengan izin yang sesuai. Misalnya, aliran pengiriman Firehose sering menggunakan peran IAM yang disebut. firehose_delivery_role Di Dasbor, buat peran untuk kontrol akses berbutir halus, dan petakan peran IAM ke sana. Dalam kasus ini, peran baru memerlukan izin berikut:

{
  "cluster_permissions": [
    "cluster_composite_ops",
    "cluster_monitor"
  ],
  "index_permissions": [{
    "index_patterns": [
      "firehose-index*"
    ],
    "allowed_actions": [
      "create_index",
      "manage",
      "crud"
    ]
  }]
}

Izin bervariasi berdasarkan tindakan yang dilakukan setiap layanan. AWS IoT Aturan atau AWS Lambda fungsi yang mengindeks data kemungkinan memerlukan izin serupa dengan Firehose, sedangkan fungsi Lambda yang hanya melakukan penelusuran dapat menggunakan set yang lebih terbatas.

Perbedaan API REST

REST API kontrol akses berbutir halus sedikit berbeda tergantung pada versi /Elasticsearch Anda OpenSearch. Sebelum membuat permintaan PUT, buat permintaan GET untuk memverifikasi isi permintaan yang diharapkan. Misalnya, permintaan GET ke _plugins/_security/api/user mengembalikan semua pengguna, yang kemudian dapat diubah dan digunakan untuk membuat permintaan PUT yang valid.

Pada Elasticsearch 6.X, permintaan untuk membuat pengguna terlihat seperti ini:

PUT _opendistro/_security/api/user/new-user
{
  "password": "some-password",
  "roles": ["new-backend-role"]
}

Pada OpenSearch atau Elasticsearch 7.x, permintaan terlihat seperti ini (ubah _plugins menjadi _opendistro jika menggunakan Elasticsearch):

PUT _plugins/_security/api/user/new-user
{
  "password": "some-password",
  "backend_roles": ["new-backend-role"]
}

Selanjutnya, penyewa adalah properti peran dalam Elasticsearch 6.X:

GET _opendistro/_security/api/roles/all_access

{
  "all_access": {
    "cluster": ["UNLIMITED"],
    "tenants": {
      "admin_tenant": "RW"
    },
    "indices": {
      "*": {
        "*": ["UNLIMITED"]
      }
    },
    "readonly": "true"
  }
}

Di OpenSearch dan Elasticsearch 7.x, mereka adalah objek dengan URI mereka sendiri (ubah _plugins ke _opendistro if menggunakan Elasticsearch)::

GET _plugins/_security/api/tenants

{
  "global_tenant": {
    "reserved": true,
    "hidden": false,
    "description": "Global tenant",
    "static": false
  }
}

Untuk dokumentasi tentang OpenSearch REST API, lihat referensi API plugin Keamanan.

curl -XGET -u 'master-user:master-user-password' 'domain-endpoint/_search'
curl -XGET -u 'master-user:master-user-password' 'domain-endpoint/_plugins/_security/api/user'