Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Support de propagation d'identité fiable d'IAM Identity Center pour Amazon Service OpenSearch

Vous pouvez désormais utiliser les principaux de votre centre d'identité AWS IAM configuré de manière centralisée (utilisateurs et groupes) via Trusted Identity Propagation pour accéder aux OpenSearch domaines via des applications de OpenSearch service. Pour activer la prise en charge d'IAM Identity Center pour Amazon OpenSearch Service, vous devez activer l'utilisation d'IAM Identity Center. Pour en savoir plus sur la procédure à suivre, consultez Qu'est-ce qu'IAM Identity Center ? . Voir Comment associer un OpenSearch domaine en tant que source de données dans les OpenSearch applications ? pour plus de détails.

Vous pouvez configurer IAM Identity Center à l'aide de la console de OpenSearch service, du AWS Command Line Interface (AWS CLI) ou du AWS SDKs.

Considérations

Avant d'utiliser IAM Identity Center avec Amazon OpenSearch Service, vous devez prendre en compte les points suivants :

Modification de la stratégie d'accès au domaine

Avant de configurer IAM Identity Center, vous devez mettre à jour la politique d'accès au domaine ou les autorisations du rôle IAM configuré dans les OpenSearch applications pour la propagation d'identités fiables.

	 {
	     "Version": "2012-10-17",
	     "Statement": [
	         {
	             "Effect": "Allow",
	             "Principal": {
	                 "AWS": "IAM Role configured in OpenSearch application"
	             },
	             "Action": "es:ESHttp*",
	             "Resource": "domain-arn/*"
	         },
	         {
	         ... // Any other permissions
	         }
	     ]
	 }
	         

Configuration de l'authentification et de l'autorisation IAM Identity Center (console)

Vous pouvez activer l'authentification et l'autorisation IAM Identity Center pendant le processus de création du domaine ou en mettant à jour un domaine existant. Les étapes de configuration varient légèrement en fonction de l'option choisie.

Les étapes suivantes expliquent comment configurer un domaine existant pour l'authentification et l'autorisation IAM Identity Center dans la console Amazon OpenSearch Service :

Une fois que vous avez apporté vos modifications, enregistrez votre domaine.

Configuration d'un contrôle d'accès détaillé

Une fois que vous avez activé l'option IAM Identity Center sur votre OpenSearch domaine, vous pouvez configurer l'accès aux principaux IAM Identity Center en créant un mappage des rôles vers le rôle principal. La valeur du rôle principal pour le principal est basée sur l'appartenance au groupe du principal iDC et sur la RolesKey configuration de GroupId ou. GroupName

Configuration de l'authentification et de l'autorisation (CLI) d'IAM Identity Center

	 aws opensearch update-domain-config \
	     --domain-name my-domain \
	     --identity-center-options '{"EnabledAPIAccess": true, "IdentityCenterInstanceARN": "instance arn",  "SubjectKey": "UserId/UserName/UserEmail" , "RolesKey": "GroupId/GroupName"}'
	         

Désactivation de l'authentification IAM Identity Center sur le domaine

Pour désactiver IAM Identity Center sur votre OpenSearch domaine, procédez comme suit :

Pour désactiver IAM Identity Center via la CLI, vous pouvez utiliser ce qui suit

	 aws opensearch update-domain-config \
	     --domain-name my-domain \
	     --identity-center-options '{"EnabledAPIAccess": false}'