As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Acesso a dados entre regiões a domínios OpenSearch

Você pode configurar seus aplicativos de OpenSearch interface de usuário em um Região da AWS para acessar OpenSearch domínios em diferentes Região da AWS s. Isso permite criar painéis unificados que agregam dados de OpenSearch domínios em vários Região da AWS s na mesma partição. O suporte a fontes de dados entre regiões exige que um controle de acesso refinado seja ativado no domínio de destino. O controle de acesso refinado fornece uma camada de autorização adicional além da política de acesso ao domínio, permitindo que você controle o acesso a índices, documentos e campos individuais.

Principais conceitos

Pré-requisitos

Antes de configurar o acesso aos dados entre regiões, verifique se você tem o seguinte:

Cenários

Escolha o cenário que corresponda ao método de autenticação e à configuração do domínio:

Cada cenário abrange o acesso entre regiões da mesma conta. Para acesso entre contas e regiões, combine as etapas nesses cenários com a configuração da função entre contas descrita em. Acesso a dados entre contas a domínios OpenSearch

Cenário 1: usuário do IAM acessando um domínio público em uma região diferente

Nesse cenário, você cria um aplicativo de OpenSearch interface de usuário em uma região e o conecta a um OpenSearch domínio público em uma região diferente dentro da mesma conta.

Etapa 1: criar o OpenSearch domínio (região de destino)

Crie um OpenSearch domínio na região de destino com o controle de acesso refinado ativado. Defina o escopo da política de acesso à raiz da conta ou aos diretores específicos do IAM.

aws opensearch create-domain \
  --domain-name domain-name \
  --engine-version OpenSearch_2.19 \
  --cluster-config InstanceType=m5.large.search,InstanceCount=1 \
  --ebs-options "EBSEnabled=true,VolumeType=gp3,VolumeSize=100" \
  --advanced-security-options '{"Enabled":true,"InternalUserDatabaseEnabled":true,"MasterUserOptions":{"MasterUserName":"admin","MasterUserPassword":"master-password"}}' \
  --node-to-node-encryption-options '{"Enabled":true}' \
  --encryption-at-rest-options '{"Enabled":true}' \
  --domain-endpoint-options '{"EnforceHTTPS":true,"TLSSecurityPolicy":"Policy-Min-TLS-1-2-2019-07"}' \
  --access-policies '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Principal":{"AWS":"arn:aws:iam::account-id:root"},"Action":"es:ESHttp*","Resource":"arn:aws:es:target-region:account-id:domain/domain-name/*"}]}' \
  --region target-region

Aguarde até que o status do domínio se torne Active antes de continuar.

Etapa 2: criar o aplicativo de OpenSearch interface do usuário (região do aplicativo)

Crie o aplicativo na região do aplicativo com a fonte de dados entre regiões. A região é extraída automaticamente do ARN da fonte de dados.

aws opensearch create-application \
  --region application-region \
  --name "cross-region-iam-app" \
  --data-sources '[{
    "dataSourceArn":"arn:aws:es:target-region:account-id:domain/domain-name",
    "dataSourceDescription":"Cross-region domain"
  }]' \
  --app-configs '[{"key":"opensearchDashboards.dashboardAdmin.users","value":"[\"test-user\"]"}]'

Etapa 3: verificar e acessar

Recupere os detalhes do aplicativo para obter o URL do endpoint:

aws opensearch get-application \
  --region application-region \
  --id application-id

Cenário 2: usuário do IAM Identity Center acessando um domínio público em uma região diferente

Nesse cenário, você cria um aplicativo de OpenSearch interface de usuário com a autenticação do IAM Identity Center em uma região e o conecta a um OpenSearch domínio público em uma região diferente dentro da mesma conta.

Etapa 1: criar o OpenSearch domínio com o IAM Identity Center ativado (região de destino)

Crie um OpenSearch domínio na região de destino com controle de acesso refinado e integração com o IAM Identity Center ativada. Use o --identity-center-options parâmetro with IdentityCenterInstanceRegion para especificar a região em que sua instância do IAM Identity Center está localizada. Essa região deve ser a mesma em que o aplicativo de OpenSearch interface do usuário está hospedado.

aws opensearch create-domain \
  --domain-name domain-name \
  --engine-version OpenSearch_2.19 \
  --cluster-config InstanceType=m5.large.search,InstanceCount=1 \
  --ebs-options "EBSEnabled=true,VolumeType=gp3,VolumeSize=100" \
  --advanced-security-options '{"Enabled":true,"InternalUserDatabaseEnabled":true,"MasterUserOptions":{"MasterUserName":"admin","MasterUserPassword":"master-password"}}' \
  --node-to-node-encryption-options '{"Enabled":true}' \
  --encryption-at-rest-options '{"Enabled":true}' \
  --domain-endpoint-options '{"EnforceHTTPS":true,"TLSSecurityPolicy":"Policy-Min-TLS-1-2-2019-07"}' \
  --identity-center-options '{"EnabledAPIAccess":true,"IdentityCenterInstanceARN":"arn:aws:sso:::instance/ssoins-instance-id","IdentityCenterInstanceRegion":"idc-region","RolesKey":"GroupId","SubjectKey":"UserId"}' \
  --access-policies '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Principal":{"AWS":"arn:aws:iam::account-id:role/NeoIdCAppRole"},"Action":"es:ESHttp*","Resource":"arn:aws:es:target-region:account-id:domain/domain-name/*"}]}' \
  --region target-region

Aguarde até que o status do domínio se torne Active antes de continuar.

Etapa 2: criar a função do IAM para o aplicativo IAM Identity Center

Crie uma função do IAM que a OpenSearch UI use para acessar o plano de dados do usuário do IAM Identity Center.

Etapa 3: criar o aplicativo de OpenSearch interface do usuário com o IAM Identity Center (região do aplicativo)

aws opensearch create-application \
  --region application-region \
  --name "cross-region-idc-app" \
  --iam-identity-center-options '{
    "enabled":true,
    "iamIdentityCenterInstanceArn":"arn:aws:sso:::instance/ssoins-instance-id",
    "iamRoleForIdentityCenterApplicationArn":"arn:aws:iam::account-id:role/NeoIdCAppRole"
  }' \
  --data-sources '[{
    "dataSourceArn":"arn:aws:es:target-region:account-id:domain/domain-name",
    "dataSourceDescription":"Cross-region domain"
  }]' \
  --app-configs '[{"key":"opensearchDashboards.dashboardAdmin.users","value":"[\"test-user\"]"}]'

Depois que o aplicativo for criado, anote o ID do aplicativo SSO na resposta. Em seguida, atualize a política de confiança na função do aplicativo do IAM Identity Center para adicionar a sts:SetContext declaração:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "application.opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "application.opensearchservice.amazonaws.com"
      },
      "Action": "sts:SetContext",
      "Condition": {
        "ForAllValues:ArnEquals": {
          "sts:RequestContextProviders": "arn:aws:iam::account-id:oidc-provider/portal.sso.idc-region.amazonaws.com/apl/application-id"
        }
      }
    }
  ]
}

aws iam update-assume-role-policy \
  --role-name NeoIdCAppRole \
  --policy-document file://updated-trust-policy.json

Etapa 4: criar e atribuir usuários e grupos do IAM Identity Center

Crie um usuário do IAM Identity Center

Execute o comando a seguir. Substitua placeholder values por suas próprias informações.

aws identitystore create-user \
  --identity-store-id d-directory-id \
  --user-name user-email \
  --display-name "display-name" \
  --name Formatted=string,FamilyName=last-name,GivenName=first-name \
  --emails Value=user-email,Type=work,Primary=true

Crie um grupo do IAM Identity Center e adicione o usuário

Execute os seguintes comandos :

aws identitystore create-group \
  --identity-store-id d-directory-id \
  --display-name "OpenSearchUsers" \
  --description "Users with OpenSearch access"

aws identitystore create-group-membership \
  --identity-store-id d-directory-id \
  --group-id group-id \
  --member-id UserId=user-id

Atribua o usuário ou grupo ao aplicativo

Execute este comando: .

aws sso-admin create-application-assignment \
  --application-arn "arn:aws:sso::account-id:application/ssoins-instance-id/apl-application-id" \
  --principal-id user-id-or-group-id \
  --principal-type USER

Configurar o mapeamento de funções de back-end no domínio de destino

Mapeie o grupo do IAM Identity Center para uma função de OpenSearch segurança no domínio de destino:

curl -XPATCH "https://domain-endpoint/_plugins/_security/api/rolesmapping/all_access" \
  -u admin:master-password \
  -H 'Content-Type: application/json' \
  -d '[{"op": "add", "path": "/backend_roles", "value": ["group-id"]}]'

Etapa 5: verificar e acessar

Recupere os detalhes do aplicativo para obter o URL do endpoint:

aws opensearch get-application \
  --region application-region \
  --id application-id

Cenário 3: usuário do IAM acessando um domínio VPC em uma região diferente

Nesse cenário, você cria um aplicativo de OpenSearch interface de usuário em uma região e o conecta a um OpenSearch domínio VPC em uma região diferente dentro da mesma conta. Os domínios VPC exigem configuração de rede adicional e autorização explícita de VPC endpoint com suporte entre regiões.

Etapa 1: configurar a VPC (região de destino)

Ignore essa etapa se uma VPC já existir na região de destino.

# Create VPC
aws ec2 create-vpc \
  --cidr-block 10.0.0.0/16 \
  --region target-region

# Create subnet
aws ec2 create-subnet \
  --vpc-id vpc-id \
  --cidr-block 10.0.1.0/24 \
  --availability-zone target-regiona \
  --region target-region

# Create security group
aws ec2 create-security-group \
  --group-name opensearch-vpc-sg \
  --description "Security group for OpenSearch VPC domain" \
  --vpc-id vpc-id \
  --region target-region

# Allow inbound HTTPS
aws ec2 authorize-security-group-ingress \
  --group-id security-group-id \
  --protocol tcp \
  --port 443 \
  --cidr 10.0.0.0/16 \
  --region target-region

Saiba mais sobre a criação de domínios VPC.

Etapa 2: criar o domínio VPC (região de destino)

aws opensearch create-domain \
  --domain-name vpc-domain-name \
  --engine-version OpenSearch_2.19 \
  --cluster-config InstanceType=m5.large.search,InstanceCount=1 \
  --ebs-options "EBSEnabled=true,VolumeType=gp3,VolumeSize=100" \
  --vpc-options "SubnetIds=subnet-id,SecurityGroupIds=security-group-id" \
  --advanced-security-options '{"Enabled":true,"InternalUserDatabaseEnabled":true,"MasterUserOptions":{"MasterUserName":"admin","MasterUserPassword":"master-password"}}' \
  --node-to-node-encryption-options '{"Enabled":true}' \
  --encryption-at-rest-options '{"Enabled":true}' \
  --domain-endpoint-options '{"EnforceHTTPS":true,"TLSSecurityPolicy":"Policy-Min-TLS-1-2-2019-07"}' \
  --access-policies '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Principal":{"AWS":"arn:aws:iam::account-id:root"},"Action":"es:ESHttp*","Resource":"arn:aws:es:target-region:account-id:domain/vpc-domain-name/*"}]}' \
  --region target-region

Aguarde até que o status do domínio se torne Active antes de continuar.

Etapa 3: autorizar o VPC endpoint para o principal serviço de interface OpenSearch do usuário com suporte entre regiões (região de destino)

# Authorize the service principal with cross-region support
aws opensearch authorize-vpc-endpoint-access \
  --domain-name vpc-domain-name \
  --service "application.opensearchservice.amazonaws.com" \
  --service-options '{"SupportedRegions":["target-region","application-region"]}' \
  --region target-region

# Verify authorization
aws opensearch list-vpc-endpoint-access \
  --domain-name vpc-domain-name \
  --region target-region

Resposta esperada:

{
  "AuthorizedPrincipalList": [
    {
      "PrincipalType": "AWS_SERVICE",
      "Principal": "application.opensearchservice.amazonaws.com",
      "ServiceOptions": {
        "SupportedRegions": ["target-region", "application-region"]
      }
    }
  ]
}

Etapa 4: criar o aplicativo de OpenSearch interface do usuário (região do aplicativo)

aws opensearch create-application \
  --region application-region \
  --name "cross-region-vpc-iam-app" \
  --data-sources '[{
    "dataSourceArn":"arn:aws:es:target-region:account-id:domain/vpc-domain-name",
    "dataSourceDescription":"Cross-region VPC domain"
  }]' \
  --app-configs '[{"key":"opensearchDashboards.dashboardAdmin.users","value":"[\"test-user\"]"}]'

Etapa 5: verificar e acessar

Recupere os detalhes do aplicativo para obter o URL do endpoint:

aws opensearch get-application \
  --region application-region \
  --id application-id

Cenário 4: usuário do IAM Identity Center acessando um domínio VPC em uma região diferente

Nesse cenário, você cria um aplicativo de OpenSearch interface de usuário com a autenticação do IAM Identity Center em uma região e o conecta a um OpenSearch domínio VPC em uma região diferente dentro da mesma conta.

Etapa 1: configurar a VPC (região de destino)

Ignore essa etapa se uma VPC já existir na região de destino.

# Create VPC
aws ec2 create-vpc \
  --cidr-block 10.0.0.0/16 \
  --region target-region

# Create subnet
aws ec2 create-subnet \
  --vpc-id vpc-id \
  --cidr-block 10.0.1.0/24 \
  --availability-zone target-regiona \
  --region target-region

# Create security group
aws ec2 create-security-group \
  --group-name opensearch-vpc-sg \
  --description "Security group for OpenSearch VPC domain" \
  --vpc-id vpc-id \
  --region target-region

# Allow inbound HTTPS
aws ec2 authorize-security-group-ingress \
  --group-id security-group-id \
  --protocol tcp \
  --port 443 \
  --cidr 10.0.0.0/16 \
  --region target-region

Saiba mais sobre a criação de domínios VPC.

Etapa 2: criar o domínio VPC com o IAM Identity Center ativado (região de destino)

Crie um OpenSearch domínio na região de destino com controle de acesso refinado, integração com o IAM Identity Center e configuração de VPC ativada. Atualize a política de acesso para permitir o papel do aplicativo IAM Identity Center e adicione o --identity-center-options parâmetro:

aws opensearch create-domain \
  --domain-name vpc-domain-name \
  --engine-version OpenSearch_2.19 \
  --cluster-config InstanceType=m5.large.search,InstanceCount=1 \
  --ebs-options "EBSEnabled=true,VolumeType=gp3,VolumeSize=100" \
  --vpc-options "SubnetIds=subnet-id,SecurityGroupIds=security-group-id" \
  --advanced-security-options '{"Enabled":true,"InternalUserDatabaseEnabled":true,"MasterUserOptions":{"MasterUserName":"admin","MasterUserPassword":"master-password"}}' \
  --node-to-node-encryption-options '{"Enabled":true}' \
  --encryption-at-rest-options '{"Enabled":true}' \
  --domain-endpoint-options '{"EnforceHTTPS":true,"TLSSecurityPolicy":"Policy-Min-TLS-1-2-2019-07"}' \
  --identity-center-options '{"EnabledAPIAccess":true,"IdentityCenterInstanceARN":"arn:aws:sso:::instance/ssoins-instance-id","IdentityCenterInstanceRegion":"idc-region","RolesKey":"GroupId","SubjectKey":"UserId"}' \
  --access-policies '{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Principal":{"AWS":"arn:aws:iam::account-id:role/NeoIdCAppRole"},"Action":"es:ESHttp*","Resource":"arn:aws:es:target-region:account-id:domain/vpc-domain-name/*"}]}' \
  --region target-region

Aguarde até que o status do domínio se torne Active antes de continuar.

Etapa 3: autorizar o VPC endpoint para o principal serviço de interface OpenSearch do usuário com suporte entre regiões (região de destino)

# Authorize the service principal with cross-region support
aws opensearch authorize-vpc-endpoint-access \
  --domain-name vpc-domain-name \
  --service "application.opensearchservice.amazonaws.com" \
  --service-options '{"SupportedRegions":["target-region","application-region"]}' \
  --region target-region

# Verify authorization
aws opensearch list-vpc-endpoint-access \
  --domain-name vpc-domain-name \
  --region target-region

Resposta esperada:

{
  "AuthorizedPrincipalList": [
    {
      "PrincipalType": "AWS_SERVICE",
      "Principal": "application.opensearchservice.amazonaws.com",
      "ServiceOptions": {
        "SupportedRegions": ["target-region", "application-region"]
      }
    }
  ]
}

Etapa 4: criar a função do IAM para o aplicativo IAM Identity Center

Crie uma função do IAM que a OpenSearch UI use para acessar o plano de dados do usuário do IAM Identity Center.

Etapa 5: criar o aplicativo de OpenSearch interface do usuário com o IAM Identity Center (região do aplicativo)

aws opensearch create-application \
  --region application-region \
  --name "cross-region-vpc-idc-app" \
  --iam-identity-center-options '{
    "enabled":true,
    "iamIdentityCenterInstanceArn":"arn:aws:sso:::instance/ssoins-instance-id",
    "iamRoleForIdentityCenterApplicationArn":"arn:aws:iam::account-id:role/NeoIdCAppRole"
  }' \
  --data-sources '[{
    "dataSourceArn":"arn:aws:es:target-region:account-id:domain/vpc-domain-name",
    "dataSourceDescription":"Cross-region VPC domain"
  }]' \
  --app-configs '[{"key":"opensearchDashboards.dashboardAdmin.users","value":"[\"test-user\"]"}]'

Depois que o aplicativo for criado, anote o ID do aplicativo SSO na resposta. Em seguida, atualize a política de confiança na função do aplicativo do IAM Identity Center para adicionar a sts:SetContext declaração:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "application.opensearchservice.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "application.opensearchservice.amazonaws.com"
      },
      "Action": "sts:SetContext",
      "Condition": {
        "ForAllValues:ArnEquals": {
          "sts:RequestContextProviders": "arn:aws:iam::account-id:oidc-provider/portal.sso.idc-region.amazonaws.com/apl/application-id"
        }
      }
    }
  ]
}

aws iam update-assume-role-policy \
  --role-name NeoIdCAppRole \
  --policy-document file://updated-trust-policy.json

Etapa 6: criar e atribuir usuários e grupos do IAM Identity Center

Siga as mesmas etapas Etapa 4: criar e atribuir usuários e grupos do IAM Identity Center para criar usuários, grupos, atribuí-los ao aplicativo e configurar o mapeamento de funções de back-end no domínio de destino.

Etapa 7: verificar e acessar

Recupere os detalhes do aplicativo para obter o URL do endpoint:

aws opensearch get-application \
  --region application-region \
  --id application-id

Como gerenciar aplicações do

Atualizar um aplicativo com fontes de dados entre regiões

Execute o comando a seguir. Substitua placeholder values por suas próprias informações.

aws opensearch update-application \
  --region application-region \
  --id application-id \
  --data-sources '[{
    "dataSourceArn":"arn:aws:es:target-region-1:account-id:domain/domain-1",
    "dataSourceDescription":"Domain in target Region 1"
  },{
    "dataSourceArn":"arn:aws:es:target-region-2:account-id:domain/domain-2",
    "dataSourceDescription":"Domain in target Region 2"
  }]'

Listar aplicativos

Execute este comando: .

aws opensearch list-applications \
  --region application-region

Deleta a aplicação

Execute este comando: .

aws opensearch delete-application \
  --region application-region \
  --id application-id

Revogar o acesso ao VPC endpoint para regiões específicas

Para revogar o acesso entre regiões para Região da AWS s específicos e manter outros, use o --service-options parâmetro com as Regiões para revogar:

aws opensearch revoke-vpc-endpoint-access \
  --domain-name vpc-domain-name \
  --service "application.opensearchservice.amazonaws.com" \
  --service-options '{"SupportedRegions":["region-to-revoke"]}' \
  --region target-region

Referência rápida

As tabelas a seguir resumem as principais diferenças entre tipos de domínio, métodos de autenticação e acesso na mesma região versus acesso entre regiões.

Observações importantes

Solução de problemas