Autenticazione e autorizzazione JWT per Amazon Service OpenSearch

Amazon OpenSearch Service ora consente di utilizzare JSON Web Tokens (JWTs) per l'autenticazione e l'autorizzazione. JWTs sono token di accesso basati su JSON utilizzati per concedere l'accesso Single Sign-On (SSO). È possibile utilizzare JWTs in OpenSearch Service per creare token Single Sign-on per convalidare le richieste al dominio del Servizio. OpenSearch Per utilizzarlo JWTs, è necessario che il controllo granulare degli accessi sia abilitato e fornire una chiave pubblica valida in formato RSA o ECDSA PEM. Per ulteriori informazioni sul controllo granulare degli accessi, consulta Controllo granulare degli accessi in Amazon Service. OpenSearch

Puoi configurare i token Web JSON utilizzando la console di OpenSearch servizio, il () o il. AWS Command Line Interface AWS CLI AWS SDKs

Considerazioni

Prima di JWTs utilizzarlo con Amazon OpenSearch Service devi considerare quanto segue:

Modifica della policy di accesso al dominio

Prima di poter configurare il dominio per utilizzare l'autenticazione e l'autorizzazione JWT, è necessario aggiornare la politica di accesso al dominio per consentire agli utenti JWT di accedere al dominio. Altrimenti, tutte le richieste autorizzate JWT in entrata vengono rifiutate. La politica di accesso al dominio consigliata per fornire l'accesso completo alle risorse secondarie (/*) è:

Configurazione dell'autenticazione e dell'autorizzazione JWT

È possibile abilitare l'autenticazione e l'autorizzazione JWT durante il processo di creazione del dominio o aggiornando un dominio esistente. I passaggi di configurazione variano leggermente a seconda dell'opzione scelta.

I passaggi seguenti spiegano come configurare un dominio esistente per l'autenticazione e l'autorizzazione JWT nella console di OpenSearch servizio:

Utilizzo di un endpoint JWKS per convalidare un JWT

Invece di configurare una chiave pubblica statica, puoi configurare un URL endpoint JSON Web Key Set (JWKS) per recuperare dinamicamente le chiavi pubbliche dal tuo provider di identità. Quando viene configurato un endpoint JWKS, OpenSearch Service recupera e memorizza automaticamente nella cache le chiavi pubbliche utilizzate per convalidare le firme JWT, eliminando la necessità di aggiornare manualmente le chiavi quando il provider di identità ruota le chiavi di firma.

La configurazione degli endpoint JWKS richiede la versione 3.3 o successiva. OpenSearch

Compatibilità con le versioni precedenti

Questa funzionalità mantiene la piena compatibilità con le versioni precedenti:

Configurazione di un endpoint JWKS

È possibile configurare un endpoint JWKS utilizzando la console di OpenSearch servizio, o l'API di configurazione. AWS CLI

aws opensearch update-domain-config \
  --domain-name my-domain \
  --advanced-security-options '{"JWTOptions":{"Enabled":true, "JwksUrl":"https://example.com/.well-known/jwks.json", "SubjectKey":"sub", "RolesKey":"roles"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "JwksUrl": "https://example.com/.well-known/jwks.json",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
    }
  }
}

Requisiti dell'intestazione JWT

Quando si utilizza un endpoint JWKS, l'intestazione JWT deve includere un ID chiave (kid) che identifica la chiave specifica da utilizzare per la verifica:

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "V-diposfUJIk5jDBFi_QRouiVinG5PowskcSWy5EuCo"
}

Il kid valore deve corrispondere a un identificatore chiave nella risposta dell'endpoint JWKS.

Per ulteriori informazioni sulle opzioni di configurazione e sulle impostazioni di sicurezza di JWKS, consulta Utilizzo di un endpoint JWKS per convalidare un JWT nella documentazione. OpenSearch

Utilizzo di un JWT per inviare una richiesta di test

Dopo aver creato un nuovo JWT con una coppia di soggetto e ruolo specificata, puoi inviare una richiesta di test. Per fare ciò, usa la chiave privata per firmare la tua richiesta tramite lo strumento che ha creato il JWT. OpenSearch Il servizio è in grado di convalidare la richiesta in arrivo verificando questa firma.

Di seguito è riportato un esempio di come utilizzare un token JWT per accedere al OpenSearch servizio tramite l'endpoint di ricerca del dominio:

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}