As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

SAMLautenticação para Amazon OpenSearch Serverless

Com a SAML autenticação do Amazon OpenSearch Serverless, você pode usar seu provedor de identidade existente para oferecer login único (SSO) para os endpoints do OpenSearch Dashboards de coleções sem servidor.

SAMLa autenticação permite que você use provedores de identidade terceirizados para entrar nos OpenSearch painéis para indexar e pesquisar dados. OpenSearch O Serverless oferece suporte a provedores que usam o padrão SAML 2.0, como IAM Identity Center, Okta, Keycloak, Active Directory Federation Services (AD FS) e Auth0. Você pode configurar o IAM Identity Center para sincronizar usuários e grupos de outras fontes de identidade OneLogin, como Okta e Microsoft Entra ID. Para obter uma lista das fontes de identidade suportadas pelo IAM Identity Center e as etapas para configurá-las, consulte os tutoriais de introdução no Guia do usuário do IAM Identity Center.

Para configurar a SAML autenticação, primeiro você configura um provedor de SAML identidade (IdP). Em seguida, você inclui um ou mais usuários desse IdP em uma política de acesso a dados. Essa política concede certas permissões para coleções e/ou índices. Em seguida, um usuário pode entrar nos OpenSearch painéis e realizar as ações permitidas na política de acesso a dados.

Considerações

Considere o seguinte ao configurar a SAML autenticação:

Permissões obrigatórias

SAMLa autenticação para OpenSearch Serverless usa o seguinte AWS Identity and Access Management (IAM) permissões:

A seguinte política de acesso baseada em identidade permite que um usuário gerencie todas as configurações do IdP:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Observe que o elemento Resource deve ser um caractere curinga.

Criação SAML de provedores (console)

Essas etapas explicam como criar SAML provedores. Isso permite a SAML autenticação com a autenticação iniciada pelo provedor de serviços (SP) para OpenSearch painéis. Não há suporte para autenticação iniciada pelo IdP.

Acessando OpenSearch painéis

Depois de configurar um SAML provedor, todos os usuários e grupos associados a esse provedor podem navegar até o endpoint do OpenSearch Dashboards. Os painéis URL têm o formato collection-endpoint/_dashboards/ para todas as coleções.

Se você tiver SAML ativado, selecionando o link no AWS Management Console direciona você para a página de seleção do IdP, na qual você pode entrar usando SAML suas credenciais. Primeiro, use o menu suspenso para selecionar um provedor de identidade:

Em seguida, faça login usando suas credenciais do IdP.

Se você não tiver SAML ativado, selecione o link no AWS Management Console orienta você a fazer login como IAM usuário ou função, sem opção paraSAML.

Concedendo acesso às SAML identidades aos dados da coleta

Depois de criar um SAML provedor, você ainda precisa conceder aos usuários e grupos subjacentes acesso aos dados em suas coleções. Você concede acesso por meio de políticas de acesso a dados. Até que você forneça acesso aos usuários, eles não poderão ler, gravar ou excluir nenhum dado de suas coleções.

Para conceder acesso, crie uma política de acesso a dados e especifique seu SAML usuário e/ou grupo IDs na Principal declaração:

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

É possível conceder acesso a coleções, índices ou ambos. Se você quiser que usuários diferentes tenham permissões diferentes, crie várias regras. Para obter uma lista das permissões disponíveis, consulte Permissões de políticas com suporte. Para obter informações sobre como formatar uma política de acesso, consulte Sintaxe das políticas.

Criação SAML de provedores (AWS CLI)

Para criar um SAML provedor usando o OpenSearch ServerlessAPI, envie uma CreateSecurityConfigsolicitação:

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

Especifiquesaml-options, incluindo os metadadosXML, como um mapa de valores-chave em um arquivo.json. Os metadados XML devem ser codificados como uma string de JSONescape.

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

Visualizando SAML provedores

A ListSecurityConfigssolicitação a seguir lista todos os SAML provedores em sua conta:

aws opensearchserverless list-security-configs --type saml

A solicitação retorna informações sobre todos os SAML provedores existentes, incluindo os metadados completos do IdP que seu provedor de identidade gera:

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

Para exibir detalhes sobre um provedor específico, inclusive a configVersion para futuras atualizações, envie uma solicitação GetSecurityConfig.

Atualizando SAML provedores

Para atualizar um SAML provedor usando o console OpenSearch Serverless, escolha SAMLautenticação, selecione seu provedor de identidade e escolha Editar. É possível modificar todos os campos, incluindo os metadados e os atributos personalizados.

Para atualizar um provedor por meio do OpenSearch ServerlessAPI, envie uma UpdateSecurityConfigsolicitação e inclua o identificador da política a ser atualizada. Também é necessário incluir uma versão da configuração, que pode ser recuperada usando os comandos ListSecurityConfigs ou GetSecurityConfig. A inclusão da versão mais recente garante que você não anule inadvertidamente uma alteração feita por outra pessoa.

A solicitação a seguir atualiza SAML as opções de um provedor:

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

Especifique suas opções SAML de configuração como um mapa de valores-chave em um arquivo.json.

Excluindo provedores SAML

Quando você exclui um SAML provedor, todas as referências a usuários e grupos associados em suas políticas de acesso a dados não funcionam mais. Para evitar confusão, sugerimos que você remova todas as referências ao endpoint em suas políticas de acesso antes de excluir o endpoint.

Para excluir um SAML provedor usando o console OpenSearch sem servidor, escolha Autenticação, selecione o provedor e escolha Excluir.

Para excluir um provedor por meio do OpenSearch ServerlessAPI, envie uma DeleteSecurityConfigsolicitação:

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider