Amazon OpenSearch Service における OpenSearch ユーザーインターフェースの開始方法

Amazon OpenSearch Service コンソール (https://console.aws.amazon.com/aos/home) にサインインします。

左のナビゲーションペインの [OpenSearch UI (ダッシュボード)] を選択します。

[アプリケーションを作成] を選択します。

[アプリケーション名] に、そのアプリケーションの名前を入力します。

[IAM Identity Center による認証] チェックボックスをオンにしないでください。AWS IAM Identity Center による認証を使用してアプリケーションを作成する方法については、このトピックの後半の「コンソールで AWS IAM Identity Center 認証を使用する OpenSearch UI アプリケーションの作成」を参照してください。

(オプション) 作成するアプリケーションの管理者として自動的に追加されます。[OpenSearch アプリケーション管理者管理] エリアでは、他のユーザーに管理者権限を付与できます。

管理者権限を他のユーザーに付与するには、次のいずれかを選択します。

(オプション) [タグ] エリアで、1 つ以上のタグキーの名前と値のペアをアプリケーションに適用します。

タグは、リソースに割り当てるオプションのメタデータです。タグを使用すると、目的、所有者、環境などのさまざまな方法でリソースを分類できます。

[作成] を選択します。

Amazon OpenSearch Service コンソール (https://console.aws.amazon.com/aos/home) にサインインします。

左のナビゲーションペインの [OpenSearch UI (ダッシュボード)] を選択します。

[アプリケーションを作成] を選択します。

[アプリケーション名] に、そのアプリケーションの名前を入力します。

(オプション) 組織またはアカウントのシングルサインオンを有効にするには、次の手順を実行します。

1. 次の図に示すように、[IAM Identity Center による認証] チェックボックスをオンにします。

   

2. 次のいずれかを行います:

   • [Identity Center アプリケーションリストの IAM ロール] で、IAM Identity Center が OpenSearch UI および関連するデータソースにアクセスするために必要なアクセス許可を提供する既存の IAM ロールを選択します。ロールに必要なアクセス許可については、次の箇条書きのポリシーを参照してください。

   • 必要なアクセス許可を持つ新しいロールを作成します。IAM ユーザーガイドの次の手順と、指定されたオプションを使用して新しいロールを作成し、必要なアクセス許可ポリシーと信頼ポリシーを使用します。

     • 手順: IAM ポリシーを作成する (コンソール)

       この手順のステップに従って、次のポリシーをポリシーエディタ [JSON] フィールドに貼り付けます:

       JSON

       {
           "Version":"2012-10-17",		 	 	 
           "Statement": [
               {
                   "Sid": "IdentityStoreOpenSearchDomainConnectivity",
                   "Effect": "Allow",
                   "Action": [
                       "identitystore:DescribeUser",
                       "identitystore:ListGroupMembershipsForMember",
                       "identitystore:DescribeGroup"
                   ],
                   "Resource": "*",
                   "Condition": { 
                       "ForAnyValue:StringEquals": {
                           "aws:CalledViaLast": "es.amazonaws.com"
                       }
                   }
               },
               {
                   "Sid": "OpenSearchDomain",
                   "Effect": "Allow",
                   "Action": [
                       "es:ESHttp*"
                   ],
                   "Resource": "*"
               },
               {
                   "Sid": "OpenSearchServerless",
                   "Effect": "Allow",
                   "Action": [
                       "aoss:APIAccessAll"
                   ],
                   "Resource": "*"
               }
           ]
       }
       

     • 手順: カスタム信頼ポリシーを使用してロールを作成する

       この手順のステップに従って、[カスタム信頼ポリシー] ボックスのプレースホルダー JSON を次のように置き換えます。

       ヒント

       既存のロールに信頼ポリシーを追加する場合は、ロールの [信頼関係] タブにポリシーを追加します。

       JSON

       {
           "Version":"2012-10-17",		 	 	 
           "Statement": [
               {
                   "Effect": "Allow",
                   "Principal": {
                       "Service": "application.opensearchservice.amazonaws.com"
                   },
                   "Action": "sts:AssumeRole"
               },
               {
                   "Effect": "Allow",
                   "Principal": {
                       "Service": "application.opensearchservice.amazonaws.com"
                   },
                   "Action": "sts:SetContext",
                   "Condition": {
                       "ForAllValues:ArnEquals": {
                       "sts:RequestContextProviders": "arn:aws:iam::123456789012:oidc-provider/portal.sso.us-east-1.amazonaws.com/apl/application-id"
                       }
                   }
               }
           ]
       }
       

3. 組織またはアカウントに IAM Identity Center インスタンスがすでに作成されている場合、次の図に示すように、コンソールは Amazon OpenSearch Dashboards が IAM Identity Center の組織インスタンスに既に接続されていることを報告します。

   

   IAM Identity Center が組織またはアカウントでまだ利用できない場合は、ユーザーまたは必要なアクセス許可を持つ管理者が組織インスタンスまたはアカウントインスタンスを作成できます。[Amazon OpenSearch Dashboards を IAM アイデンティティセンターに接続する] エリアには、次の図に示すように、両方のオプションがあります。

   

   この場合、IAM アイデンティティセンターでテスト用のアカウントインスタンスを作成するか、管理者が IAM アイデンティティセンターで組織インスタンスを作成するようにリクエストできます。詳細については、『AWS IAM Identity Center ユーザーガイド:』の以下のトピックを参照してください。

   注記

   現在、OpenSearch UI アプリケーションは、IAM Identity Center 組織インスタンスと同じ AWS リージョン でのみ作成できます。アプリケーションの作成後にそのリージョンのデータソースにアクセスする方法については、「クロスクラスター検索によるクロスリージョンおよびクロスアカウントデータアクセス」を参照してください。

   • IAM アイデンティティセンターの組織インスタンス

   • IAM アイデンティティセンターのアカウントインスタンス

   • の有効化AWS IAM Identity Center

(オプション) 作成するアプリケーションの管理者として自動的に追加されます。[OpenSearch アプリケーションの管理者管理] エリアでは、次の画像に示すように、管理者権限を他のユーザーに付与できます。

管理者権限を他のユーザーに付与するには、次のいずれかを選択します。

(オプション) [タグ] エリアで、1 つ以上のタグキーの名前と値のペアをアプリケーションに適用します。

タグは、リソースに割り当てるオプションのメタデータです。タグを使用すると、目的、所有者、環境などのさまざまな方法でリソースを分類できます。

[作成] を選択します。

Amazon OpenSearch Service コンソール (https://console.aws.amazon.com/aos/home) にサインインします。

左のナビゲーションペインの [OpenSearch UI (ダッシュボード)] を選択します。

[OpenSearch アプリケーション] エリアで、既存のアプリケーションの名前を選択します。

[編集] を選択します。

管理者権限を他のユーザーに付与するには、次のいずれかを選択します。

[更新] を選択します。