Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

SAMLotentikasi untuk Amazon Tanpa Server OpenSearch

Dengan SAML autentikasi untuk Amazon OpenSearch Tanpa Server, Anda dapat menggunakan penyedia identitas yang ada untuk menawarkan single sign-on (SSO) untuk titik akhir OpenSearch Dasbor koleksi tanpa server.

SAMLautentikasi memungkinkan Anda menggunakan penyedia identitas pihak ketiga untuk masuk ke OpenSearch Dasbor untuk mengindeks dan mencari data. OpenSearch Serverless mendukung penyedia yang menggunakan standar SAML 2.0, seperti IAM Identity Center, Okta, Keycloak, Active Directory Federation Services (AD FS), dan Auth0. Anda dapat mengonfigurasi Pusat IAM Identitas untuk menyinkronkan pengguna dan grup dari sumber identitas lain seperti Okta, OneLogin, dan Microsoft Entra ID. Untuk daftar sumber identitas yang didukung oleh Pusat IAM Identitas dan langkah-langkah untuk mengonfigurasinya, lihat Memulai tutorial di Panduan Pengguna Pusat IAM Identitas.

Untuk menyiapkan SAML otentikasi, pertama-tama Anda mengonfigurasi penyedia SAML identitas (iDP). Anda kemudian menyertakan satu atau beberapa pengguna dari IDP tersebut dalam kebijakan akses data. Kebijakan ini memberikan izin tertentu untuk koleksi dan/atau indeks. Pengguna kemudian dapat masuk ke OpenSearch Dasbor dan melakukan tindakan yang diizinkan dalam kebijakan akses data.

Pertimbangan

Pertimbangkan hal berikut saat mengonfigurasi SAML otentikasi:

Izin diperlukan

SAMLotentikasi untuk OpenSearch Serverless menggunakan berikut ini AWS Identity and Access Management (IAM) izin:

Kebijakan akses berbasis identitas berikut memungkinkan pengguna untuk mengelola semua konfigurasi IDP:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Perhatikan bahwa Resource elemen harus menjadi wildcard.

Membuat SAML penyedia (konsol)

Langkah-langkah ini menjelaskan cara membuat SAML penyedia. Ini memungkinkan SAML otentikasi dengan otentikasi yang dimulai oleh penyedia layanan (SP) untuk Dasbor. OpenSearch Otentikasi yang diprakarsai IDP tidak didukung.

Mengakses Dasbor OpenSearch

Setelah mengonfigurasi SAML penyedia, semua pengguna dan grup yang terkait dengan penyedia tersebut dapat menavigasi ke titik akhir OpenSearch Dasbor. Dasbor URL memiliki format collection-endpoint/_dashboards/ untuk semua koleksi.

Jika Anda telah SAML mengaktifkan, pilih tautan di AWS Management Console mengarahkan Anda ke halaman pilihan iDP, di mana Anda dapat masuk menggunakan SAML kredensi Anda. Pertama, gunakan dropdown untuk memilih penyedia identitas:

Kemudian masuk menggunakan kredensi IDP Anda.

Jika Anda belum SAML mengaktifkan, pilih tautan di AWS Management Console mengarahkan Anda untuk masuk sebagai IAM pengguna atau peran, tanpa opsi untukSAML.

Memberikan akses SAML identitas ke pengumpulan data

Setelah membuat SAML penyedia, Anda masih perlu memberi pengguna dan grup yang mendasarinya akses ke data dalam koleksi Anda. Anda memberikan akses melalui kebijakan akses data. Sampai Anda memberikan akses kepada pengguna, mereka tidak akan dapat membaca, menulis, atau menghapus data apa pun dalam koleksi Anda.

Untuk memberikan akses, buat kebijakan akses data dan tentukan SAML pengguna dan/atau grup Anda IDs dalam Principal pernyataan:

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

Anda dapat memberikan akses ke koleksi, indeks, atau keduanya. Jika Anda ingin pengguna yang berbeda memiliki izin yang berbeda, buat beberapa aturan. Untuk daftar izin yang tersedia, lihat Izin kebijakan yang didukung. Untuk informasi tentang cara memformat kebijakan akses, lihat Sintaks kebijakan.

Membuat SAML penyedia (AWS CLI)

Untuk membuat SAML penyedia menggunakan OpenSearch Tanpa ServerAPI, kirim permintaan: CreateSecurityConfig

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

Tentukansaml-options, termasuk metadataXML, sebagai peta nilai kunci dalam file.json. Metadata XML harus dikodekan sebagai string yang lolos. JSON

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

Melihat SAML penyedia

ListSecurityConfigsPermintaan berikut mencantumkan semua SAML penyedia di akun Anda:

aws opensearchserverless list-security-configs --type saml

Permintaan menampilkan informasi tentang semua SAML penyedia yang ada, termasuk metadata IDP lengkap yang dihasilkan oleh penyedia identitas Anda:

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

Untuk melihat detail tentang penyedia tertentu, termasuk pembaruan configVersion for future, kirim GetSecurityConfig permintaan.

Memperbarui SAML penyedia

Untuk memperbarui SAML penyedia menggunakan konsol OpenSearch Tanpa Server, pilih SAMLautentikasi, pilih penyedia identitas Anda, dan pilih Edit. Anda dapat memodifikasi semua bidang, termasuk metadata dan atribut kustom.

Untuk memperbarui penyedia melalui OpenSearch Tanpa ServerAPI, kirim UpdateSecurityConfigpermintaan dan sertakan pengenal kebijakan yang akan diperbarui. Anda juga harus menyertakan versi konfigurasi, yang dapat Anda ambil menggunakan GetSecurityConfig perintah ListSecurityConfigs atau. Menyertakan versi terbaru memastikan bahwa Anda tidak secara tidak sengaja mengesampingkan perubahan yang dilakukan oleh orang lain.

Permintaan berikut memperbarui SAML opsi untuk penyedia:

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

Tentukan opsi SAML konfigurasi Anda sebagai peta nilai kunci dalam file.json.

Menghapus penyedia SAML

Saat Anda menghapus SAML penyedia, referensi apa pun ke pengguna dan grup terkait dalam kebijakan akses data Anda tidak lagi berfungsi. Untuk menghindari kebingungan, kami sarankan Anda menghapus semua referensi ke titik akhir dalam kebijakan akses Anda sebelum menghapus titik akhir.

Untuk menghapus SAML penyedia menggunakan konsol OpenSearch Tanpa Server, pilih Otentikasi, pilih penyedia, dan pilih Hapus.

Untuk menghapus penyedia melalui OpenSearch Tanpa ServerAPI, kirim permintaan: DeleteSecurityConfig

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider