기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

아마존 OpenSearch 서버리스를 위한 SAML 인증

Amazon OpenSearch Serverless용 SAML 인증을 사용하면 기존 ID 공급자를 사용하여 서버리스 컬렉션의 OpenSearch 대시보드 엔드포인트에 싱글 사인온 (SSO) 을 제공할 수 있습니다.

SAML 인증을 사용하면 타사 ID 공급자를 사용하여 대시보드에 로그인하여 데이터를 인덱싱하고 검색할 수 있습니다. OpenSearch OpenSearch 서버리스는 IAM ID 센터, Okta, Keycloak, Active Directory 페더레이션 서비스 (ADFS), Auth0과 같은 SAML 2.0 표준을 사용하는 공급자를 지원합니다. Okta, OneLogin Microsoft Entra ID와 같은 다른 ID 소스의 사용자 및 그룹을 동기화하도록 IAM ID 센터를 구성할 수 있습니다. IAM Identity Center에서 지원하는 ID 소스 목록 및 구성 단계는 IAM ID 센터 사용 설명서의 시작 자습서를 참조하십시오.

SAML 인증을 설정하려면 먼저 SAML 자격 증명 공급자(IdP)를 구성합니다. 그런 다음 데이터 액세스 정책에 해당 IdP의 사용자를 하나 이상 포함합니다. 이 정책은 컬렉션 및/또는 인덱스에 특정 권한을 부여합니다. 그러면 사용자가 OpenSearch 대시보드에 로그인하여 데이터 액세스 정책에서 허용되는 작업을 수행할 수 있습니다.

고려 사항

SAML 인증을 구성할 때는 다음 사항을 고려하세요.

필요한 권한

OpenSearch 서버리스의 SAML 인증은 다음 AWS Identity and Access Management (IAM) 권한을 사용합니다.

다음 자격 증명 기반 액세스 정책을 통해 사용자는 모든 IdP 구성을 관리할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Resource 요소는 와일드카드여야 한다는 점에 유의하세요.

SAML 공급자 생성(콘솔)

이 단계에서는 SAML 공급자를 생성하는 방법을 설명합니다. 이를 통해 SP (서비스 공급자) 가 시작한 대시보드 인증을 통한 SAML 인증이 가능해집니다. OpenSearch IdP 시작 인증은 지원되지 않습니다.

대시보드 액세스 OpenSearch

SAML 공급자를 구성하면 해당 공급자와 연결된 모든 사용자 및 그룹이 OpenSearch 대시보드 엔드포인트로 이동할 수 있습니다. Dashboards URL에는 모든 컬렉션에 대한 collection-endpoint/_dashboards/ 형식이 있습니다.

SAML을 활성화한 경우 의 링크를 선택하면 SAML 자격 증명을 사용하여 로그인할 수 있는 IdP 선택 페이지로 이동합니다. AWS Management Console 먼저 드롭다운을 사용하여 ID 공급자를 선택합니다.

그런 다음 IdP 보안 인증을 사용하여 로그인합니다.

SAML을 활성화하지 않은 경우 에서 링크를 선택하면 SAML 옵션 없이 IAM 사용자 또는 역할로 로그인할 수 있습니다. AWS Management Console

컬렉션 데이터에 대한 SAML 자격 증명 액세스 권한 부여

SAML 공급자를 만든 후에도 기본 사용자 및 그룹에 컬렉션 내 데이터에 대한 액세스 권한을 부여해야 합니다. 데이터 액세스 정책을 통해 액세스 권한을 부여합니다. 사용자에게 액세스 권한을 부여하기까지는 사용자가 컬렉션 내 데이터를 읽거나 쓰거나 삭제할 수 없습니다.

액세스 권한을 부여하려면 데이터 액세스 정책을 생성하고 Principal 명령문에 SAML 사용자 및/또는 그룹 ID를 지정합니다.

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

컬렉션, 인덱스 또는 둘 다에 대한 액세스 권한을 부여할 수 있습니다. 사용자마다 다른 권한을 가지게 하려면 규칙을 여러 개 만듭니다. 사용 가능한 권한 목록은 지원되는 정책 권한을 참조하세요. 액세스 정책의 형식 지정 방법에 대한 자세한 내용은 정책 구문을 참조하세요.

SAML 공급자 생성(AWS CLI)

OpenSearch 서버리스 API를 사용하여 SAML 공급자를 생성하려면 요청을 보내십시오. CreateSecurityConfig

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

.json 파일 내의 키-값 맵으로 메타데이터 XML을 포함하여 saml-options를 지정합니다. 메타데이터 XML은 JSON 이스케이프 문자열로 인코딩되어야 합니다.

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

SAML 공급자 보기

다음 ListSecurityConfigs요청에는 계정의 모든 SAML 공급자가 나열되어 있습니다.

aws opensearchserverless list-security-configs --type saml

이 요청은 ID 공급자가 생성하는 전체 IdP 메타데이터를 포함하여 모든 기존 SAML 공급자에 대한 정보를 반환합니다.

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

향후 업데이트를 위한 configVersion을 포함하여 특정 공급자에 대한 세부 정보를 보려면 GetSecurityConfig 요청을 보냅니다.

SAML 공급자 업데이트

OpenSearch 서버리스 콘솔을 사용하여 SAML 공급자를 업데이트하려면 SAML 인증을 선택하고 ID 공급자를 선택한 다음 편집을 선택합니다. 메타데이터 및 사용자 지정 속성을 포함하여 모든 필드를 수정할 수 있습니다.

OpenSearch 서버리스 API를 통해 공급자를 업데이트하려면 UpdateSecurityConfig요청을 보내고 업데이트할 정책의 식별자를 포함하세요. ListSecurityConfigs 또는 GetSecurityConfig 명령을 사용하여 검색할 수 있는 구성 버전도 포함해야 합니다. 최신 버전을 포함하면 다른 사람이 변경한 내용을 실수로 재정의하지 않습니다.

다음 요청은 공급자의 SAML 옵션을 업데이트합니다.

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

SAML 구성 옵션을 .json 파일 내의 키-값 맵으로 지정합니다.

SAML 공급자 삭제

SAML 공급자를 삭제하면 데이터 액세스 정책에서 연결된 사용자 및 그룹에 대한 모든 참조가 더 이상 작동하지 않습니다. 혼동을 피하려면 엔드포인트를 삭제하기 전에 액세스 정책에서 엔드포인트에 대한 모든 참조를 제거하는 것이 좋습니다.

OpenSearch 서버리스 콘솔을 사용하여 SAML 공급자를 삭제하려면 [Authentication] 을 선택하고 공급자를 선택한 다음 [Delete] 를 선택합니다.

OpenSearch 서버리스 API를 통해 공급자를 삭제하려면 요청을 보내십시오. DeleteSecurityConfig

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider