Compatibilidade do IAM Identity Center com o Amazon OpenSearch Sem Servidor

Compatibilidade do IAM Identity Center com o Amazon OpenSearch Sem Servidor

Você pode usar as entidades principais do IAM Identity Center (usuários e grupos) para acessar dados do Amazon OpenSearch sem Servidor por meio das aplicações do Amazon OpenSearch. Para o IAM Identity Center ser compatível com o Amazon OpenSearch sem Servidor, você precisará habilitar o uso do IAM Identity Center. Para saber mais sobre como fazer isso, consulte O que é o IAM Identity?

Depois que a instância do IAM Identity Center é criada, o administrador da conta do cliente precisa criar uma aplicação do IAM Identity Center para o serviço Amazon OpenSearch sem Servidor. Isso pode ser feito chamando CreateSecurityConfig:. O administrador da conta de cliente pode especificar quais atributos serão usados para autorizar a solicitação. Os atributos padrão usados são UserId e GroupId.

A integração do IAM Identity Center para o Amazon OpenSearch sem Servidor usa as seguintes permissões do AWS IAM Identity Center (IAM):

A seguinte política de acesso baseada em identidade pode ser usada para gerenciar todas as configurações do IAM Identity Center:

JSON

{
"Version": "2012-10-17",
    "Statement": [
        {
"Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

Criar um provedor do IAM Identity Center (console)

Você pode criar um provedor do IAM Identity Center para habilitar a autenticação com uma aplicação do OpenSearch. Para habilitar a autenticação do IAM Identity Center para o OpenSearch Dashboards realize as seguintes etapas:

Criar provedor do IAM Identity Center (AWS CLI)

Para criar um provedor do IAM Identity Center usando a AWS Command Line Interface (AWS CLI), use o seguinte comando:

aws opensearchserverless create-security-config \
--region us-east-2 \
--name "iamidentitycenter-config" \
--description "description" \
--type "iamidentitycenter" \
--iam-identity-center-options '{
    "instanceArn": "arn:aws:sso:::instance/ssoins-99199c99e99ee999",
    "userAttribute": "UserName",                  
    "groupAttribute": "GroupId"
}'

Depois que um IAM Identity Center é habilitado, os clientes somente podem modificar os atributos de usuário e grupo.

aws opensearchserverless update-security-config \
--region us-east-1 \
--id <id_from_list_security_configs> \
--config-version <config_version_from_get_security_config> \
--iam-identity-center-options-updates '{
    "userAttribute": "UserId",
    "groupAttribute": "GroupId"
}'

Para visualizar o provedor do IAM Identity Center usando a AWS Command Line Interface, use o seguinte comando:

aws opensearchserverless list-security-configs --type iamidentitycenter

Excluir provedor do IAM Identity Center

O IAM Identity Center oferece duas instâncias de provedores, uma para a conta da organização e outra para a sua conta de membro. Se precisar alterar a instância do IAM Identity Center, você terá que excluir a configuração de segurança por meio da API DeleteSecurityConfig e criar uma nova configuração de segurança usando a nova instância do IAM Identity Center. O seguinte comando pode ser usado para excluir um provedor do IAM Identity Center:

aws opensearchserverless delete-security-config \
--region us-east-1 \
--id <id_from_list_security_configs>

Conceder ao IAM Identity Center acesso a dados de coleção

Depois que o provedor do IAM Identity Center está habilitado, você pode atualizar a política de acesso a dados da coleção para incluir as entidades principais do IAM Identity Center. As entidades principais do IAM Identity Center precisam ser atualizadas no seguinte formato:

[
   {
"Rules":[
       ...  
      ],
      "Principal":[
         "iamidentitycenter/<iamidentitycenter-instance-id>/user/<UserName>",
         "iamidentitycenter/<iamidentitycenter-instance-id>/group/<GroupId>"
      ]
   }
]

É possível conceder acesso a coleções, índices ou ambos. Se você quiser que usuários diferentes tenham permissões diferentes, precisará criar várias regras. Para obter uma lista das permissões disponíveis, consulte Gerenciar identidade e acesso no Amazon OpenSearch Service. Para obter informações sobre como formatar uma política de acesso, consulte Conceder a identidades SAML acesso a dados de coleções.

O IAM Identity Center oferece duas instâncias de provedores, uma para a conta da organização e outra para a sua conta de membro. Se precisar alterar a instância do IAM Identity Center, você terá que excluir a configuração de segurança por meio da API DeleteSecurityConfig e criar uma nova configuração de segurança usando a nova instância do IAM Identity Center. O seguinte comando pode ser usado para excluir um provedor do IAM Identity Center:

aws opensearchserverless delete-security-config \
--region us-east-1 \
--id <id_from_list_security_configs>