Konfigurieren der Amazon-Cognito-Authentifizierung für Dashboards OpenSearch

Sie können Ihre OpenSearch Amazon-Service-Standardinstallation von OpenSearch Dashboards mit Amazon Cognito authentifizieren. Amazon-Cognito-Authentifizierung ist optional und nur für Domains verfügbar, die Elasticsearch 5.1 OpenSearch oder höher verwenden. Wenn Sie die Amazon-Cognito-Authentifizierung nicht konfigurieren, können Sie Dashboards dennoch mit einer IP-basierten Zugriffsrichtlinie und einem Proxy-Server, HTTP-Basisauthentifizierung oder SAML schützen.

Ein Großteil des Authentifizierungsprozesses findet in Amazon Cognito statt, aber dieser Abschnitt enthält Richtlinien und Anforderungen für die Konfiguration von Amazon-Cognito-Ressourcen für die Arbeit mit OpenSearch Service-Domains. Die Standardpreise gelten für alle Amazon-Cognito-Ressourcen.

Voraussetzungen

Bevor Sie die Amazon-Cognito-Authentifizierung für OpenSearch Dashboards konfigurieren können, müssen Sie einige Voraussetzungen erfüllen. Die OpenSearch Service-Konsole optimiert die Erstellung dieser Ressourcen, aber wenn Sie den Zweck der einzelnen Ressourcen verstehen, können Sie diese besser konfigurieren und Fehler beheben. Für die Amazon-Cognito-Authentifizierung für Dashboards sind die folgenden Ressourcen erforderlich:

Über den Benutzerpool

Benutzerpools haben zwei Hauptfunktionen: das Erstellen und Verwalten von Benutzerverzeichnissen und die Benutzerregistrierung und -anmeldung. Eine Anleitung zum Erstellen eines Benutzerpools finden Sie unter Erste Schritte mit Benutzerpools im Amazon-Cognito-Entwicklerhandbuch.

Wenn Sie einen Benutzerpool für die Verwendung mit OpenSearch Service erstellen, beachten Sie Folgendes:

Der Benutzerpool IDs hat die Form von. region_ID Wenn Sie den OpenSearch Service mit der AWS CLI oder einem AWS -SDK konfigurieren möchten, notieren Sie sich die ID.

Über den Identitätenpool

Mit Identitäten-Pools können Sie Benutzern nach der Anmeldung temporäre Rollen mit beschränkten Berechtigungen zuweisen. Eine Anleitung zum Erstellen eines Identitätenpools finden Sie unter Übersicht über die Identitätenpools-Konsole im Amazon-Cognito-Entwicklerhandbuch. Wenn Sie einen Identitätenpool für die Verwendung mit OpenSearch Service erstellen, beachten Sie Folgendes:

Der Identitätspool IDs hat die Form von. region:ID-ID-ID-ID-ID Wenn Sie den OpenSearch Service mit der AWS CLI oder einem AWS -SDK konfigurieren möchten, notieren Sie sich die ID.

Informationen über die CognitoAccessForAmazonOpenSearch-Rolle

OpenSearch Der Service benötigt die Berechtigung, um die Amazon-Cognito-Benutzer- und Identitätenpools zu konfigurieren und zur Authentifizierung zu verwenden. Sie können AmazonOpenSearchServiceCognitoAccess hierfür die AWS -verwaltete Richtlinie verwenden. AmazonESCognitoAccessist eine ältere Richtlinie, die durch AmazonOpenSearchServiceCognitoAccess die Umbenennung des Dienstes in Amazon OpenSearch Service ersetzt wurde. Beide Richtlinien bieten die Mindestberechtigungen für Amazon Cognito, die erforderlich sind, um die Amazon-Cognito-Authentifizierung zu aktivieren. Einzelheiten zu den Richtlinien finden Sie AmazonOpenSearchServiceCognitoAccessim Referenzhandbuch für AWS verwaltete Richtlinien.

Wenn Sie die Konsole verwenden, um Ihre OpenSearch Service-Domain zu erstellen oder zu konfigurieren, erstellt sie eine IAM-Rolle für Sie und hängt die AmazonOpenSearchServiceCognitoAccess Richtlinie (oder die AmazonESCognitoAccess Richtlinie, wenn es sich um eine Elasticsearch-Domain handelt) an die Rolle an. Der Standardname der Rolle lautet CognitoAccessForAmazonOpenSearch.

AmazonOpenSearchServiceCognitoAccessSowohl die Rollenberechtigungsrichtlinien AmazonESCognitoAccess als auch beide ermöglichen es dem OpenSearch Service, die folgenden Aktionen für alle Identitäts- und Benutzerpools auszuführen:

Wenn Sie die AWS CLI oder eine der verwenden AWS SDKs, müssen Sie eine eigene Rolle erstellen, die Richtlinie anfügen und den ARN für diese Rolle beim Konfigurieren der OpenSearch Service-Domäne angeben. Die Rolle muss über die folgende Vertrauensstellung verfügen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Anweisungen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen für einen AWS Dienst und Hinzufügen und Entfernen von IAM-Identitätsberechtigungen im IAM-Benutzerhandbuch.

Konfigurieren einer Domain zur Verwendung der Amazon-Cognito-Authentifizierung

Sobald Sie die Voraussetzungen erfüllen, können Sie eine OpenSearch Service-Domain konfigurieren, um Amazon Cognito für Dashboards zu verwenden.

Konfigurieren der Amazon-Cognito-Authentifizierung (Konsole)

Da die Konsole die CognitoAccessForAmazonOpenSearch Rolle für Sie erstellt, bietet sie das einfachste Konfigurationsverfahren. Neben den OpenSearch Standard-Service-Standardberechtigungen benötigen Sie die folgenden Berechtigungen, um mit der Konsole eine Domain zu erstellen, die Amazon-Cognito-Authentifizierung für OpenSearch Dashboards verwendet.

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools",
        "iam:CreateRole",
        "iam:AttachRolePolicy"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Anweisungen zum Hinzufügen von Berechtigungen zu einer Identität (Benutzer, Gruppe oder Rolle) finden Sie unter Hinzufügen von IAM-Identitätsberechtigungen (Konsole).

Wenn CognitoAccessForAmazonOpenSearch bereits vorhanden ist, benötigen Sie weniger Berechtigungen:

{
  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeVpcs",
        "cognito-identity:ListIdentityPools",
        "cognito-idp:ListUserPools"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

Nachdem Ihre Domain die Verarbeitung abgeschlossen hat, finden Sie unter Zulassen der authentifizierten Rolle und Konfigurieren von Identitätsanbietern weitere Konfigurationsschritte.

Konfigurieren der Amazon-Cognito-Authentifizierung (AWS CLI)

Verwenden Sie den --cognito-options Parameter, um Ihre OpenSearch Service-Domain zu konfigurieren. Die folgende Syntax wird von den create-domain- und update-domain-config-Befehlen verwendet:

--cognito-options Enabled=true,UserPoolId="user-pool-id",IdentityPoolId="identity-pool-id",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Beispiel

Im folgenden Beispiel wird eine Domain in der Region us-east-1 erstellt, die Amazon-Cognito-Authentifizierung für Dashboards mit der Rolle CognitoAccessForAmazonOpenSearch aktiviert und der Domain Zugriff auf Cognito_Auth_Role erlaubt:

aws opensearch create-domain --domain-name my-domain --region us-east-1 --access-policies '{ "Version":"2012-10-17", "Statement":[{"Effect":"Allow","Principal":{"AWS": ["arn:aws:iam::123456789012:role/Cognito_Auth_Role"]},"Action":"es:ESHttp*","Resource":"arn:aws:es:us-east-1:123456789012:domain/*" }]}' --engine-version "OpenSearch_1.0" --cluster-config InstanceType=m4.xlarge.search,InstanceCount=1 --ebs-options EBSEnabled=true,VolumeSize=10 --cognito-options Enabled=true,UserPoolId="us-east-1_123456789",IdentityPoolId="us-east-1:12345678-1234-1234-1234-123456789012",RoleArn="arn:aws:iam::123456789012:role/CognitoAccessForAmazonOpenSearch"

Nachdem Ihre Domain die Verarbeitung abgeschlossen hat, finden Sie unter Zulassen der authentifizierten Rolle und Konfigurieren von Identitätsanbietern weitere Konfigurationsschritte.

Konfigurieren der Amazon-Cognito-Authentifizierung ()AWS SDKs

Die AWS SDKs (außer Android und iOS SDKs) unterstützen alle Operationen, die in der Amazon OpenSearch Service API-Referenz definiert sind, einschließlich des CognitoOptions Parameters für die UpdateDomainConfig Operationen CreateDomain und. Weitere Informationen über die Installation und Verwendung von finden Sie unter AWS -Software-Entwicklungs-Kits. AWS SDKs

Nachdem Ihre Domain die Verarbeitung abgeschlossen hat, finden Sie unter Zulassen der authentifizierten Rolle und Konfigurieren von Identitätsanbietern weitere Konfigurationsschritte.

Zulassen der authentifizierten Rolle

Standardmäßig verfügt die IAM-Rolle, die Sie nach der Anleitung unter erstellt haben, Über den Identitätenpool nicht über die erforderlichen Berechtigungen für Dashboards. OpenSearch Sie müssen der Rolle zusätzliche Berechtigungen gewähren.

Sie können diese Berechtigungen in eine identitätsbasierte Richtlinie aufnehmen, aber wenn Sie nicht möchten, dass authentifizierte Benutzer Zugriff auf alle OpenSearch Dienstdomänen haben, ist eine ressourcenbasierte Richtlinie vorzuziehen, die an eine einzelne Domäne angefügt wird.

Geben Sie für Principal den ARN der von Cognito authentifizierten Rolle an, die Sie mit den Richtlinien in Über den Identitätenpool konfiguriert haben.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":[
               "arn:aws:iam::123456789012:role/Cognito_identitypoolnameAuth_Role"
            ]
         },
         "Action":[
            "es:ESHttp*"
         ],
         "Resource":"arn:aws:es:region:123456789012:domain/domain-name/*"
      }
   ]
}

Eine Anleitung zum Hinzufügen von ressourcenbasierten Richtlinien zu OpenSearch Dienstdomänen finden Sie unter. Konfigurieren von Zugriffsrichtlinien

Konfigurieren von Identitätsanbietern

Wenn Sie eine Domain konfigurieren, um Amazon-Cognito-Authentifizierung für Dashboards zu verwenden, fügt OpenSearch Service dem Benutzerpool einen App-Client hinzu und fügt den Benutzerpool dem Identitäten-Pool als Authentifizierungsanbieter hinzu.

Je nachdem, wie Sie Ihren Benutzerpool konfiguriert haben, müssen Sie Benutzerkonten entweder manuell erstellen oder Benutzer können eigene Konten erstellen. Wenn Sie mit diesen Einstellungen zufrieden sind, müssen Sie nichts weiter unternehmen. Viele Anwender verwenden jedoch lieber externe Identitätsanbieter.

Um einen SAML 2.0-Identitätsanbieter zu aktivieren, müssen Sie ein SAML-Metadatendokument bereitstellen. Um soziale Identitätsanbieter wie Login with Amazon, Facebook und Google zu aktivieren, müssen Sie über eine App-ID und einen geheimen App-Schlüssel von diesen Anbietern verfügen. Sie können Identitätsanbieter in beliebigen Kombinationen aktivieren.

Der einfachste Weg, Ihren Benutzerpool zu konfigurieren, erfolgt über die Amazon-Cognito-Konsole. Anweisungen finden Sie unter Benutzerpool-Anmeldung mit externen Identitätsanbietern und Anwendungsspezifische Einstellungen mit App-Client im Amazon Cognito Developer Guide.

(Optional) Konfigurieren von individuell festgelegtem Zugriff

Ihnen ist wahrscheinlich aufgefallen, dass mit den Standardeinstellungen des Identitätenpools jedem Benutzer, der sich anmeldet, dieselbe IAM-Rolle zugewiesen wird (Cognito_identitypoolAuth_Role). Hierdurch erhalten alle Benutzer Zugriff auf dieselben AWS -Ressourcen. Wenn Sie die differenzierte Zugriffskontrolle mit Amazon Cognito verwenden möchten – etwa weil Sie wollen, dass die Analysten Ihrer Organisation schreibgeschützt auf mehrere Indizes zugreifen, Entwickler aber Schreibzugriff auf alle Indizes haben sollen – haben Sie zwei Möglichkeiten:

Ein Walkthrough, das die differenzierte Zugriffskontrolle enthält, finden Sie unter Tutorial: Konfigurieren einer Domain mit einem IAM-Hauptbenutzer und Amazon-Cognito-Authentifizierung.

Benutzergruppen und Token

Wenn Sie eine Benutzergruppe erstellen, wählen Sie eine IAM-Rolle für die Mitglieder dieser Gruppe aus. Informationen zum Erstellen von Gruppen finden Sie unter Hinzufügen von Gruppen zu einem Benutzerpool im Amazon Cognito Developer Guide.

Nachdem Sie mindestens eine Benutzergruppe erstellt haben, können Sie Ihren Authentifizierungsanbieter so konfigurieren, dass er Benutzern die Rollen ihrer jeweiligen Gruppe anstelle der Standardrolle des Identitäten-Pools zuweist. Wählen Sie Rolle aus Token auswählen aus, und wählen Sie dann entweder Authentifizierte Standardrolle verwenden oder VERWEIGERN, um anzugeben, wie der Identitätenpool Benutzer behandelt, die nicht Teil einer Gruppe sind.

Regeln

Regeln bestehen im Grunde genommen aus einer Reihe von if-Anweisungen, die Amazon Cognito der Reihe nach auswertet. Wenn die E-Mail-Adresse eines Benutzers beispielsweise @corporate enthält, weist Amazon Cognito dem Benutzer Role_A zu. Wenn die E-Mail-Adresse eines Benutzers @subsidiary enthält, wird dem Benutzer Role_B zugewiesen. Andernfalls wird dem Benutzer die Standardauthentifizierungsrolle zugewiesen.

Weitere Informationen finden Sie unter Verwenden von regelbasierter Zuordnung zum Zuweisen von Rollen zu Benutzern im Amazon Cognito Developer Guide.

(Optional) Anpassen der Anmeldeseite

Sie können die Amazon-Cognito-Konsole verwenden, um ein benutzerdefiniertes Logo hochzuladen und CSS-Änderungen an der Anmeldeseite vorzunehmen. Eine Anleitung sowie eine vollständige Liste der CSS-Eigenschaften finden Sie unter Anpassen des Brandings der gehosteten Benutzeroberfläche (klassisch) im Amazon-Cognito-Entwicklerhandbuch.

(Optional) Konfiguration der erweiterten Sicherheit

Amazon-Cognito-Benutzerpools unterstützen erweiterte Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung, Überprüfung auf nicht mehr zuverlässige Anmeldeinformationen und die adaptive Authentifizierung. Weitere Informationen finden Sie unter Verwenden der Sicherheitsfunktionen von Amazon Cognito Cognito-Benutzerpools im Amazon Cognito Cognito-Entwicklerhandbuch.

Testen

Wenn Sie mit der Konfiguration zufrieden sind, stellen Sie sicher, dass die Benutzererfahrung Ihren Erwartungen entspricht.

Falls ein Schritt in diesem Prozess fehlschlägt, finden Sie unter Häufige Konfigurationsprobleme Hilfestellung zur Problembehebung.

Kontingente

In Amazon Cognito sind Soft Limits für viele Ressourcen konfiguriert. Wenn Sie die Dashboard-Authentifizierung für eine große Anzahl von OpenSearch Service-Domains aktivieren möchten, überprüfen Sie die Kontingente in Amazon Cognito und fordern Sie bei Bedarf Limiterhöhungen an.

Jede OpenSearch Dienstdomain fügt einen App-Client zum Benutzerpool hinzu, der wiederum einen Authentifizierungsanbieter zum Identitätenpool hinzufügt. Wenn Sie die OpenSearch Dashboard-Authentifizierung für mehr als 10 Domains aktivieren, erreichen Sie möglicherweise das Limit „Maximale Anzahl an Amazon-Cognito-Benutzerpool-Anbietern pro Identitätenpool“. Wird dieses Limit überschritten, verbleiben alle OpenSearch Service-Domains, die Sie konfigurieren, um Amazon-Cognito-Authentifizierung für Dashboards zu verwenden, im Konfigurationszustand Processing (Wird verarbeitet).

Häufige Konfigurationsprobleme

Die folgenden Tabellen enthalten häufige Konfigurationsprobleme und deren Lösungen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::123456789012:role/service-role/CognitoAccessForAmazonOpenSearch"
    }
  ]
}

aws cognito-idp list-user-pools --max-results 60 --region region

aws cognito-identity list-identity-pools --max-results 60 --region region

aws cognito-idp create-user-pool-domain --domain name --user-pool-id id

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "cognito-identity.amazonaws.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "cognito-identity.amazonaws.com:aud": "identity-pool-id"
      },
      "ForAnyValue:StringLike": {
        "cognito-identity.amazonaws.com:amr": "authenticated"
      }
    }
  }]
}

Deaktivieren der Amazon-Cognito-Authentifizierung für Dashboards OpenSearch

Gehen Sie wie folgt vor, um die Amazon-Cognito-Authentifizierung für Dashboards zu deaktivieren.

Löschen von Domänen, die Amazon-Cognito-Authentifizierung für OpenSearch Dashboards verwenden

Um zu verhindern, dass Domänen, die Amazon-Cognito-Authentifizierung für Dashboards verwenden, im Konfigurationszustand Processing (In Verarbeitung) hängenbleiben, löschen Sie zuerst die OpenSearch Service-Domänen, bevor Sie die ihnen zugeordneten Amazon-Cognito-Benutzer- und -Identitätspools löschen.