适用于 Amazon OpenSearch 服务的 JWT 身份验证和授权

亚马逊 OpenSearch 服务现在允许您使用 JSON 网络令牌 (JWT) 进行身份验证和授权。JWT 是基于 JSON 的访问令牌，用于授予单点登录 (SSO) 访问权限。您可以使用 Service 中的 JWT 创建单点登录令牌来验证对 OpenSearch 服务域的请求。 OpenSearch 要使用 JWT，必须启用精细访问控制，并且必须提供有效的 RSA 或 ECDSA PEM 格式的公钥。有关精细访问控制的更多信息，请参阅 Amazon Service 中的精细访问控制。 OpenSearch

您可以使用 OpenSearch 服务控制台、 Amazon Command Line Interface (Amazon CLI) 或软件开发工具包配置 J Amazon SON Web 令牌。

注意事项

在将 JWT 与 Amazon OpenSearch 服务配合使用之前，您必须考虑以下几点：

修改域访问策略

在将您的域配置为使用 JWT 身份验证和授权之前，必须更新您的域访问策略以允许 JWT 用户访问该域。否则，所有传入的 JWT 授权请求都将被拒绝。为子资源 (/*) 提供完全访问权限的推荐域访问策略是：

{
  "Version": "2012-10-17",
  "Statement": [
      {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

配置 JWT 身份验证和授权

您可以在域名创建过程中或通过更新现有域来启用 JWT 身份验证和授权。根据您选择的选项，设置步骤略有不同。

以下步骤说明了如何在 OpenSearch 服务控制台中为 JWT 身份验证和授权配置现有域：

使用 JWT 发送测试请求

创建具有指定主题和角色对的新 JWT 后，您可以发送测试请求。为此，请使用私钥通过创建 JWT 的工具签署您的请求。 OpenSearch 服务能够通过验证此签名来验证传入的请求。

以下是如何使用 JWT 令牌通过域名的搜索端点访问 OpenSearch 服务的示例：

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}