為儀表板設定 Amazon Cognito 份驗證 OpenSearch

您可以使用 Amazon Cognito 驗證和保護您的亞馬遜 OpenSearch 服務預設 OpenSearch儀表板安裝。Amazon Cognito 身份驗證是選用的，且僅適用於使用 OpenSearch 或彈性搜尋 5.1 或更新版本的網域。如果您不設定 Amazon Cognito 身分驗證，您仍然可以使用以 IP 為基礎的存取政策和代理伺服器、HTTP 基本身分驗證或 SAML 來保護 Dashboards。

大部分身份驗證程序都發生在 Amazon Cognito 中，但本節提供了將 Amazon Cognito 資源設定為與 OpenSearch 服務網域搭配使用的指導方針和要求。標準定價適用於所有 Amazon Cognito 資源。

先決條件

您必須滿足數個先決條件，才能為 OpenSearch 儀表板設定 Amazon Cognito 身份驗證。 OpenSearch 服務主控台有助於簡化這些資源的建立，但瞭解每個資源的用途有助於設定和疑難排解。針對 Dashboards 的 Amazon Cognito 身分驗證需要下列資源：

關於使用者集區

使用者集區有兩個主要功能：建立和管理使用者目錄，並讓使用者註冊和登入。如需建立使用者集區的說明，請參閱 Amazon Cognito 開發人員指南中的建立使用者集區。

當您建立要搭配 OpenSearch Service 使用的使用者集區時，請考量下列事項：

使用者集區 ID 採用 region_ID 格式。如果您打算使用 AWS CLI 或 AWS SDK 來設定 OpenSearch 服務，請記下 ID。

關於身分集區

身分集區可讓您在使用者登入後將臨時受限的許可角色指派給使用者。如需有關建立身分集區的說明，請參閱 Amazon Cognito 開發人員指南中的身分集區。當您建立要搭配 OpenSearch Service 使用的身分識別集區時，請考量下列事項：

身分集區 ID 採用 region:ID-ID-ID-ID-ID 格式。如果您打算使用 AWS CLI 或 AWS SDK 來設定 OpenSearch 服務，請記下 ID。

關於 CognitoAccessForAmazonOpenSearch角色

OpenSearch 服務需要許可才能設定 Amazon Cognito 使用者和身分集區，並將其用於身分驗證。您可以為此目的使用AmazonOpenSearchServiceCognitoAccess，這是一個AWS受管理的策略。 AmazonESCognitoAccess是服務重新命名為 Amazon OpenSearch 服務AmazonOpenSearchServiceCognitoAccess時所取代的舊版政策。這兩個政策提供啟用 Cognito 身分驗證所必需的最低 Amazon Cognito 許可。如需了解政策 JSON，請參閱 IAM 主控台。

如果您使用主控台建立或設定 OpenSearch 服務網域，它會為您建立 IAM 角色，並將AmazonOpenSearchServiceCognitoAccess政策 (如果是 Elasticsearch 網域的AmazonESCognitoAccess政策) 附加至該角色。此角色的預設名稱為 CognitoAccessForAmazonOpenSearch。

角色權限原則AmazonOpenSearchServiceCognitoAccess和AmazonESCognitoAccess兩者都允許 OpenSearch Service 在所有身分識別和使用者集區上完成下列動作：

如果您使用AWS CLI或其中一個 AWS SDK，則必須在設定 OpenSearch Service 網域時建立自己的角色、附加原則，並指定此角色的 ARN。角色必須具有下列信任關係：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

如需說明，請參閱 IAM 使用者指南中的建立角色以委派許可給 AWS 服務和連接及分開 IAM 政策。

設定網域以使用 Amazon Cognito 身分驗證

完成先決條件後，您可以將 OpenSearch 服務網域設定為使用適用於儀表板的 Amazon Cognito。

設定 Amazon Cognito 身分驗證 (主控台)

由於主控台會為您建立CognitoAccessForAmazonOpenSearch角色，因此可提供最簡單的設定體驗。除了標準 OpenSearch 服務許可之外，您還需要以下一組許可，才能使用主控台建立使用 Amazon Cognito 身份驗證 OpenSearch 儀表板的網域。

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools",
        "iam:CreateRole",
        "iam:AttachRolePolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

如需有關將許可新增至身分 (使用者、使用者群組或角色) 的說明，請參閱新增 IAM 身分許可 (主控台)。

如果 CognitoAccessForAmazonOpenSearch 已存在，您需要的許可更少：

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

在您的網域完成處理之後，請參閱允許已經過身分驗證的角色和設定身分提供者以取得其他設定步驟。

設定 Amazon Cognito 身分驗證 (AWS CLI)

使用--cognito-options參數來設定您的 OpenSearch 服務網域。由 create-domain 和 update-domain-config 命令使用以下語法：

--cognito-options Enabled=true,UserPoolId="user-pool-id",IdentityPoolId="identity-pool-id",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

範例

以下範例在 us-east-1 區域建立網域，該區域使用 CognitoAccessForAmazonOpenSearch 角色來啟用 Dashboards 的 Amazon Cognito 身分驗證，並提供對 Cognito_Auth_Role 的網域存取：

aws opensearch create-domain --domain-name my-domain --region us-east-1 --access-policies '{ "Version":"2012-10-17", "Statement":[{"Effect":"Allow","Principal":{"AWS": ["arn:aws:iam::123456789012:role/Cognito_Auth_Role"]},"Action":"es:ESHttp*","Resource":"arn:aws:es:us-east-1:123456789012:domain/*" }]}' --engine-version "OpenSearch_1.0" --cluster-config InstanceType=m4.xlarge.search,InstanceCount=1 --ebs-options EBSEnabled=true,VolumeSize=10 --cognito-options Enabled=true,UserPoolId="us-east-1_123456789",IdentityPoolId="us-east-1:12345678-1234-1234-1234-123456789012",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

在您的網域完成處理之後，請參閱允許已經過身分驗證的角色和設定身分提供者以取得其他設定步驟。

設定 Amazon Cognito 身分驗證 (AWS 開發套件)

開AWS發套件 (Android 和 iOS 開發套件除外) 支援亞馬遜 OpenSearch 服務 API 參考中定義的所有操作，包括CreateDomain和UpdateDomainConfig操作的CognitoOptions參數。如需安裝與使用 AWS 開發套件的詳細資訊，請參閱 AWS 軟體開發套件。

在您的網域完成處理之後，請參閱允許已經過身分驗證的角色和設定身分提供者以取得其他設定步驟。

允許已經過身分驗證的角色

依預設，您依照中的準則設定的已驗證 IAM 角色關於身分集區沒有存取 OpenSearch 儀表板的必要權限。您必須提供該角色額外的許可。

您可以在以身分識別為基礎的原則中包含這些權限，但除非您希望經過驗證的使用者能夠存取所有 OpenSearch Service 網域，否則附加至單一網域的資源型原則是較好的方法。

針對 Principal，指定您使用 關於身分集區 中的準則設定之 Cognito 經身分驗證角色的 ARN。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam::123456789012:role/Cognito_identitypoolnameAuth_Role"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789012:domain/domain-name/*"
      }
   ]
}

如需將以資源為基礎的原則新增至 OpenSearch 服務網域的指示，請參閱設定存取政策。

設定身分提供者

當您將網域設定為針對儀表板使用 Amazon Cognito 身份驗證時，Ser OpenSearch vice 會將應用程式用戶端新增到使用者集區，並將使用者集區作為身分驗證提供者新增至身分集區。

根據您設定使用者集區的方式而定，您可能需要手動建立使用者帳戶，或者使用者可以建立自己的帳戶。如果這些設定是可接受的，您便無需做進一步的動作。不過，許多人偏好使用外部身分提供者。

若要啟用 SAML 2.0 身分提供者，您必須提供 SAML 中繼資料文件。若要啟用社交身分提供者，例如，Login with Amazon、Facebook 和 Google，您必須擁有這些供應商提供的應用程式 ID 和應用程式密碼。您可以啟用任意組合的身分提供者。

設定使用者集區的最簡單方式就是使用 Amazon Cognito 主控台。如需說明，請參閱 Amazon Cognito 開發人員指南中的使用來自使用者集區的聯合和為您的使用者集區應用程式指定身分提供者設定。

(選用) 設定精細分級的存取

您可能已經注意到預設的身分集區設定指派每位登入的使用者相同的 IAM 角色 (Cognito_identitypoolAuth_Role)，這表示每位使用者可以存取相同的 AWS 資源。如果您想要搭配使用精細存取控制與 Amazon Cognito (例如，如果希望您組織的分析師擁有多個索引的唯讀存取權，而開發人員擁有所有索引的寫入存取權)，您有兩個選擇：

如需包含精細存取控制的演練，請參閱 教學課程：使用 IAM 主要使用者和 Amazon Cognito 身分驗證設定網域。

使用者群組和字符

當您建立使用者群組時，您為群組成員選擇 IAM 角色。如需有關建立群組的資訊，請參閱 Amazon Cognito 開發人員指南中的使用者群組。

在您建立一或多個使用者群組後，您可以設定您的驗證供應商，以指派使用者其群組的角色，而不是身分集區的預設角色。選取 Choose role from token (從字符中選擇角色)，然後選擇 Use default Authenticated role (使用預設已經過身分驗證的角色) 或 DENY (拒絕)，以指定身分集區應該如何處理不屬於群組的使用者。

規則

規則本質上是 Amazon Cognito 依序評估的一系列 if 陳述式。例如，如果使用者的電子郵件地址包含 @corporate，Amazon Cognito 會為該使用者指派 Role_A。如果使用者的電子郵件地址包含 @subsidiary，它會指派該使用者 Role_B。否則，它會指派使用者預設驗證角色。

若要進一步了解，請參閱 Amazon Cognito 開發人員指南中的使用以規則為基礎的映射來指派角色給使用者。

(選用) 自訂登入頁面

您可以使用 Amazon Cognito 主控台上傳自訂標誌，並對登入頁面進行 CSS 變更。如需 CSS 屬性的說明和完整清單，請參閱 Amazon Cognito 開發人員指南中的為您的使用者集區指定應用程式 UI 自訂設定。

(選用) 設定進階安全性

Amazon Cognito 使用者集區支援進階安全功能，例如多重驗證、遭盜用認證檢查和調整式驗證。如需進一步了解，請參閱 Amazon Cognito 開發人員指南中的管理安全性。

測試

在您滿意您的設定之後，請驗證使用者體驗是否符合您的期望。

如果此程序中的任何步驟失敗，請參閱常見的設定問題以取得故障診斷資訊。

配額

Amazon Cognito 對於許多資源有軟性限制。如果您想要為大量 OpenSearch 服務網域啟用儀表板身份驗證，請檢閱 Amazon Cognito 中的配額，並視需要增加請求限制。

每個 OpenSearch 服務網域都會將應用程式用戶端新增至使用者集區，以便將驗證提供者新增至身分識別集區。如果您為 10 個以上的網域啟用 OpenSearch 儀表板身份驗證，則可能會遇到「每個身分集區的 Amazon Cognito 使用者集區提供者上限」限制。如果您超過限制，您嘗試設定為使用儀表板的 Amazon Cognito 身份驗證的任何 OpenSearch 服務網域都可能會卡在「處理」的組態狀態。

常見的設定問題

下表列出常見的設定問題和解決方案。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

aws cognito-idp list-user-pools --max-results 60 --region region

aws cognito-identity list-identity-pools --max-results 60 --region region

aws cognito-idp create-user-pool-domain --domain name --user-pool-id id

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "identity-pool-id"
      },
      "ForAnyValue:StringLike": {
        "cognito-identity.amazonaws.com:amr": "authenticated"
      }
    }
  }]
}

停用儀表板的 Amazon Cognito 份驗證 OpenSearch

使用下列步驟來停用 Dashboards 的 Amazon Cognito 身分驗證。

刪除針對儀表板使用 Amazon Cognito 身份驗證的 OpenSearch 網域

若要防止使用適用於儀表板的 Amazon Cognito 身份驗證的網域卡在處理的組態狀態中，請先刪除 OpenSearch 服務網域，然後再刪除其相關聯的 Amazon Cognito 使用者和身分集區。