Autenticação e autorização JWT para Amazon Service OpenSearch

O Amazon OpenSearch Service agora permite que você use JSON Web Tokens (JWTs) para autenticação e autorização. JWTs são tokens de acesso baseados em JSON usados para conceder acesso de login único (SSO). Você pode usar o JWTs in OpenSearch Service para criar tokens de login único para validar solicitações para seu OpenSearch domínio do Service. Para usar JWTs, você deve ter um controle de acesso refinado ativado e fornecer uma chave pública válida formatada em RSA ou ECDSA PEM. Para obter mais informações sobre controle de acesso refinado, consulte Controle de acesso refinado no Amazon Service. OpenSearch

Você pode configurar JSON Web Tokens usando o console de OpenSearch serviço, o AWS Command Line Interface (AWS CLI) ou o. AWS SDKs

Considerações

Antes de usar JWTs com o Amazon OpenSearch Service, você deve considerar o seguinte:

Modificar a política de acesso ao domínio

Antes de poder configurar a autenticação e autorização do JWT, é necessário atualizar sua política de acesso ao domínio para permitir que os usuários do JWT acessem o domínio. Caso contrário, todas as solicitações autorizadas do JWT recebidas serão negadas. A política de acesso ao domínio recomendada para fornecer acesso total aos subrecursos (/*) é:

Configurar autenticação e autorização do JWT

Você pode ativar a autenticação e autorização do JWT durante o processo de criação do domínio ou atualizando um domínio existente. As etapas de configuração variam um pouco, dependendo de qual opção você escolher.

As etapas a seguir explicam como configurar um domínio existente para autenticação e autorização do JWT no console OpenSearch de serviço:

Usando um endpoint JWKS para validar um JWT

Em vez de configurar uma chave pública estática, você pode configurar uma URL de endpoint do JSON Web Key Set (JWKS) para recuperar dinamicamente as chaves públicas do seu provedor de identidade. Quando um endpoint JWKS é configurado, o OpenSearch Service busca e armazena automaticamente em cache as chaves públicas usadas para validar as assinaturas do JWT, eliminando a necessidade de atualizar manualmente as chaves quando seu provedor de identidade alterna as chaves de assinatura.

A configuração do endpoint JWKS requer a OpenSearch versão 3.3 ou posterior.

Compatibilidade retroativa

Esse recurso mantém total compatibilidade com versões anteriores:

Configurando um endpoint JWKS

Você pode configurar um endpoint JWKS usando o console de OpenSearch serviço AWS CLI, o ou a API de configuração.

aws opensearch update-domain-config \
  --domain-name my-domain \
  --advanced-security-options '{"JWTOptions":{"Enabled":true, "JwksUrl":"https://example.com/.well-known/jwks.json", "SubjectKey":"sub", "RolesKey":"roles"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "JwksUrl": "https://example.com/.well-known/jwks.json",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
    }
  }
}

Requisitos de cabeçalho JWT

Ao usar um endpoint JWKS, seu cabeçalho JWT deve incluir um ID de chave (kid) que identifique a chave específica a ser usada para verificação:

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "V-diposfUJIk5jDBFi_QRouiVinG5PowskcSWy5EuCo"
}

O kid valor deve corresponder a um identificador de chave na resposta do endpoint JWKS.

Para obter mais informações sobre as opções de configuração e configurações de segurança do JWKS, consulte Usando um endpoint do JWKS para validar um JWT na documentação. OpenSearch

Usar um JWT para enviar uma solicitação de teste

Depois de criar um novo JWT com um par específico de assunto e perfil, você pode enviar uma solicitação de teste. Para fazer isso, use a chave privada para assinar sua solicitação por meio da ferramenta que criou o JWT. OpenSearch O serviço é capaz de validar a solicitação recebida verificando essa assinatura.

Veja a seguir um exemplo de como usar um token JWT para acessar o OpenSearch Serviço por meio do endpoint de pesquisa do seu domínio:

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}