JWTAmazon OpenSearch 服务的身份验证和授权

亚马逊 OpenSearch 服务现在允许您使用JSON网络令牌 (JWTs) 进行身份验证和授权。JWTs是JSON基于访问令牌，用于授予单点登录 (SSO) 访问权限。您可以在 S OpenSearch ervice JWTs 中使用创建单点登录令牌来验证对您的 OpenSearch 服务域的请求。要使用JWTs，您必须启用精细的访问控制，并且必须提供有效RSA或ECDSAPEM格式化的公钥。有关精细访问控制的更多信息，请参阅 Amazon Service 中的精细访问控制。 OpenSearch

您可以使用 OpenSearch 服务控制台、 Amazon Command Line Interface (Amazon CLI) 或 JSON Web 令牌来配置 Web 令牌 Amazon SDKs。

注意事项

在JWTs使用 Amazon OpenSearch 服务之前，您必须考虑以下几点：

修改域访问策略

在将您的域配置为使用JWT身份验证和授权之前，必须更新您的域访问策略以允许JWT用户访问该域。否则，所有传入的JWT授权请求都将被拒绝。为子资源 (/*) 提供完全访问权限的推荐域访问策略是：

{
  "Version": "2012-10-17",
  "Statement": [
      {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

配置JWT身份验证和授权

您可以在域名创建过程中或通过更新现有域来启用JWT身份验证和授权。根据您选择的选项，设置步骤略有不同。

以下步骤说明了如何在 OpenSearch 服务控制台中配置现有域以进行JWT身份验证和授权：

使用JWT发送测试请求

JWT使用指定的主题和角色对创建新的内容后，您可以发送测试请求。为此，请使用私钥通过创建的工具签署您的请求JWT。 OpenSearch 服务能够通过验证此签名来验证传入的请求。

以下是如何使用JWT令牌通过域名的搜索端点访问 OpenSearch 服务的示例：

curl -XGET "$search_endpoint" -H "Authorization: Bearer <JWT>"

aws opensearch update-domain-config --domain-name <your_domain_name> --advanced-security-options '{"JWTOptions":{"Enabled":true, "PublicKey": "<your_public_key>", "SubjectKey": "<your_subject_key>", "RolesKey": "<your_roles_key>"}}'

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "JWTOptions": {
      "Enabled": true,
      "PublicKey": "public-key",
      "RolesKey": "optional-roles-key",
      "SubjectKey": "optional-subject-key"
   }  
  }
}