SAML OpenSearch 仪表板的身份验证

SAML OpenSearch 控制面板身份验证允许您使用现有的身份提供商为运行 OpenSearch 或 Elasticsearch 6.7 或更高版本的亚马逊 OpenSearch 服务域上的控制面板提供单点登录 (SSO)。要使用SAML身份验证，必须启用精细的访问控制。

控制面板的身份验证允许您使用第三方身份提供商登录控制面板SAML、管理精细访问控制、搜索数据和构建可视化效果，而不是通过 Amazon Cognito 或内部用户数据库进行身份验证 OpenSearch 。 OpenSearch 服务支持使用 SAML 2.0 标准的提供商，例如 Okta、Keycloak、Active Directory 联合服务 (ADFS)、Auth0 和 Amazon IAM Identity Center.

SAML仪表板的身份验证仅适用于通过 Web 浏览器访问 OpenSearch 仪表板。您的SAML凭据不允许您直接向 OpenSearch 或控制面板HTTP发出请求APIs。

SAML配置概述

本文档假定您有现有的身份提供程序并且熟悉它。我们无法为您的确切提供商提供详细的配置步骤，只能为您的 OpenSearch 服务域提供详细的配置步骤。

OpenSearch 仪表板登录流程可以采用以下两种形式之一：

OpenSearch 服务提供两种单点登录URLs，SP 启动和 IDP 启动，但您只需要与所需控制面板登录流程相匹配的单点登录。 OpenSearch

无论您使用哪种身份验证类型，目标都是通过您的身份提供商登录并收到包含您的用户名（必填）和任何后端角色（可选，但建议使用）的SAML断言。这些信息允许精细的访问控制来为用户分配权限。SAML在外部身份提供程序中，后端角色通常称为“角色”或“组”。

注意事项

配置SAML身份验证时，请考虑以下几点：

SAMLVPC域名认证

SAML不需要您的身份提供商和服务提供商之间进行直接通信。因此，即使您的 OpenSearch 域名托管在私有域中VPC，SAML只要您的浏览器可以与 OpenSearch 集群和身份提供商通信，您仍然可以使用。您的浏览器基本上充当身份提供商和服务提供商之间的中间人。有关解释SAML身份验证流程的有用图表，请参阅 Okta 文档。

修改域访问策略

在配置SAML身份验证之前，必须更新域访问策略以允许SAML用户访问该域。否则，会显示拒绝访问的错误。

我们建议使用以下域访问策略，它将提供针对域上子资源 (/*) 的完全访问权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "es:ESHttp*",
      "Resource": "domain-arn/*"
    }
  ]
}

要使策略更具限制性，可以在策略中添加 IP 地址条件。此条件限制只能访问指定的 IP 地址范围或子网。例如，以下策略仅允许从 192.0.2.0/24 子网进行访问：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "es:ESHttp*"
      ],
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": [
            "192.0.2.0/24"
          ]
        }
      },
      "Resource": "domain-arn/*"
    }
  ]
}

配置 SP 或 IdP 发起的身份验证

这些步骤说明了如何使用由 SP 启动或 IDP 启动的SAML身份验证为仪表板启用身份验证。 OpenSearch 有关同时启用这两种身份验证所需的额外步骤，请参阅配置 SP 和 IdP 发起的身份验证。

步骤 1：启用SAML身份验证

您可以在创建域时启用SAML身份验证，也可以通过选择操作、编辑现有域上的安全配置来启用身份验证。根据您的选择，以下步骤略有不同。

在域配置中，在 D OpenSearch ashboards/Kibana 的SAML身份验证下，选择启用身份验证。SAML

步骤 2：配置身份提供程序

根据配置SAML身份验证的时间，执行以下步骤。

如果正在创建新域

如果您正在创建新域，则服务还无法生成 OpenSearch 服务提供商实体 ID 或SSOURLs。您的身份提供商需要这些值才能正确启用SAML身份验证，但它们只能在创建域之后生成。要在域创建期间解决这种相互依赖关系，您可以在 IdP 配置中提供临时值以生成所需的元数据，然后在域处于活动状态后对其进行更新。

如果您使用的是自定义终端节点，则可以推断出URLs会是什么样子。例如，如果您的自定义终端节点是www.custom-endpoint.com，则服务提供商实体 ID 将是www.custom-endpoint.com，IDP 启动的SSOURL将是www.custom-endpoint.com/_dashboards/_opendistro/_security/saml/acs/idpinitiated，S SSO URL P 启动的将是。www.custom-endpoint.com/_dashboards/_opendistro/_security/saml/acs在创建域之前，您可以使用这些值来配置身份提供程序。有关示例，请参阅下一节。

如果您没有使用自定义端点，则可以在 IdP 中输入临时值以生成所需的元数据，然后在域处于活动状态后对其进行更新。

例如，在 Okta https://temp-endpoint.amazonaws.com 中，您可以在 “单点登录” URL 和 “受众URI（SP 实体 ID）” 字段中输入，这样您就可以生成元数据。然后，在域名处于活动状态后，您可以从 S OpenSearch ervice 中检索正确的值并在 Okta 中对其进行更新。有关说明，请参阅 第 6 步：更新你的 IdP URLs。

如果您正在编辑现有域

如果您要在现有域上启用SAML身份验证，请复制服务提供商实体 ID 和其中一个SSOURLs。有关使用哪种方法URL的指导，请参阅SAML配置概述。

使用这些值配置您的身份提供程序。这是过程中最复杂的部分，不幸的是，术语和步骤因提供程序而异。请参阅提供程序的文档。

例如，在 Okta 中，你创建了一个 SAML 2.0 的 Web 应用程序。对于单点登录 URL，请指定SSOURL。对于受众URI（SP 实体 ID），请指定 SP 实体 ID。

Okta 拥有用户和组，而不是用户和后端角色。对于 Group Attribute Statements（组属性语句），建议将 role 添加到 Name（名称）字段，并将正则表达式 .+ 添加到 Filter（筛选条件）字段。此语句告诉 Okta 身份提供者在用户进行身份验证后将所有用户组包含在SAML断言role字段下。

在 IAM Identity Center 中，您可以将 SP 实体 ID 指定为应用程序SAML受众。您还需要指定以下属性映射：Subject=${user:subject}:format=unspecified 和 Role=${user:groups}:format=uri。

在 Auth0 中，您可以创建一个常规 Web 应用程序并启用 SAML 2.0 插件。在 Keycloak 中，创建客户端。

步骤 3：导入 IdP 元数据

配置了身份提供程序后，它会生成 IdP 元数据文件。此XML文件包含有关提供商的信息，例如TLS证书、单点登录端点和身份提供者的实体 ID。

复制 IdP 元数据文件的内容并将其粘贴到服务控制台的 “来自 IdP 的元数据” 字段中。 OpenSearch 或者，选择 “从XML文件导入” 并上传文件。元数据文件应如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor entityID="entity-id" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata">
  <md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:KeyDescriptor use="signing">
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
          <ds:X509Certificate>tls-certificate</ds:X509Certificate>
        </ds:X509Data>
      </ds:KeyInfo>
    </md:KeyDescriptor>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified</md:NameIDFormat>
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="idp-sso-url"/>
    <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="idp-sso-url"/>
  </md:IDPSSODescriptor>
</md:EntityDescriptor>

步骤 4：配置SAML字段

输入 IdP 元数据后，请在 OpenSearch 服务控制台中配置以下其他字段：

许多身份提供者允许您在配置过程中查看示例断言，而诸如 SAML-tracer 之类的工具可以帮助您检查实际断言的内容并对其进行故障排除。断言如下所示：

<?xml version="1.0" encoding="UTF-8"?>
<saml2:Assertion ID="id67229299299259351343340162" IssueInstant="2020-09-22T22:03:08.633Z" Version="2.0"
  xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
  <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">idp-issuer</saml2:Issuer>
  <saml2:Subject>
    <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">username</saml2:NameID>
    <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
      <saml2:SubjectConfirmationData NotOnOrAfter="2020-09-22T22:08:08.816Z" Recipient="domain-endpoint/_dashboards/_opendistro/_security/saml/acs"/>
    </saml2:SubjectConfirmation>
  </saml2:Subject>
  <saml2:Conditions NotBefore="2020-09-22T21:58:08.816Z" NotOnOrAfter="2020-09-22T22:08:08.816Z">
    <saml2:AudienceRestriction>
      <saml2:Audience>domain-endpoint</saml2:Audience>
    </saml2:AudienceRestriction>
  </saml2:Conditions>
  <saml2:AuthnStatement AuthnInstant="2020-09-22T19:54:37.274Z">
    <saml2:AuthnContext>
      <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
    </saml2:AuthnContext>
  </saml2:AuthnStatement>
  <saml2:AttributeStatement>
    <saml2:Attribute Name="role" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
      <saml2:AttributeValue
        xmlns:xs="http://www.w3.org/2001/XMLSchema"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">GroupName Match Matches regex ".+" (case-sensitive)
      </saml2:AttributeValue>
    </saml2:Attribute>
  </saml2:AttributeStatement>
</saml2:Assertion>

步骤 5：（可选）配置其他设置

在 Additional settings（其他设置）下，配置以下可选字段：

配置好后，请保存域。

第 6 步：更新你的 IdP URLs

如果您在创建域时启用了SAML身份验证，则必须在 IdP 中指定临时URLs身份才能生成XML元数据文件。在域名状态更改为后Active，您可以获取正确的域名URLs并修改您的 IdP。

要检索URLs，请选择域并选择操作、编辑安全配置。在 OpenSearch Dashboards/Kibana 的SAML身份验证下，您可以找到正确的服务提供商实体 ID 和。SSO URLs复制这些值并使用它们来配置您的身份提供商，替换您在步骤 2 中提供的临时URLs身份提供商。

步骤 7：将SAML用户映射到角色

当您的域名状态为 “激活” 且您的 IdP 配置正确后，请导航至 OpenSearch 控制面板。

在这两种情况下，都要以SAML主用户或属于SAML主后端角色的用户身份登录。要继续执行步骤 7 中的示例，请以 jdoe 或 admins 组中 成员录入)。

OpenSearch 仪表板加载后，选择 “安全”、“角色”。然后，映射角色以允许其他用户访问 OpenSearch 仪表板。

例如，您可能将受信任的同事 jroe 映射添加到 all_access 和 security_manager 角色。您还可以将后端角色 analysts 映射添加到 readall 和 opensearch_dashboards_user 角色。

如果您更喜欢使用 OpenSearch 仪表板API而不是控制面板，请参阅以下示例请求：

PATCH _plugins/_security/api/rolesmapping
[
  {
    "op": "add", "path": "/security_manager", "value": { "users": ["master-user", "jdoe", "jroe"], "backend_roles": ["admins"] }
  },
  {
    "op": "add", "path": "/all_access", "value": { "users": ["master-user", "jdoe", "jroe"], "backend_roles": ["admins"] }
  },
  {
    "op": "add", "path": "/readall", "value": { "backend_roles": ["analysts"] }
  },
  {
    "op": "add", "path": "/opensearch_dashboards_user", "value": { "backend_roles": ["analysts"] }
  }
]

配置 SP 和 IdP 发起的身份验证

如果要配置 SP 和 IDP 启动的身份验证，则必须通过身份提供程序执行此操作。例如，在 Okta 中，您可以执行以下步骤：

配置SAML身份验证 (Amazon CLI)

以下 Amazon CLI 命令为现有域上的 OpenSearch 仪表板启用SAML身份验证：

aws opensearch update-domain-config \
  --domain-name my-domain \
  --advanced-security-options '{"SAMLOptions":{"Enabled":true,"MasterUserName":"my-idp-user","MasterBackendRole":"my-idp-group-or-role","Idp":{"EntityId":"entity-id","MetadataContent":"metadata-content-with-quotes-escaped"},"RolesKey":"optional-roles-key","SessionTimeoutMinutes":180,"SubjectKey":"optional-subject-key"}}'

必须对元数据XML中的所有引号和换行符进行转义。例如，使用 <KeyDescriptor use=\"signing\">\n 而不是 <KeyDescriptor use="signing"> 和换行符。有关使用方法的详细信息 Amazon CLI，请参阅 Amazon CLI 命令参考。

配置SAML身份验证（配置API）

以下配置请求API允许在现有域上对 OpenSearch 仪表板进行SAML身份验证：

POST https://es.us-east-1.amazonaws.com/2021-01-01/opensearch/domain/my-domain/config
{
  "AdvancedSecurityOptions": {
    "SAMLOptions": {
      "Enabled": true,
      "MasterUserName": "my-idp-user",
      "MasterBackendRole": "my-idp-group-or-role",
      "Idp": {
        "EntityId": "entity-id",
        "MetadataContent": "metadata-content-with-quotes-escaped"
      },
      "RolesKey": "optional-roles-key",
      "SessionTimeoutMinutes": 180,
      "SubjectKey": "optional-subject-key"
    }
  }
}

必须对元数据XML中的所有引号和换行符进行转义。例如，使用 <KeyDescriptor use=\"signing\">\n 而不是 <KeyDescriptor use="signing"> 和换行符。有关使用配置的详细信息API，请参阅OpenSearch 服务参API考。

SAML故障排除

GET _plugins/_security/api/rolesmapping

禁用SAML身份验证