OpenSearch Dashboards 的 SAML 身分驗證

OpenSearch Dashboards 的 SAML 身分驗證可讓您使用現有身分提供者，以便在執行 OpenSearch 或 Elasticsearch 6.7 或更新版本的 Amazon OpenSearch Service 網域上提供 Dashboards 的單一登入 (SSO)。若要使用 SAML 身分驗證，您必須啟用精細存取控制。

不是透過 Amazon Cognito 或內部使用者資料庫進行身分驗證，OpenSearch Dashboards 的 SAML 身分驗證可讓您使用第三方身分提供者來登入 Dashboards、管理精細存取控制、搜尋您的資料，以及建置視覺效果。OpenSearch Service 支援使用 SAML 2.0 標準的提供者，例如 Okta、Keycloak、Active Directory Federation Services (ADFS)、Auth0 和 AWS IAM Identity Center。

Dashboards 的 SAML 身分驗證僅適用於透過 web 瀏覽器存取 OpenSearch Dashboards。您的 SAML 憑證不能讓您對 OpenSearch 或 Dashboards API 發出直接 HTTP 請求。

SAML 組態概觀

本文件假設您擁有現有的身分提供者並且熟悉它。我們無法為您的確切供應商提供詳細的設定步驟，僅適用於您的 OpenSearch Service 網域。

OpenSearch Dashboards 登入流程可採用以下兩種形式之一：

OpenSearch Service 提供兩個單一登入 URL，即 SP 啟動和 IdP 啟動，但您只需要一個，即符合您想要的 OpenSearch Dashboards 登入流程即可。

無論您使用哪種身分驗證類型，目標是透過身分提供者登入，並接收包含您的使用者名稱 (必要) 和任何後端角色 (選用，但建議使用) 的 SAML 聲明。此資訊允許精細存取控制以便將許可指派給 SAML 使用者。在外部身分提供者中，後端角色通常稱為「角色」或「群組」。

考量事項

設定 SAML 身分驗證時請考量下列事項：

VPC 網域的 SAML 身分驗證

SAML 不需要身分提供者和服務供應商之間的直接通訊。因此，即使您的 OpenSearch 網域託管在私有 VPC 中，只要您的瀏覽器能夠與您的 OpenSearch 叢集和身分提供者通訊，則您仍可以使用 SAML。您的瀏覽器本質上充當身分提供者和服務供應商之間的媒介。如需有關解釋 SAML 身分驗證流程的實用圖表，請參閱 Okta 文件。

修改網域存取政策

在設定 SAML 身分驗證之前，您必須更新網域存取政策，以允許 SAML 使用者存取網域。否則，您將看到存取遭拒錯誤。

我們建議您採用下列網域存取政策，該政策提供對網域上子資源 (/*) 的完整存取權：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

若要讓政策更具限制性，您可以將 IP 地址條件新增至政策。此條件只會限制對指定 IP 地址範圍或子網路的存取。例如，下列政策僅允許從 192.0.2.0/24 子網路存取：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "es:ESHttp*"
      ],
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": [
            "192.0.2.0/24"
          ]
        }
      },
      "Resource": "domain-arn/*"
    }
  ]
}

設定 SP 或 IdP 啟動的身分驗證

這些步驟說明如何透過 OpenSearch Dashboards 的 SP 啟動的或 IdP 啟動的身分驗證來啟用 SAML 身分驗證。如需了解啟用兩者所需的額外步驟，請參閱同時啟用 SP 和 IdP 啟動的身分驗證。

步驟 1：啟用 SAML 身分驗證

您可以在網域建立期間啟用 SAML 身分驗證，或在現有網域上選擇 Actions (動作)、Edit security configuration (編輯安全組態)來啟用 SAML 身分驗證。根據您選擇的動作，以下步驟略有不同。

在網域組態中，於 SAML authentication for OpenSearch Dashboards/Kibana (OpenSearch Dashboards/Kibana 的 SAML 身分驗證) 下，選取 Enable SAML authentication (啟用 SAML 身分驗證)。

步驟 2：設定身分提供者

根據設定 SAML 身分驗證的時間，執行下列步驟。

如果您正在建立新網域

如果您正在建立新網域，OpenSearch Service 還無法產生服務提供者實體 ID 或 SSO URL。身分提供者需要這些值才能正確啟用 SAML 身分驗證，但只有在建立網域之後才能產生這些值。若要在網域建立期間處理此相互依存性，您可以在 IdP 組態中提供臨時值，以產生必要的中繼資料，然後在網域處於作用中狀態時加以更新。

如果您使用的是自訂端點，則可以推斷 URL 為何。例如，如果自訂端點是 www.custom-endpoint.com，服務提供者實體 ID 將會是 www.custom-endpoint.com，IdP 起始的 SSO URL 將會是 www.custom-endpoint.com/_dashboards/_opendistro/_security/saml/acs/idpinitiated，並且 SP 起始的 SSO URL 將會是 www.custom-endpoint.com/_dashboards/_opendistro/_security/saml/acs。在建立網域之前，您可以使用這些值來設定身分提供者。如需範例，請參閱下一區段。

如果您未使用自訂端點，可以在 IdP 中輸入臨時值以產生所需的中繼資料，然後在網域處於作用中後加以更新。

例如，在 Okta 中，您可以將 https://temp-endpoint.amazonaws.com 輸入 Single sign on URL (單一登入 URL) 和 Audience URI (SP Entity ID) (對象 URI (SP 實體 ID)) 欄位，如此可產生中繼資料。然後，在網域處於作用中狀態後，您可以從 OpenSearch Service 中擷取正確的值並在 Okta 中加以更新。如需說明，請參閱 步驟 6：更新 IdP URL。

如果您正在編輯現有網域

如果您要在現有網域上啟用 SAML 身分驗證，請複製服務提供者實體 ID 和其中一個 SSO URL。如需有關使用哪個 URL 的指引，請參閱 SAML 組態概觀。

使用這些值來設定身分提供者。這是程序中最複雜的部分，不幸的是，術語和步驟因供應商而千差萬別。請咨詢供應商文件。

例如，在 Okta 中，您可以建立 SAML 2.0 Web 應用程式。對於 Single sign on URL (單一登入 URL)，指定 SSO URL。對於對象 URI (SP 實體 ID)，指定 SP 實體 ID。

Okta 擁有使用者和群組，而不是使用者和後端角色。對於 Group Attribute Statements (群組屬性陳述式)，我們建議將 role 新增至 Name (名稱) 欄位，將常規表達式 .+ 新增至 Filter (篩選條件) 欄位。此陳述式會告訴 Okta 身分提供者在使用中身分驗證之後，包含 SAML 聲明 role 欄位下的所有使用者群組。

在 IAM Identity Center 中，您將 SP 實體 ID 指定為 Application SAML 受眾。您也需要指定下列屬性映射： Subject=${user:subject}:format=unspecified和 Role=${user:groups}:format=uri。

在 Auth0 中，您可以建立一般 Web 應用程式並啟用 SAML 2.0 附加元件。在 Keycloak 中，您可以建立用戶端。

步驟 3：匯入 IdP 中繼資料

設定身分提供者之後，它會產生 IdP 中繼資料檔案。此 XML 檔案包含提供者的相關資訊，例如 TLS 憑證、單一登入端點以及身分提供者的實體 ID。

複製 IdP 中繼資料檔案內容，然後貼至 OpenSearch Service 主控台的 Metadata from IdP (來自 IdP 的中繼資料) 欄位。或者，選擇 Import from XML file (從 XML 檔案匯入)，然後上傳檔案。中繼資料檔案如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor entityID="entity-id" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata">
  <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
          <ds:X509Certificate>tls-certificate</ds:X509Certificate>
        </ds:X509Data>
      </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="idp-sso-url"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="idp-sso-url"/>
  </md:IDPSSODescriptor>
</md:EntityDescriptor>

步驟 4：設定 SAML 欄位

輸入 IdP 中繼資料之後，請在 OpenSearch Service 主控台中設定下列其他欄位：

許多身分提供者可讓您在設定程序期間檢視範例聲明，諸如 SAML-tracer 等工具可以幫助您檢查和疑難排解真實聲明的內容。聲明看起來像這樣：

<?xml version="1.0" encoding="UTF-8"?>
<saml2:Assertion ID="id67229299299259351343340162" IssueInstant="2020-09-22T22:03:08.633Z" Version="2.0"
  xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
  <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">idp-issuer</saml2:Issuer>
  <saml2:Subject>
    <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">username</saml2:NameID>
    <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
      <saml2:SubjectConfirmationData NotOnOrAfter="2020-09-22T22:08:08.816Z" Recipient="domain-endpoint/_dashboards/_opendistro/_security/saml/acs"/>
    </saml2:SubjectConfirmation>
  </saml2:Subject>
  <saml2:Conditions NotBefore="2020-09-22T21:58:08.816Z" NotOnOrAfter="2020-09-22T22:08:08.816Z">
    <saml2:AudienceRestriction>
      <saml2:Audience>domain-endpoint</saml2:Audience>
    </saml2:AudienceRestriction>
  </saml2:Conditions>
  <saml2:AuthnStatement AuthnInstant="2020-09-22T19:54:37.274Z">
    <saml2:AuthnContext>
      <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
    </saml2:AuthnContext>
  </saml2:AuthnStatement>
  <saml2:AttributeStatement>
    <saml2:Attribute Name="role" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
      <saml2:AttributeValue
        xmlns:xs="http://www.w3.org/2001/XMLSchema"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">GroupName Match Matches regex ".+" (case-sensitive)
      </saml2:AttributeValue>
    </saml2:Attribute>
  </saml2:AttributeStatement>
</saml2:Assertion>

步驟 5：(選用) 設定其他設定

在 Additional settings (其他設定) 下，設定下列選用欄位：

如果您對於組態感到滿意，請儲存網域。

步驟 6：更新 IdP URL

如果您在建立網域時啟用 SAML 身分驗證，則必須在 IdP 中指定臨時 URL，才能產生 XML 中繼資料檔案。網域狀態變更為 Active 後，您可以取得正確的 URL 並修改 IdP。

若要擷取 URL，請選取網域並選擇 Actions (動作)，Edit security configuration (編輯安全組態)。在 SAML authentication for OpenSearch Dashboards/Kibana (OpenSearch Dashboards/Kibana 的 SAML 身分驗證) 下，您可以找到正確的服務提供者實體 ID 和 SSO URL。複製這些值並使用其來設定身分提供者，取代您在步驟 2 中提供的臨時 URL。

步驟 7：將 SAML 使用者映射至角色

當網域狀態為作用中且 IdP 的設定都正確無誤後，請瀏覽至 OpenSearch Dashboards。

在這兩種情況下，請以 SAML 主要使用者或屬於 SAML 主要後端角色的使用者身分登入。若要繼續步驟 7 的範例，請以 jdoe 或 admins 群組成員身分登入。

OpenSearch Dashboards 載入後，選擇 Security (安全性) 和 Roles (角色)。接著，映射角色以允許其他使用者存取 OpenSearch Dashboards。

例如，您可將信任的同事 jroe 映射到 all_access 和 security_manager 角色。您也可以將後端角色 analysts 映射到 readall 和 opensearch_dashboards_user 角色。

如果您偏好使用 API 而非 OpenSearch Dashboards，請參閱下列範例要求：

PATCH _plugins/_security/api/rolesmapping
[
  {
    "op": "add", "path": "/security_manager", "value": { "users": ["master-user", "jdoe", "jroe"], "backend_roles": ["admins"] }
  },
  {
    "op": "add", "path": "/all_access", "value": { "users": ["master-user", "jdoe", "jroe"], "backend_roles": ["admins"] }
  },
  {
    "op": "add", "path": "/readall", "value": { "backend_roles": ["analysts"] }
  },
  {
    "op": "add", "path": "/opensearch_dashboards_user", "value": { "backend_roles": ["analysts"] }
  }
]

同時設定 SP 和 IdP 啟動的身分驗證

如果您要設定 SP 和 IdP 啟動的身分驗證，則必須透過身分提供者進行設定。例如，在 Okta 中，您可以執行下列步驟：

設定 SAML 身分驗證 (AWS CLI)

下列 AWS CLI 命令會在現有網域上啟用 OpenSearch Dashboards 的 SAML 身分驗證：

aws opensearch update-domain-config \
  --domain-name my-domain \
  --advanced-security-options '{"SAMLOptions":{"Enabled":true,"MasterUserName":"my-idp-user","MasterBackendRole":"my-idp-group-or-role","Idp":{"EntityId":"entity-id","MetadataContent":"metadata-content-with-quotes-escaped"},"RolesKey":"optional-roles-key","SessionTimeoutMinutes":180,"SubjectKey":"optional-subject-key"}}'

您必須轉義中繼資料 XML 中的所有引號和換行符號字元。例如，使用 <KeyDescriptor use=\"signing\">\n，而不是 <KeyDescriptor use="signing"> 和換行符。如需使用 的詳細資訊 AWS CLI，請參閱 AWS CLI 命令參考。

設定 SAML 身分驗證 (組態 API)

下列對組態 API 的請求會在現有網域上啟用 OpenSearch Dashboards 的 SAML 身分驗證：

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "SAMLOptions": {
      "Enabled": true,
      "MasterUserName": "my-idp-user",
      "MasterBackendRole": "my-idp-group-or-role",
      "Idp": {
        "EntityId": "entity-id",
        "MetadataContent": "metadata-content-with-quotes-escaped"
      },
      "RolesKey": "optional-roles-key",
      "SessionTimeoutMinutes": 180,
      "SubjectKey": "optional-subject-key"
    }
  }
}

您必須轉義中繼資料 XML 中的所有引號和換行符號字元。例如，使用 <KeyDescriptor use=\"signing\">\n，而不是 <KeyDescriptor use="signing"> 和換行符。如需有關使用組態 API 的詳細資訊，請參閱 OpenSearch Service API reference (OpenSearch Service API 參考)。

SAML 疑難排解

GET _plugins/_security/api/rolesmapping

停用 SAML 身分驗證