JWTAmazon OpenSearch 服務的身份驗證和授權

Amazon OpenSearch 服務現在允許您使用 JSON Web 令牌（JWTs）進行身份驗證和授權。JWTs是用JSON於授予單一登入 (SSO) 存取權的基礎存取權杖。您可以JWTs在 OpenSearch 服務中使用來建立單一登入權杖，以驗證對 OpenSearch Service 網域的要求。若要使用JWTs，您必須啟用精細的存取控制，並且必須提供有效RSA或ECDSAPEM格式化的公開金鑰。如需有關精細存取控制的詳細資訊，請參閱 Amazon OpenSearch 服務中的精細存取控制。

您可以JSON使用 OpenSearch 服務主控台、 AWS Command Line Interface (AWS CLI) 或 AWS SDKs.

考量事項

在JWTs與 Amazon OpenSearch 服務一起使用之前，您必須考慮以下事項：

修改網域存取政策

您必須先更新網域存取原則以允許使用者存取網域，才能將網域設定為使JWT用JWT驗證和授權。否則，所有傳入的JWT授權要求都會遭到拒絕。提供子資源 (/*) 完整存取權的建議網域存取原則為：

{
  "Version": "2012-10-17",
  "Statement": [
      {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

設定JWT驗證和授權

您可以在網域建立程序期間或更新現有網域來啟用JWT驗證和授權。根據您選擇的選項，設定步驟略有不同。

下列步驟說明如何在 OpenSearch Service 主控台中設定JWT驗證和授權的現有網域：

使用 a JWT 發送測試請求

JWT使用指定的主題和角色對創建新的後，您可以發送測試請求。若要這麼做，請使用私密金鑰，透過建立JWT. OpenSearch 服務能夠通過驗證此簽名來驗證傳入的請求。

以下是如何透過網域搜尋端點使用JWT權杖存取 OpenSearch 服務的範例：

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}