在 Amazon OpenSearch Service 中进行精细访问控制

精细访问控制提供了用于控制对 Amazon OpenSearch Service 上的数据的访问的其他方法。例如，根据请求发出者，您可能希望搜索仅返回一个索引中的结果。您可能想隐藏文档中的某些字段或完全排除某些文档。

精细访问控制提供了以下功能：

图片更大：精细访问控制和 OpenSearch Service 安全性

Amazon OpenSearch Service 安全性有三个主要层：

下列示意图说明了一个常见配置：启用了精细访问控制的 VPC 访问域、基于 IAM 的访问策略和 IAM 主用户。

下列示意图说明了另一个常见配置：启用了精细访问控制的公共访问域、不使用 IAM 委托人的访问策略以及内部用户数据库中的主用户。

示例

考虑向 movies/_search?q=thor 发出 GET 请求。用户是否有权搜索 movies 索引？ 如果是这样，用户是否有权查看该索引中的所有文档？ 响应是否应忽略或匿名化任何字段？ 对于主用户，响应可能如下所示：

{
  "hits": {
    "total": 7,
    "max_score": 8.772789,
    "hits": [{
        "_index": "movies",
        "_type": "_doc",
        "_id": "tt0800369",
        "_score": 8.772789,
        "_source": {
          "directors": [
            "Kenneth Branagh",
            "Joss Whedon"
          ],
          "release_date": "2011-04-21T00:00:00Z",
          "genres": [
            "Action",
            "Adventure",
            "Fantasy"
          ],
          "plot": "The powerful but arrogant god Thor is cast out of Asgard to live amongst humans in Midgard (Earth), where he soon becomes one of their finest defenders.",
          "title": "Thor",
          "actors": [
            "Chris Hemsworth",
            "Anthony Hopkins",
            "Natalie Portman"
          ],
          "year": 2011
        }
      },
      ...
    ]
  }
}

如果具有更有限的权限的用户发出完全相同的请求，则响应可能如下所示：

{
  "hits": {
    "total": 2,
    "max_score": 8.772789,
    "hits": [{
        "_index": "movies",
        "_type": "_doc",
        "_id": "tt0800369",
        "_score": 8.772789,
        "_source": {
          "year": 2011,
          "release_date": "3812a72c6dd23eef3c750c2d99e205cbd260389461e19d610406847397ecb357",
          "plot": "The powerful but arrogant god Thor is cast out of Asgard to live amongst humans in Midgard (Earth), where he soon becomes one of their finest defenders.",
          "title": "Thor"
        }
      },
      ...
    ]
  }
}

响应的命中次数较少，并且每次命中的字段较少。此外，release_date 字段是匿名的。如果不具有权限的用户发出相同的请求，集群将返回错误：

{
  "error": {
    "root_cause": [{
      "type": "security_exception",
      "reason": "no permissions for [indices:data/read/search] and User [name=limited-user, roles=[], requestedTenant=null]"
    }],
    "type": "security_exception",
    "reason": "no permissions for [indices:data/read/search] and User [name=limited-user, roles=[], requestedTenant=null]"
  },
  "status": 403
}

如果用户提供的凭证无效，则集群将返回 Unauthorized 异常。

重要概念

在开始使用精细访问控制时，请注意以下概念：

关于主用户

OpenSearch Service 中的主用户可以是某个用户名和密码组合，也可以是对底层 OpenSearch 集群拥有完全权限的 IAM 主体。如果用户拥有对 OpenSearch 集群的全部访问权限，并且能够在 OpenSearch 控制面板中创建内部用户、角色和角色映射，则该用户属于主用户。

在 OpenSearch Service 控制台或通过 CLI 创建的主用户会自动映射到两个预定义的角色：

使用这两个角色，用户就获得了 OpenSearch 控制面板中安全选项卡的访问权限，可在其中管理用户和权限。如果您创建了其他内部用户并且仅将其映射到 all_access 角色，则该用户无权访问安全选项卡。您可以通过将用户显式映射到 all_access 和 security_manager 角色来创建其他的主用户。有关说明，请参阅 其他主用户。

在为域创建主用户时，您可以指定现有的 IAM 主体，也可以在内部用户数据库中创建主用户。在决定要使用哪种方式时，请注意以下因素：

启用精细访问控制

使用控制台、AWS CLI 或配置 API 启用精细访问控制。要查看步骤，请参阅 创建和管理亚马逊 OpenSearch 服务域名。

精细访问控制需要 OpenSearch 或 Elasticsearch 6.7 或更高版本。此外，它还需要 HTTPS 才能使所有流量到达域、实现静态加密和节点到节点加密。对请求进行额外处理可能需要占用各数据节点的计算和内存资源，具体取决于配置精细访问控制高级功能的方式。一旦启用精细访问控制，便无法将其禁用。

在现有域上启用精细访问控制

您可以在运行 OpenSearch 或 Elasticsearch 6.7 或更高版本的现有域上启用精细访问控制。

更改将会触发蓝/绿部署，在此期间，集群运行状况变为红色，但所有集群操作不会受到影响。

在现有域 (CLI) 上启用精细访问控制

将 AnonymousAuthEnabled 设置为 true 以通过精细访问控制启用迁移期：

aws opensearch update-domain-config --domain-name test-domain --region us-east-1 \
      --advanced-security-options '{ "Enabled": true, "InternalUserDatabaseEnabled":true, "MasterUserOptions": {"MasterUserName":"master-username","MasterUserPassword":"master-password"},"AnonymousAuthEnabled": true}'

关于 default_role

精细访问控制需要角色映射。如果域使用基于身份的访问策略，OpenSearch Service 会将用户自动映射到称为 default_role 的新角色，以帮助您正确地迁移现有用户。此临时映射可确保在您创建自己的角色映射之前，您的用户仍然可以成功发送 IAM 签名的 GET 和 PUT 请求。

该角色不会向您的 OpenSearch Service 域添加任何安全漏洞或缺陷。我们建议您在设置自己的角色并相应地映射它们之后删除默认角色。

迁移场景

下表介绍了在现有域上启用精细访问控制之前和之后每种身份验证方法的行为，以及管理员为将用户正确映射到角色所必须采取的步骤：

以主用户身份访问 OpenSearch 控制面板

精细访问控制具有一个可简化管理任务的 OpenSearch 控制面板插件。可以使用控制面板管理用户、角色、映射、操作组和租户。不过，根据您管理用户和配置域的方式，OpenSearch 控制面板登录页面和底层身份验证方法是不同的。

管理权限

如重要概念中所述，您可以使用角色、用户和映射管理精细访问控制权限。此部分介绍如何创建和应用这些资源。我们建议您以主用户身份登录控制面板来执行这些操作。

创建角色

可以使用 OpenSearch 控制面板或 REST API 中的 _plugins/_security 操作创建新角色以实施精细访问控制。有关更多信息，请参阅创建角色。

精细访问控制还包含大量预定义角色。OpenSearch 仪表板和 Logstash 等客户端向 OpenSearch 发出各种各样的请求，这使得难以使用最小权限集手动创建角色。例如，opensearch_dashboards_user 角色包括用户处理索引模式、可视化内容、控制面板和租户所需的权限。我们建议将它映射到任何访问仪表板的用户或后端角色，以及其他允许访问其他索引的角色。

Amazon OpenSearch Service 不提供以下 OpenSearch 角色：

Amazon OpenSearch Service 提供了若干在 OpenSearch 中不可用的角色：

集群级安全性

集群级权限包括用于发出广泛请求（例如 _mget、_msearch 和 _bulk）、监控运行状况、拍摄快照等操作的功能。在创建角色时，使用 Cluster Permissions (集群权限)部分管理这些权限。有关集群级权限的完整列表，请参阅集群权限。

您通常可以使用默认操作组的组合来实现所需的安全状况，而不是个人权限。有关集群级操作组的列表，请参阅集群级。

索引级安全性

索引级权限包括用于执行创建新索引、搜索索引、读取和写入文档、删除文档、管理别名等操作的功能。在创建角色时，使用 Index Permissions (索引权限)部分管理这些权限。有关索引级权限的完整列表，请参阅索引权限。

您通常可以使用默认操作组的组合来实现所需的安全状况，而不是个人权限。有关索引级操作组的列表，请参阅索引级。

文档级安全性

文档级安全性允许您限制用户可在索引中查看的文档。在创建角色时，请指定索引模式和 OpenSearch 查询。映射到该角色的任何用户只能查看与查询匹配的文档。文档级安全性将影响搜索时收到的命中数。

有关更多信息，请参阅文档级安全性。

字段级安全性

字段级安全性允许您控制用户可查看的文档字段。创建角色时，添加要包含或排除的字段的列表。如果包含字段，则映射到该角色的任何用户都只能查看这些字段。如果排除字段，则他们可以查看除 排除的字段之外的所有字段。字段级安全性将影响搜索时包含在命中内的字段数。

有关更多信息，请参阅字段级安全性。

字段掩码

字段遮罩是字段级安全性的替代方法，它允许您匿名化字段中的数据，而不是将其完全删除。创建角色时，添加要遮罩的字段的列表。字段遮罩将影响搜索时是否能查看字段内容。

创建用户

如果启用了内部用户数据库，则可以使用 OpenSearch 控制面板或 REST API 中的 _plugins/_security 操作创建用户。有关更多信息，请参阅创建用户。

如果您为主用户选择了 IAM，请忽略控制面板的此部分。改为创建 IAM 角色。有关更多信息，请参阅 IAM 用户指南。

将角色映射到用户

角色映射是精细访问控制的最重要的方面。精细访问控制具有一些预定义的角色来帮助您入门，但除非您将角色映射到用户，否则，向集群发出的每个请求都会以权限错误结束。

后端角色有助于简化角色映射过程。您可以将角色映射到全部 100 个用户共享的单个后端角色，而不是将同一角色映射到 100 个单独的用户。后端角色可以为 IAM 角色或任意字符串。

可以使用 OpenSearch 控制面板 或 REST API 中的 _plugins/_security 操作将角色映射到用户。有关更多信息，请参阅将角色映射到用户。

创建操作组

操作组是可以在不同的资源中重用的权限集。可以使用 OpenSearch 控制面板或 REST API 中的 _plugins/_security 操作创建新的操作组，尽管原定设置操作组对于大多数使用案例来说已够用了。有关原定设置操作组的更多信息，请参阅原定设置操作组。

OpenSearch 控制面板多租户

租户是用于保存索引模式、可视化内容、控制面板和其他控制面板对象的空间。控制面板多租户可让您安全地与其他控制面板用户共享您的工作（或保持您工作的私密性）并动态配置租户。您可以控制哪些角色有权访问租户，以及这些角色是否具有读取或写入访问权限。全局租户是默认租户。要了解更多信息，请参阅OpenSearch 控制面板多租户。

推荐配置

由于精细访问控制与其他安全功能的交互方式，我们建议您使用适用于大多数使用案例的多种精细访问控制配置。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    },
    {
      "Effect": "Deny",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/_dashboards*"
    }
  ]
}

限制

精细访问控制具有几个重要限制：

修改主用户

如果您忘记了主用户的详细信息，则可以使用控制台、AWS CLI 或配置 API 重新配置它。

其他主用户

在创建域时指定主用户，但如果需要，可以使用此主用户创建其他主用户。您有两种选择：Open search 控制面板或 REST API。

手动快照

精细访问控制会给拍摄手动快照带来一些额外的复杂性。要注册快照存储库——即使您使用 HTTP 基本身份验证以实现所有其他目的——您必须将 manage_snapshots 角色映射到具有 iam:PassRole 权限的 IAM 角色来代入 TheSnapshotRole，如 先决条件 中所定义。

然后，使用该 IAM 角色向域发送已签名请求，如注册手动快照存储库中所述。

集成

如果您将其他 AWS 服务与 结合使用，则必须为这些服务提供具有适当权限的 IAM 角色。例如，Data Firehose 传输流通常使用名为 firehose_delivery_role 的 IAM 角色。在控制面板中，创建一个用于精细访问控制的角色，并将 IAM 角色映射到该角色。在此情况下，新角色需要以下权限：

{
  "cluster_permissions": [
    "cluster_composite_ops",
    "cluster_monitor"
  ],
  "index_permissions": [{
    "index_patterns": [
      "firehose-index*"
    ],
    "allowed_actions": [
      "create_index",
      "manage",
      "crud"
    ]
  }]
}

权限将因每个服务执行的操作而异。为数据建立索引的 AWS IoT 规则或 AWS Lambda 函数可能需要对 Firehose 的类似权限，而仅执行搜索的 Lambda 函数可使用更有限的权限集。

REST API 差异

精细访问控制 REST API 会因您的 OpenSearch/Elasticsearch 版本而略为不同。在发出 PUT 请求之前，请发出 GET 请求以验证预期请求正文。例如，对 _plugins/_security/api/user 的 GET 请求将返回所有用户，然后您可以修改并使用这些用户来发出有效的 PUT 请求。

在 Elasticsearch 6. x，用于创建用户的请求与以下内容类似：

PUT _opendistro/_security/api/user/new-user
{
  "password": "some-password",
  "roles": ["new-backend-role"]
}

在 OpenSearch 或 Elasticsearch 7.x 上，请求与以下内容类似（如果使用 Elasticsearch，则将 _plugins 更改为 _opendistro）：

PUT _plugins/_security/api/user/new-user
{
  "password": "some-password",
  "backend_roles": ["new-backend-role"]
}

此外，在 Elasticsearch 6. x 中，租户是角色的属性：

GET _opendistro/_security/api/roles/all_access

{
  "all_access": {
    "cluster": ["UNLIMITED"],
    "tenants": {
      "admin_tenant": "RW"
    },
    "indices": {
      "*": {
        "*": ["UNLIMITED"]
      }
    },
    "readonly": "true"
  }
}

在 OpenSearch 和 Elasticsearch 7.x 中，它们是具有自己 URI 的对象（如果使用 Elasticsearch，则将 _plugins 更改为 _opendistro）：

GET _plugins/_security/api/tenants

{
  "global_tenant": {
    "reserved": true,
    "hidden": false,
    "description": "Global tenant",
    "static": false
  }
}

有关 OpenSearch REST API 的文档，请参阅安全插件 API 参考。

curl -XGET -u 'master-user:master-user-password' 'domain-endpoint/_search'
curl -XGET -u 'master-user:master-user-password' 'domain-endpoint/_plugins/_security/api/user'