Configuração da autenticação do Amazon Cognito para OpenSearch Dashboards

Você pode autenticar e proteger sua instalação padrão do Amazon OpenSearch Service do OpenSearch Dashboards usando o Amazon Cognito. A autenticação do Amazon Cognito é opcional e está disponível apenas para domínios que usam o OpenSearch ou o Elasticsearch 5.1 ou posterior. Se você não configurar a autenticação do Amazon Cognito, ainda poderá proteger o Dashboards usando uma política de acesso baseada em IP e um servidor de proxy, autenticação básica HTTP ou SAML.

Grande parte do processo de autenticação ocorre no Amazon Cognito, mas esta seção oferece diretrizes e requisitos para configurar recursos do Amazon Cognito para trabalhar com domínios do OpenSearch Service. Preços padrão aplicam-se a todos os recursos do Amazon Cognito.

Pré-requisitos

Antes de configurar a autenticação do Amazon Cognito para o Kibana, você deverá atender a vários pré-requisitos. O console do OpenSearch Service ajuda a simplificar a criação desses recursos, mas compreender a finalidade de cada recurso ajuda na configuração e na solução de problemas. A autenticação do Amazon Cognito para Dashboards requer os seguintes recursos:

Sobre o grupo de usuários

Os grupos de usuários têm dois recursos principais: criar e gerenciar um diretório de usuários e permitir que os usuários se cadastrem e façam login. Para obter instruções sobre como criar um grupo de usuários, consulte Criar um grupo de usuários no Guia do desenvolvedor do Amazon Cognito.

Ao criar um grupo de usuários para usar com o OpenSearch Service, considere o seguinte:

Os IDs de grupo de usuários assumem a forma de region_ID. Se você planeja usar a AWS CLI ou um AWS SDK para configurar o OpenSearch Service, anote o ID.

Sobre o grupo de identidades

Os grupos de identidades permitem que você atribua funções temporárias e de privilégio limitado a usuários depois que eles fazem login. Para obter instruções sobre como criar um grupo de identidades, consulte Grupos de identidades no Guia do desenvolvedor do Amazon Cognito. Ao criar um grupo de identidades para usar com o OpenSearch Service, considere o seguinte:

Os IDs de grupo de identidades assumem a forma de region:ID-ID-ID-ID-ID. Se você planeja usar a AWS CLI ou um AWS SDK para configurar o OpenSearch Service, anote o ID.

Sobre a função CognitoAccessForAmazonOpenSearch

O OpenSearch Service precisa de permissões para configurar os usuários e os grupos de identidades do Amazon Cognito e usá-los para autenticação. É possível usar AmazonOpenSearchServiceCognitoAccess, que é uma política gerenciada pela AWS para essa finalidade. AmazonESCognitoAccess é uma política legada que foi substituída por AmazonOpenSearchServiceCognitoAccess quando o serviço foi renomeado para Amazon OpenSearch Service. Ambas as políticas fornecem as permissões mínimas do Amazon Cognito necessárias para ativar a autenticação Cognito. Para ver a política JSON, consulte o console do IAM.

Se você usar o console para criar ou configurar o domínio do OpenSearch Service, ele criará uma função do IAM para você e anexará a política da AmazonOpenSearchServiceCognitoAccess à função (ou à política AmazonESCognitoAccess se for um domínio do Elasticsearch) à função. O nome padrão desta função é CognitoAccessForAmazonOpenSearch.

As políticas de permissões da função AmazonOpenSearchServiceCognitoAccess e AmazonESCognitoAccess permitem que o OpenSearch Service conclua as seguintes ações em todos os grupos usuários e de identidade:

Se você usar a AWS CLI ou um dos AWS SDKs, deverá criar sua própria função, anexar a política e especificar o nome do recurso da Amazon (ARN) para essa função ao configurar o domínio do OpenSearch Service. A função deve ter a seguinte relação de confiança:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Para obter instruções, consulte Criação de uma função para delegar permissões a um serviço da AWS e Anexação e desanexação de políticas do IAM no Manual do usuário do IAM.

Configuração de um domínio para uso da autenticação do Amazon Cognito

Depois de concluir os pré-requisitos, você poderá configurar um domínio do OpenSearch Service para usar o Amazon Cognito para o Dashboards.

Configuração da autenticação do Amazon Cognito (console)

Como ele cria a função CognitoAccessForAmazonOpenSearch para você, o console oferece a experiência de configuração mais simples. Além das permissões padrão do OpenSearch Service, você precisa do seguinte conjunto mínimo de permissões para usar o console para criar um domínio que usa a autenticação do Amazon Cognito para o Dashboards.

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools",
        "iam:CreateRole",
        "iam:AttachRolePolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Para obter instruções sobre como adicionar permissões a uma identidade (usuário, grupo de usuários ou função), consulte Adicionar permissões de identidade do IAM (console).

Se CognitoAccessForAmazonOpenSearch já existir, você precisará de um número menor de permissões:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Depois que o seu domínio concluir o processamento, consulte Como permitir a função autenticada e Configuração de provedores de identidade para ver as etapas de configuração adicionais.

Configuração da autenticação do Amazon Cognito (AWS CLI)

Use o parâmetro --cognito-options para configurar o domínio do OpenSearch Service. A sintaxe a seguir é usada pelos comandos create-domain e update-domain-config:

--cognito-options Enabled=true,UserPoolId="user-pool-id",IdentityPoolId="identity-pool-id",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Exemplo

O exemplo a seguir cria um domínio na região us-east-1 que habilita a autenticação do Amazon Cognito para o Dashboards usando a função CognitoAccessForAmazonOpenSearch e fornece acesso ao domínio para Cognito_Auth_Role:

aws opensearch create-domain --domain-name my-domain --region us-east-1 --access-policies '{ "Version":"2012-10-17", "Statement":[{"Effect":"Allow","Principal":{"AWS": ["arn:aws:iam::123456789012:role/Cognito_Auth_Role"]},"Action":"es:ESHttp*","Resource":"arn:aws:es:us-east-1:123456789012:domain/*" }]}' --engine-version "OpenSearch_1.0" --cluster-config InstanceType=m4.xlarge.search,InstanceCount=1 --ebs-options EBSEnabled=true,VolumeSize=10 --cognito-options Enabled=true,UserPoolId="us-east-1_123456789",IdentityPoolId="us-east-1:12345678-1234-1234-1234-123456789012",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Depois que o seu domínio concluir o processamento, consulte Como permitir a função autenticada e Configuração de provedores de identidade para ver as etapas de configuração adicionais.

Configuração da autenticação do Amazon Cognito (AWS SDKs)

Os SDKs da AWS (exceto os SDKs para Android e iOS) são compatíveis com todas as operações definidas na Amazon OpenSearch Service API Reference (Referência da API do Amazon OpenSearch Service), incluindo o parâmetro CognitoOptions para as operações CreateDomain e UpdateDomainConfig. Para obter mais informações sobre instalação e uso dos AWS SDKs, consulte Kits de desenvolvimento de software da AWS.

Depois que o seu domínio concluir o processamento, consulte Como permitir a função autenticada e Configuração de provedores de identidade para ver as etapas de configuração adicionais.

Como permitir a função autenticada

Por padrão, a função do IAM autenticada que você configurou seguindo as diretrizes em Sobre o grupo de identidades não tem os privilégios necessários para acessar o OpenSearch Dashboards. Você deve fornecer permissões adicionais à função.

É possível incluir essas permissões em uma política baseada em identidades, mas, a menos que você queira que os usuários autenticados tenham acesso a todos os domínios do OpenSearch Service, a melhor abordagem é uma política baseada em recursos anexada a um único domínio.

Para o Principal, especifique o ARN da função autenticada do Cognito que você configurou com as diretrizes em Sobre o grupo de identidades.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam::123456789012:role/Cognito_identitypoolnameAuth_Role"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789012:domain/domain-name/*"
      }
   ]
}

Para obter instruções sobre como adicionar uma política baseada em recursos a um domínio do OpenSearch Service, consulte Configuração de políticas de acesso.

Configuração de provedores de identidade

Quando você configura um domínio para usar a autenticação do Amazon Cognito para o Dashboards, o OpenSearch Service adiciona um cliente da aplicação ao grupo de usuários e adiciona o grupo de usuários ao grupo de identidades como um provedor de autenticação.

Dependendo de como você configurou o grupo de usuários, talvez precise criar contas de usuário manualmente ou os usuários podem ser capazes de criar suas próprias contas. Se essas configurações forem aceitáveis, você não precisará realizar ações adicionais. No entanto, muitas pessoas preferem usar provedores de identidade externos.

Para habilitar um provedor de identidade SAML 2.0, você deve fornecer um documento de metadados do SAML. Para habilitar provedores de identidades sociais, como o Login with Amazon, o Facebook e o Google, você deve ter um ID e um segredo do aplicativo a partir desses provedores. Você pode habilitar qualquer combinação de provedores de identidade.

A maneira mais fácil de configurar seu grupo de usuários é usar o console do Amazon Cognito. Para obter instruções, consulte Uso da federação a partir de um grupo de usuários e Especificação das configurações do provedor de identidade para sua aplicação de grupo de usuários no Guia do desenvolvedor do Amazon Cognito.

(Opcional) Configuração de acesso granular

Talvez você tenha percebido que as configurações padrão do grupo de identidades atribui todos os usuário que fazem log in na mesma função do IAM (Cognito_identitypoolAuth_Role). Isso significa que todos os usuários podem acessar os mesmos recursos da AWS. Para usar o controle de acesso refinado com o Amazon Cognito, por exemplo, se desejar que os analistas da sua organização tenham acesso somente leitura a vários índices, mas que os desenvolvedores tenham acesso de gravação a todos os índices, você terá duas opções:

Para obter um passo a passo que inclui controle de acesso refinado, consulte Tutorial: Configuração de um domínio com um usuário primário do IAM e autenticação do Amazon Cognito.

Grupos de usuários e tokens

Quando você cria um grupo de usuários, escolhe uma função do IAM para os membros do grupo. Para obter informações sobre a criação de grupos, consulte Grupos de usuários no Guia do desenvolvedor do Amazon Cognito.

Depois de criar um ou mais grupos de usuários, você pode configurar o provedor de autenticação para atribuir aos usuários suas funções de grupo em vez da função padrão do grupo de identidades. Selecione Escolher função do token e, em seguida, escolha Usar função autenticada padrão ou NEGAR para especificar como o pool de identidades lidará com os usuários que não fazem parte do grupo.

Regras

As regras são essencialmente uma série de instruções if que o Amazon Cognito avalia em sequência. Por exemplo, se um endereço de e-mail do usuário contiver @corporate, o Amazon Cognito atribuirá Role_A a esse usuário. Se um endereço de e-mail do usuário contém @subsidiary, esse usuário é atribuído a Role_B. Caso contrário, ele atribui ao usuário a função autenticada padrão.

Para saber mais, consulte Uso do mapeamento com base em regras para atribuir funções a usuários no Guia do desenvolvedor do Amazon Cognito.

(Opcional) Personalização da página de login

Você pode usar o console do Amazon Cognito para carregar de um logo personalizado e fazer alterações de CSS na página de login. Para obter instruções e uma lista completa das propriedades do CSS, consulte Especificação das configurações de personalização de interface do usuário da aplicação para seu grupo de usuários no Guia do desenvolvedor do Amazon Cognito.

(Opcional) Configuração da segurança avançada

Os grupos de usuários do Amazon Cognito oferecem suporte a recursos de segurança avançada, como a autenticação multifator, a verificação de credenciais comprometidas e a autenticação adaptável. Para saber mais, consulte Gerenciamento da segurança no Guia do desenvolvedor do Amazon Cognito.

Testar

Depois que você estiver satisfeito com sua configuração, verifique se a experiência do usuário atende às suas expectativas.

Se qualquer etapa desse processo falhar, consulte Problemas de configuração comuns para obter informações sobre soluções de problemas.

Cotas

O Amazon Cognito tem limites flexíveis em muitos dos seus recursos. Se desejar habilitar a autenticação do Dashboards para um grande número de domínios do OpenSearch Service, revise as Cotas do Amazon Cognito e solicite aumentos de limite conforme necessário.

Cada domínio do OpenSearch Service adiciona um cliente de aplicação ao grupo de usuários, o qual adiciona um provedor de autenticação ao grupo de identidades. Se você habilitar a autenticação do OpenSearch Dashboards para mais de 10 domínios, poderá encontrar o limite "máximo de provedores do grupo de usuários do Amazon Cognito por grupo de identidades". Se você exceder um limite, qualquer domínio do OpenSearch Service que tentar configurar para usar a autenticação do Amazon Cognito para o Dashboards poderá ficar preso em um estado de configuração de PEm processamento.

Problemas de configuração comuns

As tabelas a seguir listam os problemas de configuração comuns e as soluções.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

aws cognito-idp list-user-pools --max-results 60 --region region

aws cognito-identity list-identity-pools --max-results 60 --region region

aws cognito-idp create-user-pool-domain --domain name --user-pool-id id

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "identity-pool-id"
      },
      "ForAnyValue:StringLike": {
        "cognito-identity.amazonaws.com:amr": "authenticated"
      }
    }
  }]
}

Desabilitação da autenticação do Amazon Cognito para OpenSearch Dashboards

Use o procedimento a seguir para desabilitar a autenticação do Amazon Cognito para Dashboards.

Exclusão de domínios que usam a autenticação do Amazon Cognito para OpenSearch Dashboards

Para evitar que domínios que usem a autenticação do Amazon Cognito para Dashboards fiquem presos em um estado de configuração Em processamento , exclua domínios do OpenSearch Service antes de excluir os grupos de usuários e grupos de identidades do Amazon Cognito associados.