Amazon OpenSearch Service の IAM Identity Center Trusted Identity Propagation サポート

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Trusted Identity Propagation を介して一元的に設定された AWS IAM Identity Center プリンシパル (ユーザーとグループ) を使用して、OpenSearch Service アプリケーション を介して OpenSearch ドメインにアクセスできるようになりました。Amazon OpenSearch Service の IAM アイデンティティセンターのサポートを有効にするには、IAM アイデンティティセンターの使用を有効にする必要があります。これを行う方法の詳細については、「IAM アイデンティティセンターとは」を参照してください。詳細については、OpenSearch アプリケーションのデータソースとして OpenSearch ドメインを関連付ける方法」を参照してください。

OpenSearch Service コンソール、 AWS Command Line Interface （AWS CLI）、または AWS SDKs を使用して、IAM Identity Center を設定できます。

考慮事項

Amazon OpenSearch Service で IAM Identity Center を使用する前に、次の点を考慮する必要があります。

ドメインアクセスポリシーの変更

IAM Identity Center を設定する前に、ドメインアクセスポリシーまたは OpenSearch アプリケーションで設定された IAM ロールのアクセス許可を、信頼できる ID の伝播用に更新する必要があります。

	 {
	     "Version": "2012-10-17",
	     "Statement": [
	         {
	             "Effect": "Allow",
	             "Principal": {
	                 "AWS": "IAM Role configured in OpenSearch application"
	             },
	             "Action": "es:ESHttp*",
	             "Resource": "domain-arn/*"
	         },
	         {
	         ... // Any other permissions
	         }
	     ]
	 }
	         

IAM Identity Center の認証と認可の設定 (コンソール）

IAM Identity Center の認証と認可は、ドメインの作成プロセス中、または既存のドメインを更新することで有効にできます。セットアップ手順は、選択するオプションに応じて若干異なります。

次の手順では、Amazon OpenSearch Service コンソールで IAM アイデンティティセンターの認証と認可用に既存のドメインを設定する方法について説明します。

変更を行ったら、ドメインを保存します。

きめ細かなアクセスコントロールの設定

OpenSearch ドメインで IAM Identity Center オプションを有効にすると、バックエンドロールへのロールマッピングを作成して、IAM Identity Center プリンシパルへのアクセスを設定できます。プリンシパルのバックエンドロール値は、IdC プリンシパルのグループメンバーシップとGroupId または GroupName の RolesKey 設定に基づいています。

IAM Identity Center の認証と認可の設定 (CLI)

	 aws opensearch update-domain-config \
	     --domain-name my-domain \
	     --identity-center-options '{"EnabledAPIAccess": true, "IdentityCenterInstanceARN": "instance arn",  "SubjectKey": "UserId/UserName/UserEmail" , "RolesKey": "GroupId/GroupName"}'
	         

ドメインでの IAM Identity Center 認証の無効化

OpenSearch ドメインで IAM Identity Center を無効にするには：

CLI を使用して IAM Identity Center を無効にするには、以下を使用できます。

	 aws opensearch update-domain-config \
	     --domain-name my-domain \
	     --identity-center-options '{"EnabledAPIAccess": false}'