适用于 Amazon OpenSearch Service 的 JWT 身份验证和授权

Amazon OpenSearch Service 现在允许您使用 JSON Web 令牌（JWT）进行身份验证和授权。JWT 是基于 JSON 的访问令牌，用于授予单点登录（SSO）访问权限。您可以在 OpenSearch Service 中使用 JWT 来创建单点登录令牌，从而验证对您的 OpenSearch Service 域的请求。要使用 JWT，您必须启用精细访问控制，并且必须提供有效的 RSA 或 ECDSA PEM 格式的公有密钥。有关精细访问控制的更多信息，请参阅 Amazon OpenSearch Service 中的精细访问控制。

您可以使用 OpenSearch Service 控制台、AWS Command Line Interface（AWS CLI）或 AWS SDK 来配置 JSON Web 令牌。

注意事项

在将 JWT 与 Amazon OpenSearch Service 结合使用之前，您必须注意以下几点：

修改域访问策略

在将域配置为使用 JWT 身份验证和授权之前，必须更新域访问策略，以允许 JWT 用户访问该域。否则，所有传入的 JWT 授权请求都将被拒绝。为子资源 (/*) 提供完全访问权限的建议域访问策略是：

{
  "Version": "2012-10-17",
  "Statement": [
      {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

配置 JWT 身份验证和授权

您可以在域创建过程中或通过更新现有域来启用 JWT 身份验证和授权。根据您选择的具体选项，设置步骤会略有差异。

以下步骤说明了如何在 OpenSearch Service 控制台中配置现有域的 JWT 身份验证和授权：

使用 JWT 发送测试请求

创建具有指定主体和角色对的新 JWT 后，您可以发送测试请求。要执行此操作，请使用私有密钥并通过创建 JWT 的工具签署您的请求。OpenSearch Service 能够通过验证此签名来验证传入的请求。

以下示例演示了如何使用 JWT 令牌通过域的搜索端点访问 OpenSearch Service：

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}