As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Autenticação SAML para o Amazon OpenSearch Sem Servidor

Com a autenticação SAML para o Amazon OpenSearch Sem Servidor, é possível usar seu provedor de identidade existente para autenticação única (SSO) para os endpoints do OpenSearch Dashboards de coleções com tecnologia sem servidor.

A autenticação SAML permite que você use provedores de identidade terceiros para fazer login no OpenSearch Dashboards para indexar e pesquisar dados. O OpenSearch sem Servidor oferece suporte a provedores que usem o padrão SAML 2.0, como centro de identidade do IAM, Okta, Keycloak, Active Directory Federation Services (AD FS) e Auth0. Você pode configurar o centro de identidade do IAM para sincronizar usuários e grupos de outras fontes de identidade, como Okta, OneLogin e Microsoft Entra ID. Para obter uma lista das fontes de identidade com suporte do centro de identidade do IAM e as etapas para configurá-las, consulte os Tutoriais de introdução no Guia do usuário do centro de identidade do IAM.

Para configurar a autenticação SAML, primeiro é necessário configurar um provedor de identidade (IdP) SAML. Em seguida, você inclui um ou mais usuários desse IdP em uma política de acesso a dados. Essa política concede certas permissões para coleções e/ou índices. Em seguida, um usuário poderá entrar no OpenSearch Dashboards e executar as ações permitidas na política de acesso a dados.

Considerações

Considere o seguinte ao configurar a autenticação SAML:

Permissões obrigatórias

A autenticação SAML para o OpenSearch Sem Servidor usa as seguintes permissões do AWS Identity and Access Management (IAM):

A seguinte política de acesso baseada em identidade permite que um usuário gerencie todas as configurações do IdP:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Observe que o elemento Resource deve ser um caractere curinga.

Criação de provedores de SAML (console)

Estas etapas explicam como criar provedores de SAML. Isso habilita a autenticação SAML com autenticação iniciada pelo provedor de serviços (SP) para o OpenSearch Dashboards. Não há suporte para autenticação iniciada pelo IdP.

Acesso ao OpenSearch Dashboards

Depois de configurar um provedor de SAML, todos os usuários e grupos associados a esse provedor poderão navegar até o endpoint dos Painéis do OpenSearch. O URL do Dashboards tem o formato collection-endpoint/_dashboards/ para todas as coleções.

Se você tiver o SAML ativado, selecionar o link no AWS Management Console direcionará você para a página de seleção do IdP, na qual você poderá fazer login usando suas credenciais do SAML. Primeiro, use o menu suspenso para selecionar um provedor de identidade:

Em seguida, faça login usando suas credenciais do IdP.

Se você não tiver o SAML ativado, selecionar o link no AWS Management Console direcionará você a fazer login como usuário ou perfil do IAM, sem opção para SAML.

Concessão de acesso de identidades do SAML a dados de coleções

Depois de criar um provedor de SAML, você ainda precisa conceder aos usuários e grupos subjacentes acesso aos dados em suas coleções. Você concede acesso por meio de políticas de acesso a dados. Até que você forneça acesso aos usuários, eles não poderão ler, gravar ou excluir nenhum dado de suas coleções.

Para conceder acesso, crie uma política de acesso a dados e especifique seus IDs de usuário e/ou grupo do SAML na declaração Principal:

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

É possível conceder acesso a coleções, índices ou ambos. Se você quiser que usuários diferentes tenham permissões diferentes, crie várias regras. Para obter uma lista das permissões disponíveis, consulte Permissões de políticas com suporte. Para obter informações sobre como formatar uma política de acesso, consulte Sintaxe das políticas.

Criação de provedores de SAML (AWS CLI)

Para criar um provedor de SAML usando a API do OpenSearch Sem Servidor, envie uma solicitação CreateSecurityConfig:

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

Especifique saml-options, incluindo o XML de metadados, como um mapa de chave-valor em um arquivo .json. O XML de metadados deve ser codificado como uma string de escape JSON.

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

Exibição de provedores de SAML

A solicitação ListSecurityConfigs a seguir lista todos os provedores de SAML em sua conta:

aws opensearchserverless list-security-configs --type saml

A solicitação retorna informações sobre todos os provedores de SAML existentes, incluindo os metadados completos do IdP que seu provedor de identidade gera:

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

Para exibir detalhes sobre um provedor específico, inclusive a configVersion para futuras atualizações, envie uma solicitação GetSecurityConfig.

Atualização de provedores de SAML

Para atualizar um provedor de SAML usando o console do OpenSearch de tecnologia sem servidor, escolha Autenticação SAML, selecione seu provedor de identidade e escolha Editar. É possível modificar todos os campos, incluindo os metadados e os atributos personalizados.

Para atualizar um provedor por meio da API do OpenSearch Sem Servidor, envie uma solicitação UpdateSecurityConfig e inclua o identificador da política a ser atualizada. Também é necessário incluir uma versão da configuração, que pode ser recuperada usando os comandos ListSecurityConfigs ou GetSecurityConfig. A inclusão da versão mais recente garante que você não anule inadvertidamente uma alteração feita por outra pessoa.

A solicitação a seguir atualiza as opções do SAML para um provedor:

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

Especifique suas opções de configuração do SAML como um mapa de chave-valor em um arquivo .json.

Exclusão de provedores de SAML

Quando você exclui um provedor de SAML, quaisquer referências a usuários e grupos associados em suas políticas de acesso a dados não funcionam mais. Para evitar confusão, sugerimos que você remova todas as referências ao endpoint em suas políticas de acesso antes de excluir o endpoint.

Para excluir um provedor de SAML usando o console do OpenSearch de tecnologia sem servidor, escolha Autenticação, selecione o provedor e escolha Excluir.

Para excluir um provedor por meio da API do OpenSearch Sem Servidor, envie uma solicitação DeleteSecurityConfig:

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider