本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

SAML適用於 Amazon OpenSearch 無伺服器的身分

使用適用於 Amazon OpenSearch 無伺服器的身分SAML驗證，您可以使用現有的身分供應商為無伺服器集合的 OpenSearch 儀表板端點提供單一登入 (SSO)。

SAML驗證可讓您使用第三方身分識別提供者登入 OpenSearch 儀表板，以索引和搜尋資料。 OpenSearch 無伺服器支援使用 SAML 2.0 標準的提供者，例如IAM身分識別中心、Okta、金鑰遮罩、作用中目錄同盟服務 (AD FS) 和 Auth0。您可以設定IAM身分識別中心， OneLogin以同步處理來自其他身分識別來源 (例如 Okta 和 Microsoft Entra ID) 的使用者和群組。如需 Identity Center 支援的身分識IAM別來源清單及其設定步驟，請參閱IAM身分識別中心使用者指南中的入門教學課程。

若要設定SAML驗證，請先設定SAML身分識別提供者 (IdP)。然後，您可以將該 IdP 中的一個或多個使用者納入資料存取政策中。此政策會向它授予集合和/或索引的某些許可。然後，使用者可以登入 OpenSearch 儀表板並執行資料存取原則中允許的動作。

考量事項

設定SAML驗證時，請考慮下列事項：

必要許可

SAML OpenSearch 無伺服器的驗證使用下列項目 AWS Identity and Access Management （IAM）權限：

下列身分型存取政策讓使用者可以管理所有 IdP 組態：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

請注意，Resource 元素必須是萬用字元。

建立SAML提供者 (主控台)

這些步驟說明如何建立SAML提供者。這可讓使SAML用服務提供者 (SP) 起始的 OpenSearch 儀表板驗證進行驗證。不支援 IdP 啟動的身分驗證。

存取 OpenSearch 儀表板

設定提供者之後，與該SAML提供者關聯的所有使用者和群組都可以導覽至 OpenSearch 儀表板端點。儀表板URL具有所有集合的格式collection-endpoint/_dashboards/。

如果您已SAML啟用，請選取 AWS Management Console 將您導向至 IdP 選擇頁面，您可以在其中使用您的SAML認證登入。首先，使用下拉式清單選取身分提供者：

然後使用 IdP 憑證登入。

如果您尚未SAML啟用，請在 AWS Management Console 指示您以IAM使用者或角色的身分登入，但沒有選項SAML。

授與收集資料的SAML身分存取權

建立SAML提供者之後，您仍然需要授與基礎使用者和群組存取集合中資料的權限。您可以透過資料存取政策授予存取權。在您提供使用者存取權之前，他們將無法讀取、寫入或刪除集合內的任何資料。

要授予訪問權限，請創建數據訪問策略，並在Principal聲明IDs中指定您的SAML用戶和/或組：

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

您可以授予對集合、索引或兩者的存取權。如果您希望不同的使用者擁有不同的許可，請建立多個規則。如需可用許可的清單，請參閱支援的政策許可。如需有關如何格式化存取政策的資訊，請參閱政策語法。

建立SAML提供者 (AWS CLI)

若要使用 OpenSearch 無伺服器建立SAML提供者API，請傳送要CreateSecurityConfig求：

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

將包括saml-options中繼資料XML在內的 .json 檔案中指定為索引鍵值對映。中繼資料XML必須編碼為JSON逸出字串。

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

檢視SAML提供者

下列ListSecurityConfigs要求會列出您帳戶中的所有SAML供應商：

aws opensearchserverless list-security-configs --type saml

要求會傳回所有現有提SAML供者的相關資訊，包括身分識別提供者所產生的完整 IdP 中繼資料：

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

若要檢視特定提供者的相關詳細資訊 (包括未來更新的 configVersion)，請傳送 GetSecurityConfig 請求。

更新SAML提供者

若要使用 OpenSearch 無伺服器主控台更新SAML提供者，請選擇SAML驗證，選取您的身分識別提供者，然後選擇編輯。您可以修改所有欄位，包括中繼資料和自訂屬性。

若要透過 OpenSearch 無伺服器更新提供者API，請傳送UpdateSecurityConfig要求並包含要更新之原則的識別碼。您還必須包含組態版本，您可以使用 ListSecurityConfigs 或 GetSecurityConfig 命令擷取該版本。將最新的版本納入其中，可確保您不會意外覆寫其他人所做的變更。

下列要求會更新提供者的SAML選項：

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

將您的SAML組態選項指定為 .json 檔案中的索引鍵值對映。

刪除SAML提供者

當您刪除SAML提供者時，對資料存取原則中關聯使用者和群組的任何參考將不再起作用。為避免混淆，建議您先移除存取政策中對端點的所有參考，然後再刪除該端點。

若要使用 OpenSearch 無伺服器主控台刪除SAML提供者，請選擇 [驗證]，選取提供者，然後選擇 [刪除]。

若要透過 OpenSearch 無伺服器刪除提供者API，請傳送要DeleteSecurityConfig求：

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider