View a markdown version of this page

Aktivieren Sie den SAML-Verbund mit AWS Identity and Access Management - OpenSearch Amazon-Dienst
Schritt 1: Richten Sie die Identitätsanbieter-Anwendung (Okta) einSchritt 2: Einrichten AWS Konfiguration für OktaSchritt 3: Erstellen Sie die Amazon OpenSearch Service-Zugriffsrichtlinie in IAMSchritt 4: Überprüfen Sie das vom Identitätsanbieter initiierte Einzelerlebnis mit SAML Sign-OnSchritt 5: Konfigurieren Sie die auf SAML-Attributen basierende, feinkörnige Zugriffskontrolle

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktivieren Sie den SAML-Verbund mit AWS Identity and Access Management

OpenSearch Die Benutzeroberfläche unterstützt Security Assertion Markup Language 2.0 (SAML), einen offenen Standard, den viele Identitätsanbieter verwenden. Dies ermöglicht den Identitätsverbund mit AWS Identity and Access Management (IAM). Mit dieser Unterstützung können Benutzer in Ihrem Konto oder Ihrer Organisation direkt auf die OpenSearch Benutzeroberfläche zugreifen, indem sie IAM-Rollen übernehmen. Sie können für Ihre Endbenutzer ein vom Identitätsanbieter (IdP) initiiertes Single-Sign-On-Erlebnis einrichten, bei dem sie sich beim externen Identitätsanbieter authentifizieren und direkt zu Ihrer definierten Seite in der Benutzeroberfläche weitergeleitet werden können. OpenSearch Sie können auch eine differenzierte Zugriffskontrolle implementieren, indem Sie Ihre Endbenutzer oder Gruppen so konfigurieren, dass sie unterschiedliche IAM-Rollen mit unterschiedlichen Zugriffsberechtigungen für die Benutzeroberfläche und die zugehörigen Datenquellen übernehmen. OpenSearch

In diesem Thema finden Sie schrittweise Anleitungen zur Konfiguration der SAML-Verwendung mit der Benutzeroberfläche. OpenSearch In diesen Verfahren verwenden wir die Schritte zur Konfiguration der Okta-Anwendung für Identitäts- und Zugriffsmanagement als Beispiel. Die Konfigurationsschritte für andere Identitätsanbieter wie Azure Active Directory und Ping sind ähnlich.

Anmerkung

Wenn Sie AWS IAM Identity Center verwenden, müssen Sie den SAML-Verbund nicht wie in diesem Thema beschrieben konfigurieren. OpenSearch UI unterstützt IAM Identity Center nativ, das SSO-Zugriff ohne zusätzliche SAML-Konfiguration ermöglicht. IAM Identity Center unterstützt auch die Benutzer- und Gruppenverwaltung auf Organisationsebene. Die hier beschriebene SAML-Integration ist für externe Identitätsanbieter (wie Okta, Azure Active Directory und Ping) vorgesehen, bei denen es sich nicht um IAM Identity Center handelt.

Schritt 1: Richten Sie die Identitätsanbieter-Anwendung (Okta) ein

Um SAML mit OpenSearch UI zu verwenden, müssen Sie zunächst Ihren Identitätsanbieter einrichten.

Aufgabe 1: Okta-Benutzer erstellen

  1. Melden Sie sich bei Ihrer Okta-Organisation unter https://login.okta.com/ als Benutzer mit Administratorrechten an.

  2. Wählen Sie in der Admin-Konsole im Navigationsbereich unter Verzeichnis die Option Personen aus.

  3. Wählen Sie Person hinzufügen aus.

  4. Geben Sie unter Vorname den Vornamen des Benutzers ein.

  5. Geben Sie unter Nachname den Nachnamen des Benutzers ein.

  6. Geben Sie als Benutzername den Benutzernamen des Benutzers im E-Mail-Format ein.

  7. Wählen Sie Ich werde ein Passwort festlegen und geben Sie ein Passwort ein

  8. (Optional) Deaktivieren Sie das Feld Benutzer muss das Passwort bei der ersten Anmeldung ändern, wenn Sie nicht möchten, dass der Benutzer das Passwort bei der ersten Anmeldung ändert.

  9. Wählen Sie Speichern.

Aufgabe 2: Gruppen erstellen und zuweisen

  1. Melden Sie sich bei Ihrer Okta-Organisation unter https://login.okta.com/ als Benutzer mit Administratorrechten an.

  2. Wählen Sie in der Admin-Konsole im Navigationsbereich unter Verzeichnis die Option Gruppen aus.

  3. Wählen Sie Add Group (Gruppe hinzufügen) aus.

  4. Geben Sie einen Gruppennamen ein und wählen Sie Speichern.

  5. Wählen Sie die neu erstellte Gruppe aus und wählen Sie dann Personen zuweisen aus.

  6. Wählen Sie das Pluszeichen (+) und dann „Fertig“.

  7. (Optional) Wiederholen Sie die Schritte 1—6, um weitere Gruppen hinzuzufügen.

Aufgabe 3: Okta-Anwendungen erstellen

  1. Melden Sie sich bei Ihrer Okta-Organisation unter https://login.okta.com/ als Benutzer mit Administratorrechten an.

  2. Wählen Sie in der Admin-Konsole im Navigationsbereich unter Anwendungen die Option Anwendungen aus.

  3. Wählen Sie Create App Integration (App-Integration erstellen).

  4. Wählen Sie SAML 2.0 als Anmeldemethode und wählen Sie dann Weiter.

  5. Geben Sie einen Namen für Ihre App-Integration ein (z. B.OpenSearch_UI), und wählen Sie dann Weiter aus.

  6. Geben Sie die folgenden Werte in die App ein; andere Werte müssen Sie nicht ändern:

    1. 1. Geben Sie für Single Sign On URL die kommerziellen AWS Regionen oder die https://signin.aws.amazon.com/saml für Ihre Region spezifische URL ein.

    2. 2. Geben Sie für Audience URI (SP Entity ID) Folgendes einurn:amazon:webservices.

    3. 3. Geben Sie für das Name-ID-Format Folgendes einEmailAddress.

  7. Wählen Sie Weiter aus.

  8. Wählen Sie Ich bin ein Okta-Kunde und füge eine interne App hinzu, und wählen Sie dann Dies ist eine interne App, die wir erstellt haben.

  9. Wählen Sie Finish (Abschließen).

  10. Wählen Sie Aufgaben und dann Zuweisen aus.

  11. Wählen Sie Gruppen zuweisen und dann neben den Gruppen, die Sie hinzufügen möchten, die Option Zuweisen aus.

  12. Wählen Sie Fertig aus.

Aufgabe 4: Richten Sie die erweiterte Okta-Konfiguration ein

Nachdem Sie die benutzerdefinierte SAML-Anwendung erstellt haben, führen Sie die folgenden Schritte aus:

  1. Melden Sie sich https://login.okta.com/ als Benutzer mit Administratorrechten bei Ihrer Okta-Organisation unter an.

    Wählen Sie auf der Administratorkonsole im Bereich Allgemein unter SAML-Einstellungen die Option Bearbeiten aus.

  2. Wählen Sie Weiter aus.

  3. Stellen Sie den Standard-Relay-Status auf den OpenSearch UI-Endpunkt ein. Verwenden Sie dazu das folgende Format:

    https://region.console.aws.amazon.com/aos/home?region=region#opensearch/applications/application-id/redirectToDashboardURL.

    Im Folgenden wird ein Beispiel gezeigt:

    https://us-east-2.console.aws.amazon.com/aos/home?region=us-east-2#opensearch/applications/abc123def4567EXAMPLE/redirectToDashboardURL

  4. Fügen Sie unter Attributanweisungen (optional) die folgenden Eigenschaften hinzu:

    1. Geben Sie die IAM-Rolle und den Identitätsanbieter mithilfe des Role-Attributs im kommagetrennten Format an. Sie werden dieselbe IAM-Rolle und denselben Identitätsanbieter in einem späteren Schritt beim Einrichten der Konfiguration verwenden. AWS

    2. Stellen Sie user.login für ein. RoleSessionName Dies wird als Bezeichner für die temporären Anmeldeinformationen verwendet, die ausgegeben werden, wenn die Rolle übernommen wird.

    Als Referenz:

    Name Format des Namens Format Beispiel

    https://aws.amazon.com/SAML/Attributes/Role

    Nicht spezifiziert

    arn:aws:iam::aws-account-id:role/role-name,arn:aws:iam::aws-account-id:saml-provider/provider-name

    arn:aws:iam::111222333444:role/oktarole,arn:aws:iam::111222333444:saml-provider/oktaidp

    https://aws.amazon.com/SAML/Attributes/RoleSessionName

    Nicht spezifiziert

    user.login

    user.login

  5. Nachdem Sie die Attributeigenschaften hinzugefügt haben, wählen Sie Weiter und dann Fertig stellen.

Ihre Attribute sollten ein ähnliches Format wie in der folgenden Abbildung haben. Der Wert Default Relay State ist die URL, mit der die Landingpage für Endbenutzer in Ihrem Konto oder Ihrer Organisation definiert wird, nachdem diese die Single-Sign-On-Validierung von Okta abgeschlossen haben. Sie können ihn für jede Seite in der OpenSearch Benutzeroberfläche festlegen und diese URL dann den vorgesehenen Endbenutzern zur Verfügung stellen.

Im Bereich „SAML 2.0" werden die Standard-Relay-Status-URL und die Metadaten-URL für eine Anwendung gemeldet.

Schritt 2: Einrichten AWS Konfiguration für Okta

Führen Sie die folgenden Aufgaben aus, um Ihre AWS Konfiguration für Okta einzurichten.

Aufgabe 1: Okta-Informationen sammeln

Für diesen Schritt müssen Sie Ihre Okta-Informationen sammeln, damit Sie sie später konfigurieren können. AWS

  1. Melden Sie sich https://login.okta.com/ als Benutzer mit Administratorrechten bei Ihrer Okta-Organisation an.

  2. Wählen Sie auf der Registerkarte „Anmelden“ in der unteren rechten Ecke der Seite die Option SAML-Setup-Anweisungen anzeigen aus.

  3. Notieren Sie sich den Wert für Identity Provider Single Sign-on URL. Sie können diese URL verwenden, wenn Sie eine Verbindung zu einem SQL-Client eines Drittanbieters wie SQL herstellen Workbench/J.

  4. Verwenden Sie die Metadaten des Identitätsanbieters in Block 4 und speichern Sie dann die Metadatendatei im XML-Format (z. B.metadata.xml).

Aufgabe 2: Erstellen Sie den IAM-Anbieter

Gehen Sie wie folgt vor, um Ihren IAM-Anbieter zu erstellen:

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

  2. Wählen Sie im Navigationsbereich unter Zugriffsverwaltung die Option Identitätsanbieter aus.

  3. Wählen Sie Add provider (Anbieter hinzufügen) aus.

  4. Wählen Sie SAML als Anbietertyp aus.

  5. Geben Sie als Anbietername einen Namen ein.

  6. Wählen Sie für Metadatendokument die Option Datei auswählen und laden Sie die zuvor heruntergeladene Metadatendatei (.xml) hoch.

  7. Wählen Sie Add provider (Anbieter hinzufügen) aus.

Aufgabe 3: IAM-Rolle erstellen

Gehen Sie wie folgt vor, um Ihre AWS Identity and Access Management Rolle zu erstellen:

  1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich unter Zugriffsverwaltung die Option Rollen aus.

  3. Wählen Sie Rolle erstellen aus.

  4. Wählen Sie für den Entitätstyp „Vertrauenswürdiger“ die Option SAML 2.0-Verbund aus.

  5. Wählen Sie für einen SAML 2.0-basierten Anbieter den Identitätsanbieter aus, den Sie zuvor erstellt haben.

  6. Wählen Sie Programmatik und Zugriff zulassen aus. AWS-Managementkonsole

  7. Anmerkung

    Wählen Sie unter Sign-in Endpunkte die Option Ohne eindeutige Identifikatoren aus. Wenn Sie die Option mit eindeutigen Identifikatoren auswählen, entspricht die SAML:aud Bedingung in der Vertrauensrichtlinie nicht der SAML-Assertion-Zielgruppe, was zu einem AccessDenied Fehler führt, wenn Benutzer versuchen, sich anzumelden.

  8. Wählen Sie Weiter aus.

  9. Aktivieren Sie in der Liste der Berechtigungsrichtlinien die Kontrollkästchen für Richtlinien, die OpenSearch Dienstberechtigungen gewähren, z. B. AWS verwaltete Richtlinien AmazonOpenSearchServiceFullAccess.

  10. Wählen Sie Weiter aus.

  11. Geben Sie im Bereich Überprüfen unter Rollenname den Namen Ihrer Rolle ein, oktarole z. B.

  12. (Optional) Geben Sie unter Beschreibung eine kurze Beschreibung des Zwecks der Rolle ein.

  13. Wählen Sie Rolle erstellen aus.

  14. Navigieren Sie zu der Rolle, die Sie gerade erstellt haben, wählen Sie die Registerkarte Vertrauensbeziehungen und dann Vertrauensrichtlinie bearbeiten aus.

  15. Wählen Sie im Bereich „Anweisung bearbeiten“ unter „Aktionen für STS hinzufügen“ das Feld für aus TagSession.

  16. Wählen Sie Richtlinie aktualisieren.

Schritt 3: Erstellen Sie die Amazon OpenSearch Service-Zugriffsrichtlinie in IAM

Erfahren Sie, wie Sie Ihre IAM-Rollen für die OpenSearch Zugriffskontrolle konfigurieren. Mit IAM-Rollen können Sie eine fein abgestimmte Zugriffskontrolle für Ihre Okta-Benutzergruppen für den Zugriff auf Ressourcen implementieren. OpenSearch In diesem Thema wird die rollenbasierte IAM-Konfiguration anhand von zwei Beispielgruppen veranschaulicht.

Sample group: Alice

Anforderung:

GET _plugins/_security/api/roles/alice-group

Ergebnis:

{
  "alice-group": {
    "reserved": false,
    "hidden": false,
    "cluster_permissions": [
      "unlimited"
    ],
    "index_permissions": [
      {
        "index_patterns": [
          "alice*"
        ],
        "dls": "",
        "fls": [],
        "masked_fields": [],
        "allowed_actions": [
          "indices_all"
        ]
      }
    ],
    "tenant_permissions": [
      {
        "tenant_patterns": [
          "global_tenant"
        ],
        "allowed_actions": [
          "kibana_all_write"
        ]
      }
    ],
    "static": false
  }
}
Sample group: Bob

Anforderung:

GET _plugins/_security/api/roles/bob-group

Ergebnis:

{
  "bob-group": {
    "reserved": false,
    "hidden": false,
    "cluster_permissions": [
      "unlimited"
    ],
    "index_permissions": [
      {
        "index_patterns": [
          "bob*"
        ],
        "dls": "",
        "fls": [],
        "masked_fields": [],
        "allowed_actions": [
          "indices_all"
        ]
      }
    ],
    "tenant_permissions": [
      {
        "tenant_patterns": [
          "global_tenant"
        ],
        "allowed_actions": [
          "kibana_all_write"
        ]
      }
    ],
    "static": false
  }
}

Sie können die Amazon OpenSearch Service-Domänenrollen mithilfe der Backend-Rollenzuordnung IAM-Rollen zuordnen, wie im folgenden Beispiel veranschaulicht:

{
  "bob-group": {
    "hosts": [],
    "users": [],
    "reserved": false,
    "hidden": false,
    "backend_roles": [
      "arn:aws:iam::111222333444:role/bob-group"
    ],
    "and_backend_roles": []
  },
  "alice-group": {
    "hosts": [],
    "users": [],
    "reserved": false,
    "hidden": false,
    "backend_roles": [
      "arn:aws:iam::111222333444:role/alice-group"
    ],
    "and_backend_roles": []
  }
}

Schritt 4: Überprüfen Sie das vom Identitätsanbieter initiierte Einzelerlebnis mit SAML Sign-On

Öffnen Sie die URL für den Standard-Relay-Status, um die Okta-Authentifizierungsseite zu öffnen. Geben Sie die Anmeldeinformationen eines Endbenutzers ein. Sie werden automatisch zur OpenSearch Benutzeroberfläche weitergeleitet.

Sie können Ihre aktuellen Anmeldeinformationen überprüfen, indem Sie unten im Navigationsbereich auf das Benutzersymbol klicken, wie in der folgenden Abbildung dargestellt:

Wenn Sie auf der Okta-Seite „Einstellungen und Einrichtung“ auf das Benutzersymbol klicken, werden die Anmeldeinformationen des aktuellen Benutzers angezeigt.

Sie können die detaillierten Zugriffsberechtigungen für den Benutzer auch überprüfen, indem Sie unten im Navigationsbereich auf die Entwicklertools zugreifen und Abfragen in der Konsole ausführen. Im Folgenden finden Sie Beispielabfragen.

Example 1: Displays information about the current user

Anforderung:

GET _plugins/_security/api/account

Ergebnis:

{
  "user_name": "arn:aws:iam::XXXXXXXXXXXX:role/bob-group",
  "is_reserved": false,
  "is_hidden": false,
  "is_internal_user": false,
  "user_requested_tenant": null,
  "backend_roles": [
    "arn:aws:iam::XXXXXXXXXXXX:role/bob-group"
  ],
  "custom_attribute_names": [],
  "tenants": {
    "global_tenant": true,
    "arn:aws:iam::XXXXXXXXXXXX:role/bob-group": true
  },
  "roles": [
    "bob-group"
  ]
}
Example 2: Displays actions permitted for a user

Anforderung:

GET bob-test/_search

Ergebnis:

{
  "took": 390,
  "timed_out": false,
  "_shards": {
    "total": 5,
    "successful": 5,
    "skipped": 0,
    "failed": 0
  },
  "hits": {
    "total": {
      "value": 1,
      "relation": "eq"
    },
    "max_score": 1,
    "hits": [
      {
        "_index": "bob-test",
        "_id": "ui01N5UBCIHpjO8Jlvfy",
        "_score": 1,
        "_source": {
          "title": "Your Name",
          "year": "2016"
        }
      }
    ]
  }
}
Example 3: Displays actions not permitted for a user

Anforderung:

GET alice-test

Ergebnis:

{
  "error": {
    "root_cause": [
      {
        "type": "security_exception",
        "reason": "no permissions for [indices:admin/get] and User [name=arn:aws:iam::111222333444:role/bob-group, backend_roles=[arn:aws:iam::111222333444:role/bob-group], requestedTenant=null]"
      }
    ],
    "type": "security_exception",
    "reason": "no permissions for [indices:admin/get] and User [name=arn:aws:iam::111222333444:role/bob-group, backend_roles=[arn:aws:iam::111222333444:role/bob-group], requestedTenant=null]"
  },
  "status": 403
}

Schritt 5: Konfigurieren Sie die auf SAML-Attributen basierende, feinkörnige Zugriffskontrolle

Mit Amazon OpenSearch Service können Sie die fein abgestufte Zugriffskontrolle mit SAML verwenden, um Benutzer und Gruppen von Ihrem Identitätsanbieter dynamisch Benutzern und Rollen mit detaillierter Zugriffskontrolle zuzuordnen. OpenSearch Sie können diese Rollen bestimmten OpenSearch Domänen und serverlosen Sammlungen zuordnen und Berechtigungen auf Indexebene und Sicherheit auf Dokumentebene definieren.

Anmerkung

Weitere Informationen zur detaillierten Zugriffskontrolle finden Sie unter. Fine-grained Zugriffskontrolle in Amazon OpenSearch Service

SAML-Attribute für eine feinkörnige Zugriffskontrolle

Betreffschlüssel

Wird einem eindeutigen Benutzerattribut zugeordnet, z. B. einer E-Mail-Adresse oder einem Benutzernamen, das den Benutzer für die Authentifizierung identifiziert.

RolesKey

Ordnet Gruppen- oder Rollenattributen in Ihrem IdP zu, die die Rollen oder Berechtigungen für die Autorisierung festlegen.

Aufgabe 1: Konfigurieren Sie Okta für eine detaillierte Zugriffskontrolle

Um Okta für eine feinkörnige Zugriffskontrolle zu konfigurieren

  1. Fügen Sie im Abschnitt Attributanweisungen ein neues Attribut für den OpenSearch Benutzerprinzipal hinzu:

    • Name: UserName

    • Wert: ${user-email}

    Dieses Attribut wird in der detaillierten OpenSearch Zugriffskontrollkonfiguration für die Authentifizierung als Betreffschlüssel verwendet.

  2. Fügen Sie im Abschnitt „Anweisung zum Gruppenattribut“ ein Gruppenattribut für Rollen hinzu:

    • Name: groups

    • Filter: OpenSearch_xxx

    Dieses Attribut wird als Rollenschlüssel für die Zuordnung von Gruppen zu detaillierten OpenSearch Zugriffssteuerungsrollen für die Autorisierung verwendet.

Aufgabe 2: SAML in der Domäne konfigurieren OpenSearch

Um SAML in der Domäne zu konfigurieren OpenSearch

  1. Identifizieren Sie in der AWS Management Console die OpenSearch Dienstdomäne, für die Sie eine differenzierte Zugriffskontrolle für die Benutzer der OpenSearch Benutzeroberfläche aktivieren möchten.

  2. Navigieren Sie zur Detailseite der jeweiligen Domain.

  3. Wählen Sie die Registerkarte Sicherheitskonfiguration und klicken Sie auf Bearbeiten.

  4. Erweitern Sie SAML über IAM Federate.

  5. Geben Sie das subjectKey und einroleKey, das Sie in Okta definiert haben.

  6. Wählen Sie Änderungen speichern aus.

Sie können auch eine feinkörnige Zugriffskontrolle mit dem konfigurieren. AWS CLI

aws opensearch create-domain \
--domain-name testDomain \
--engine-version OpenSearch_1.3 \
--cluster-config InstanceType=r5.xlarge.search,InstanceCount=1,DedicatedMasterEnabled=false,ZoneAwarenessEnabled=false,WarmEnabled=false \
--access-policies '{"Version": "2012-10-17","Statement":[{"Effect":"Allow","Principal":{"AWS":"*"},"Action":"es:*","Resource":"arn:aws:es:us-east-1:12345678901:domain/neosaml10/*"}]}' \
--domain-endpoint-options '{"EnforceHTTPS":true,"TLSSecurityPolicy":"Policy-Min-TLS-1-2-2019-07"}' \
--node-to-node-encryption-options '{"Enabled":true}' \
--encryption-at-rest-options '{"Enabled":true}' \
--advanced-security-options '{"Enabled":true,"InternalUserDatabaseEnabled":true,"MasterUserOptions":{"MasterUserName":"********","MasterUserPassword":"********"}, "IAMFederationOptions":{"Enabled": true,"SubjectKey":"TestSubjectKey","RolesKey":"TestRolesKey"}}' \
--ebs-options "EBSEnabled=true,VolumeType=gp2,VolumeSize=300" \
--no-verify-ssl \
--endpoint-url https://es.us-east-1.amazonaws.com \
--region us-east-1

Um eine bestehende Domain zu aktualisieren:

aws opensearch update-domain-config \
--domain-name testDomain \
--advanced-security-options '{"Enabled":true,"InternalUserDatabaseEnabled":true,"MasterUserOptions":{"MasterUserName":"********","MasterUserPassword":"********"}, "IAMFederationOptions":{"Enabled": true,"SubjectKey":"TestSubjectKey","RolesKey":"TestRolesKey"}}' \
--ebs-options "EBSEnabled=true,VolumeType=gp2,VolumeSize=300" \
--no-verify-ssl \
--endpoint-url https://es.us-east-1.amazonaws.com \
--region us-east-1

Aufgabe 3: SAML in OpenSearch serverlosen Sammlungen konfigurieren

Um eine SAML-based feinkörnige Zugriffskontrolle in Serverless zu konfigurieren OpenSearch

  1. Öffnen Sie das AWS-Managementkonsole und navigieren Sie zu Amazon Service. OpenSearch

  2. Wählen Sie im Navigationsbereich unter Serverlos die Option Sicherheit und dann Authentifizierung aus.

  3. Wählen Sie im Abschnitt IAM Federation die Option Bearbeiten aus.

    Mit dieser Konfiguration können Sie die auf SAML-Attributen basierende, feingranulare Zugriffskontrolle steuern. IAM Federation ist standardmäßig deaktiviert.

  4. Wählen Sie IAM-Verbund aktivieren aus.

  5. Geben Sie die roleKey Werte subjectKey und ein, die Sie in Okta definiert haben.

    Weitere Informationen finden Sie unter SAML-Attribute für eine feinkörnige Zugriffskontrolle.

  6. Wählen Sie Speichern aus.

  7. Wählen Sie im Navigationsbereich unter Serverless die Option Datenzugriffsrichtlinie aus.

  8. Aktualisieren Sie entweder eine vorhandene Richtlinie oder erstellen Sie eine neue.

  9. Erweitern Sie eine Regel, wählen Sie Prinzipale hinzufügen und wählen Sie dann IAM Federation-Benutzer und -Gruppen aus.

  10. Fügen Sie die erforderlichen Principals hinzu und wählen Sie Speichern.

  11. Wählen Sie Grant (Erteilen).

  12. Gehen Sie gemäß dieser Regel wie folgt vor:

    • Wählen Sie die Berechtigungen aus, die Sie für die ausgewählten Hauptbenutzer definieren möchten.

    • Geben Sie die Sammlungen an, auf die Sie die Berechtigungen anwenden möchten.

    • Definieren Sie optional Berechtigungen auf Indexebene.

    Anmerkung

    Sie können mehrere Regeln erstellen, um verschiedenen Gruppen von Prinzipalen unterschiedliche Berechtigungen zuzuweisen.

  13. Wenn Sie fertig sind, wählen Sie Speichern aus.

  14. Wählen Sie Erstellen aus.

Alternativ können Sie CLI verwenden, um die Sicherheitskonfigurationen für Sammlungen zu erstellen, wie unten angegeben:

aws opensearchserverless create-security-config --region "region"  --type iamfederation --name "configuration_name" --description "description" --iam-federation-options '{"groupAttribute":"GroupKey","userAttribute":"UserKey"}'