Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

SAMLautenticazione per Amazon OpenSearch Serverless

Con SAML l'autenticazione per Amazon OpenSearch Serverless, puoi utilizzare il tuo provider di identità esistente per offrire single sign-on (SSO) per gli endpoint OpenSearch Dashboard delle raccolte serverless.

SAMLl'autenticazione consente di utilizzare provider di identità di terze parti per accedere alle OpenSearch dashboard per indicizzare e cercare dati. OpenSearch Serverless supporta i provider che utilizzano lo standard SAML 2.0, come IAM Identity Center, Okta, Keycloak, Active Directory Federation Services (AD FS) e Auth0. È possibile configurare IAM Identity Center per sincronizzare utenti e gruppi da altre fonti di identità come Okta e Microsoft Entra ID. OneLogin Per un elenco delle fonti di identità supportate da IAM Identity Center e i passaggi per configurarle, consulta i tutorial introduttivi nella Guida per l'utente di IAMIdentity Center.

Per configurare SAML l'autenticazione, devi prima configurare un provider di SAML identità (IdP). Quindi includi uno o più utenti di quell'IdP in una policy di accesso ai dati. Questa policy gli concede determinate autorizzazioni per le raccolte e/o gli indici. Un utente può quindi accedere alle OpenSearch dashboard ed eseguire le azioni consentite nella politica di accesso ai dati.

Considerazioni

Quando SAML configuri l'autenticazione, considera quanto segue:

Autorizzazioni richieste

SAMLl'autenticazione per OpenSearch Serverless utilizza quanto segue AWS Identity and Access Management (IAM) autorizzazioni:

La seguente policy di accesso basata sull'identità consente a un utente di gestire tutte le configurazioni dell'IdP:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Nota bene: l'elemento Resource deve essere un carattere jolly.

Creazione SAML di provider (console)

Questi passaggi spiegano come creare SAML provider. Ciò consente SAML l'autenticazione con l'autenticazione avviata dal provider di servizi (SP) per i OpenSearch dashboard. L'autenticazione avviata dall'IdP non è supportata.

Accesso ai OpenSearch pannelli di controllo

Dopo aver configurato un SAML provider, tutti gli utenti e i gruppi associati a tale provider possono accedere all'endpoint OpenSearch Dashboards. The Dashboards URL ha il formato collection-endpoint/_dashboards/ per tutte le raccolte.

Se l'hai SAML abilitato, selezionando il link nella AWS Management Console ti indirizza alla pagina di selezione dell'IdP, dove puoi accedere utilizzando SAML le tue credenziali. Innanzitutto, utilizza il menu a discesa per selezionare un provider di identità:

Quindi accedi utilizzando le tue credenziali IdP.

Se non l'hai SAML abilitato, selezionando il link nel AWS Management Console ti indirizza ad accedere come IAM utente o ruolo, senza alcuna opzione perSAML.

Concedere SAML alle identità l'accesso ai dati della raccolta

Dopo aver creato un SAML provider, devi comunque concedere agli utenti e ai gruppi sottostanti l'accesso ai dati all'interno delle tue raccolte. L'accesso viene concesso tramite le policy di accesso ai dati. Finché non fornisci l'accesso agli utenti, questi non saranno in grado di leggere, scrivere o eliminare alcun dato contenuto nelle raccolte.

Per concedere l'accesso, crea una politica di accesso ai dati e specifica il tuo SAML utente e/o gruppo IDs nella Principal dichiarazione:

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

Puoi concedere l'accesso a raccolte, a indici o a entrambi. Se desideri che utenti diversi dispongano di autorizzazioni diverse, crea più regole. Per un elenco di autorizzazioni disponibili, consulta la sezione Supported policy permissions (Autorizzazioni di policy supportate). Per ulteriori informazioni sul formato di una policy di accesso, consulta la sezione Policy syntax (Sintassi della policy).

Creazione SAML di fornitori (AWS CLI)

Per creare un SAML provider utilizzando OpenSearch ServerlessAPI, invia una CreateSecurityConfigrichiesta:

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

Specificatesaml-options, inclusi i metadatiXML, come mappa chiave-valore all'interno di un file.json. I metadati XML devono essere codificati come stringa di escape. JSON

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

SAMLVisualizzazione dei provider

La seguente ListSecurityConfigsrichiesta elenca tutti i SAML provider del tuo account:

aws opensearchserverless list-security-configs --type saml

La richiesta restituisce informazioni su tutti i SAML provider esistenti, inclusi i metadati IdP completi generati dal provider di identità:

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

Per visualizzare i dettagli su un provider specifico, inclusa la configVersion per gli aggiornamenti futuri, invia una richiesta GetSecurityConfig.

Aggiornamento dei provider SAML

Per aggiornare un SAML provider utilizzando la console OpenSearch Serverless, scegli SAMLl'autenticazione, seleziona il tuo provider di identità e scegli Modifica. Puoi modificare tutti i campi, inclusi i metadati e gli attributi personalizzati.

Per aggiornare un provider tramite OpenSearch ServerlessAPI, invia una UpdateSecurityConfigrichiesta e includi l'identificatore della politica da aggiornare. Inoltre, è necessario includere una versione di configurazione, che è possibile recuperare utilizzando i comandi ListSecurityConfigs o GetSecurityConfig. L'inclusione della versione più recente garantisce di non sovrascrivere inavvertitamente una modifica apportata da qualcun altro.

La seguente richiesta aggiorna le SAML opzioni per un provider:

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

Specificate le opzioni di SAML configurazione come mappa chiave-valore all'interno di un file.json.

Eliminazione dei provider SAML

Quando si elimina un SAML provider, qualsiasi riferimento a utenti e gruppi associati nelle politiche di accesso ai dati non è più funzionale. Per evitare confusione, nelle policy di accesso ti suggeriamo di rimuovere tutti i riferimenti all'endpoint prima di eliminarlo.

Per eliminare un SAML provider utilizzando la console OpenSearch Serverless, scegli Autenticazione, seleziona il provider e scegli Elimina.

Per eliminare un provider tramite OpenSearch ServerlessAPI, invia una DeleteSecurityConfigrichiesta:

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider