Otentikasi SAML untuk Dasbor OpenSearch

Otentikasi SAML untuk OpenSearch Dasbor memungkinkan Anda menggunakan penyedia identitas yang ada untuk menawarkan sistem masuk tunggal (SSO) untuk Dasbor di domain OpenSearch Layanan Amazon yang berjalan OpenSearch atau Elasticsearch 6.7 atau yang lebih baru. Untuk menggunakan autentikasi SAML, Anda harus mengaktifkan Kontrol akses detail.

Alih-alih mengotentikasi melalui Amazon Cognito atau database pengguna internal, otentikasi SAML untuk OpenSearch Dasbor memungkinkan Anda menggunakan penyedia identitas pihak ketiga untuk masuk ke Dasbor, mengelola kontrol akses yang halus, mencari data Anda, dan membuat visualisasi. OpenSearch Layanan mendukung penyedia yang menggunakan standar SAML 2.0, seperti Okta, Keycloak, Microsoft Entra ID, Active Directory Federation Services (ADFS), Auth0, dan. AWS IAM Identity Center

Otentikasi SAML untuk Dasbor hanya untuk mengakses OpenSearch Dasbor melalui browser web. KredenSIAL SAML Anda tidak memungkinkan Anda membuat permintaan HTTP langsung ke API Das OpenSearch bor atau.

Gambaran umum konfigurasi SAML

Dokumentasi ini mengasumsikan bahwa Anda memiliki penyedia identitas yang ada dan beberapa keakraban dengannya. Kami tidak dapat memberikan langkah-langkah konfigurasi terperinci untuk penyedia Anda yang tepat, hanya untuk domain OpenSearch Layanan Anda.

Alu OpenSearch r login dasbor dapat mengambil salah satu dari dua bentuk:

OpenSearch Layanan menyediakan dua URL masuk tunggal, SP-initiated dan IdP-initiated, tetapi Anda hanya perlu satu yang sesuai dengan alur login Dasbor yang Anda OpenSearch inginkan.

Apa pun jenis autentikasi yang Anda gunakan, tujuannya adalah untuk login melalui penyedia identitas dan menerima pernyataan SAML yang berisi nama pengguna Anda (wajib) dan peran backend (opsional, tetapi direkomendasikan). Informasi ini memungkinkan kontrol akses detail untuk menetapkan izin bagi pengguna SAML. Dalam penyedia identitas eksternal, peran backend biasanya disebut “peran” atau “grup”.

Pertimbangan-pertimbangan

Pertimbangkan hal berikut saat Anda mengonfigurasi otentikasi SAML:

Otentikasi SAML untuk domain VPC

SAML tidak memerlukan komunikasi langsung antara penyedia identitas Anda dan penyedia layanan Anda. Oleh karena itu, meskipun OpenSearch domain Anda di-host dalam VPC pribadi, Anda masih dapat menggunakan SAML selama browser Anda dapat berkomunikasi dengan OpenSearch cluster dan penyedia identitas Anda. Browser Anda pada dasarnya bertindak sebagai perantara antara penyedia identitas Anda dan penyedia layanan Anda. Untuk diagram berguna yang menjelaskan alur otentikasi SAML, lihat dokumentasi Okta.

Memodifikasi kebijakan akses domain

Sebelum mengonfigurasi otentikasi SAML, Anda harus memperbarui kebijakan akses domain untuk mengizinkan pengguna SAML mengakses domain. Jika tidak, Anda akan melihat kesalahan akses ditolak.

Kami merekomendasikan kebijakan akses domain berikut, yang menyediakan akses penuh ke subresource (/*) pada domain:

Untuk membuat kebijakan lebih ketat, Anda dapat menambahkan kondisi alamat IP ke kebijakan. Kondisi ini membatasi akses hanya ke rentang alamat IP atau subnet yang ditentukan. Misalnya, kebijakan berikut mengizinkan akses hanya dari 192.0.2. 0/24subnet:

Mengkonfigurasi SP- atau IdP-initiated otentikasi

Langkah-langkah ini menjelaskan cara mengaktifkan otentikasi SAML dengan SP-initiated atau IdP-initiated otentikasi untuk OpenSearch Dasbor. Untuk langkah tambahan yang diperlukan untuk mengaktifkan keduanya, lihat Mengon figurasi SP- dan IdP-initiated otentikasi.

Langkah 1: Aktifkan otentikasi SAML

Anda dapat mengaktifkan otentikasi SAML baik selama pembuatan domain, atau dengan memilih Tind akan, Edit konfigurasi keamanan pada domain yang ada. Langkah-langkah berikut sedikit berbeda tergantung mana yang Anda pilih.

Dalam konfigurasi domain, di bawah Otentikasi SAML untuk OpenSearch Dashboards/Kibana, pilih Aktifkan otentikasi SAML.

Langkah 2: Konfigurasikan penyedia identitas Anda

Lakukan langkah-langkah berikut tergantung kapan Anda mengonfigurasi otentikasi SAML.

Jika Anda membuat domain baru

Jika Anda sedang dalam proses membuat domain baru, OpenSearch Layanan belum dapat membuat ID entitas penyedia layanan atau URL SSO. Penyedia identitas Anda memerlukan nilai-nilai ini untuk mengaktifkan otentikasi SAML dengan benar, tetapi nilai-nilai tersebut hanya dapat dibuat setelah domain dibuat. Untuk mengatasi interdependensi ini selama pembuatan domain, Anda dapat memberikan nilai sementara ke dalam konfigurasi IdP untuk menghasilkan metadata yang diperlukan dan kemudian memperbaruinya setelah domain Anda aktif.

Jika Anda menggunakan titik akhir khusus, Anda dapat menyimpulkan seperti apa URL-nya. Misalnya, jika titik akhir kustom Anda adalahwww.custom-endpoint.com, ID entitas penyedia layanan akan menjadiwww.custom-endpoint.com, URL IdP-initiated SSO akanwww.custom-endpoint.com/_dashboards/_opendistro/_security/saml/acs/idpinitiated, dan URL SS SP-initiated O akan menjadi. www.custom-endpoint.com/_dashboards/_opendistro/_security/saml/acs Anda dapat menggunakan nilai untuk mengonfigurasi penyedia identitas Anda sebelum domain dibuat. Lihat bagian selanjutnya untuk contoh.

Jika Anda tidak menggunakan titik akhir khusus, Anda dapat memasukkan nilai sementara ke IdP untuk menghasilkan metadata yang diperlukan, lalu memperbaruinya nanti setelah domain aktif.

Misalnya, dalam Okta, Anda dapat memasukkan https://temp-endpoint.amazonaws.com ke dalam bidang Single sign on URL dan Audience URI (SP Entity ID), yang memungkinkan Anda menghasilkan metadata. Kemudian, setelah domain aktif, Anda dapat mengambil nilai yang benar dari OpenSearch Layanan dan memperbaruinya di Okta. Untuk petunjuk, lihat Langkah 6: Perbarui URL IdP Anda.

Jika Anda mengedit domain yang sudah ada

Jika Anda mengaktifkan otentikasi SAML pada domain yang ada, salin ID entitas penyedia layanan dan salah satu URL SSO. Untuk panduan tentang URL mana yang akan digunakan, lihatGambaran umum konfigurasi SAML.

Gunakan nilai untuk mengonfigurasi penyedia identitas Anda. Bagian ini merupakan proses yang paling rumit, dan sayangnya, terminologi dan langkah-langkah sangat bervariasi berdasarkan penyedia. Baca dokumentasi dari penyedia Anda.

Di Okta, misalnya, Anda membuat aplikasi web SAML 2.0. Untuk URL tanda tangan tunggal, tentukan URL SSO. Untuk URI audiens (ID Entitas SP, tentukan ID entitas SP.

Okta memiliki pengguna dan grup, bukan pengguna dan peran backend. Untuk Pernyataan Atribut Grup, sebaiknya tambahkan role ke bidang Nama dan ekspresi regul .+ er ke bidang Filter. Pernyataan ini memberi tahu penyedia identitas Okta untuk memasukkan semua grup pengguna pada bidang role dari penegasan SAML setelah pengguna mengautentikasi.

Di Pusat Identitas IAM, Anda menentukan ID entitas SP sebagai audiens SAML Aplikasi. Anda juga perlu menentukan pemetaan atribut berikut: Subject=${user:subject}:format=unspecified dan. Role=${user:groups}:format=uri

Di Auth0, Anda membuat aplikasi web biasa dan mengaktifkan add-on SAML 2.0. Di Keycloak, Anda membuat klien.

Langkah 3: Impor metadata IdP

Setelah Anda konfigurasi, penyedia identitas akan menghasilkan file metadata IdP. File XML ini berisi informasi tentang penyedia, seperti sertifikat TLS, titik akhir masuk tunggal, dan ID entitas penyedia identitas.

Salin isi file metadata IdP dan tempelkan ke kolom Metadata dari IdP di konsol OpenSearch Layanan. Sebagai alternatif, pilih Impor dari file XML dan unggah file. File metadata harus terlihat seperti ini:

<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor entityID="entity-id" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata">
  <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
          <ds:X509Certificate>tls-certificate</ds:X509Certificate>
        </ds:X509Data>
      </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="idp-sso-url"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="idp-sso-url"/>
  </md:IDPSSODescriptor>
</md:EntityDescriptor>

Langkah 4: Konfigurasikan bidang SAML

Setelah Anda memasukkan metadata IdP Anda, konfigurasikan bidang tambahan berikut dalam konsol OpenSearch Layanan:

Banyak penyedia identitas memungkinkan Anda melihat pernyataan sampel selama proses konfigurasi, dan alat seperti SAML-tracer dapat membantu Anda memeriksa dan memecahkan masalah konten pernyataan nyata. Penegasan terlihat seperti ini:

<?xml version="1.0" encoding="UTF-8"?>
<saml2:Assertion ID="id67229299299259351343340162" IssueInstant="2020-09-22T22:03:08.633Z" Version="2.0"
  xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
  <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">idp-issuer</saml2:Issuer>
  <saml2:Subject>
    <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">username</saml2:NameID>
    <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
      <saml2:SubjectConfirmationData NotOnOrAfter="2020-09-22T22:08:08.816Z" Recipient="domain-endpoint/_dashboards/_opendistro/_security/saml/acs"/>
    </saml2:SubjectConfirmation>
  </saml2:Subject>
  <saml2:Conditions NotBefore="2020-09-22T21:58:08.816Z" NotOnOrAfter="2020-09-22T22:08:08.816Z">
    <saml2:AudienceRestriction>
      <saml2:Audience>domain-endpoint</saml2:Audience>
    </saml2:AudienceRestriction>
  </saml2:Conditions>
  <saml2:AuthnStatement AuthnInstant="2020-09-22T19:54:37.274Z">
    <saml2:AuthnContext>
      <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
    </saml2:AuthnContext>
  </saml2:AuthnStatement>
  <saml2:AttributeStatement>
    <saml2:Attribute Name="role" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
      <saml2:AttributeValue
        xmlns:xs="http://www.w3.org/2001/XMLSchema"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">GroupName Match Matches regex ".+" (case-sensitive)
      </saml2:AttributeValue>
    </saml2:Attribute>
  </saml2:AttributeStatement>
</saml2:Assertion>

Langkah 5: (Opsional) Konfigurasikan pengaturan tambahan

Di bawah Pengaturan tambahan, konfigurasikan bidang opsional berikut:

Setelah Anda puas dengan konfigurasi Anda, simpan domain.

Langkah 6: Perbarui URL IdP Anda

Jika Anda mengaktifkan otentikasi SAML saat membuat domain, Anda harus menentukan URL sementara dalam IdP Anda untuk menghasilkan file metadata XML. Setelah status domain berubah menjadiActive, Anda bisa mendapatkan URL yang benar dan memodifikasi IdP Anda.

Untuk mengambil URL, pilih domain dan pilih Tindakan , Edit konfigurasi keamanan. Di bawah Otentikasi SAML untuk OpenSearch Dashboards/Kibana, Anda dapat menemukan ID entitas penyedia layanan dan URL SSO yang benar. Salin nilai dan gunakan untuk mengonfigurasi penyedia identitas Anda, menggantikan URL sementara yang Anda berikan pada langkah 2.

Langkah 7: Petakan pengguna SAML ke peran

Setelah status domain Anda Aktif dan IdP Anda dikonfigurasi dengan benar, navigasikan ke OpenSearch Dasbor.

Dalam kedua kasus, login sebagai pengguna utama SAML atau pengguna yang termasuk dalam peran backend utama SAML. Untuk melanjutkan contoh dari langkah 7, login sebagai jdoe atau anggota grup admins.

Setelah OpenSearch Dasbor dimuat, pilih Keamanan, Peran. Kemudian, petakan peran untuk memungkinkan pengguna lain mengakses OpenSearch Dasbor.

Misalnya, Anda dapat memetakan rekan Anda yang tepercaya jroe ke peran all_access dan security_manager. Anda juga dapat memetakan peran backend analysts ke peran readall dan opensearch_dashboards_user.

Jika Anda lebih suka menggunakan API daripada OpenSearch Dasbor, lihat permintaan sampel berikut:

PATCH _plugins/_security/api/rolesmapping
[
  {
    "op": "add", "path": "/security_manager", "value": { "users": ["master-user", "jdoe", "jroe"], "backend_roles": ["admins"] }
  },
  {
    "op": "add", "path": "/all_access", "value": { "users": ["master-user", "jdoe", "jroe"], "backend_roles": ["admins"] }
  },
  {
    "op": "add", "path": "/readall", "value": { "backend_roles": ["analysts"] }
  },
  {
    "op": "add", "path": "/opensearch_dashboards_user", "value": { "backend_roles": ["analysts"] }
  }
]

Mengkonfigurasi SP- dan IdP-initiated otentikasi

Jika Anda ingin mengonfigurasi SP- dan IdP-initiated otentikasi, Anda harus melakukannya melalui penyedia identitas Anda. Misalnya, di Okta, Anda dapat melakukan langkah-langkah berikut:

Mengkonfigurasi otentikasi SAML (AWS CLI)

Per AWS CLI intah berikut mengaktifkan otentikasi SAML untuk OpenSearch Dasbor pada domain yang ada:

aws opensearch update-domain-config \
  --domain-name my-domain \
  --advanced-security-options '{"SAMLOptions":{"Enabled":true,"MasterUserName":"my-idp-user","MasterBackendRole":"my-idp-group-or-role","Idp":{"EntityId":"entity-id","MetadataContent":"metadata-content-with-quotes-escaped"},"RolesKey":"optional-roles-key","SessionTimeoutMinutes":180,"SubjectKey":"optional-subject-key"}}'

Anda harus mengeluarkan semua tanda kutip dan karakter baris baru dalam XML metadata. Misalnya, gunakan <KeyDescriptor use=\"signing\">\n sebagai ganti <KeyDescriptor use="signing"> dan pemisah baris. Untuk informasi detail cara menggunakan AWS CLI, lihat Referensi Perintah AWS CLI.

Mengkonfigurasi otentikasi SAML (API konfigurasi)

Permintaan berikut ke API konfigurasi mengaktifkan otentikasi SAML untuk OpenSearch Dasbor pada domain yang ada:

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "SAMLOptions": {
      "Enabled": true,
      "MasterUserName": "my-idp-user",
      "MasterBackendRole": "my-idp-group-or-role",
      "Idp": {
        "EntityId": "entity-id",
        "MetadataContent": "metadata-content-with-quotes-escaped"
      },
      "RolesKey": "optional-roles-key",
      "SessionTimeoutMinutes": 180,
      "SubjectKey": "optional-subject-key"
    }
  }
}

Anda harus mengeluarkan semua tanda kutip dan karakter baris baru dalam XML metadata. Misalnya, gunakan <KeyDescriptor use=\"signing\">\n sebagai ganti <KeyDescriptor use="signing"> dan pemisah baris. Untuk informasi terperinci tentang penggunaan API konfigurasi, lihat referensi API OpenSearch Layanan.

Memecahkan masalah SAML

GET _plugins/_security/api/rolesmapping

Mengaktifkan autentikasi SAML