Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

适用于 Amazon 无服务器的 SAM OpenSearch L 身份验证

借助适用于 Amazon OpenSearch Serverless 的 SAML 身份验证，您可以使用现有的身份提供商为无服务器集合的 OpenSearch 控制面板终端节点提供单点登录 (SSO)。

SAML 身份验证允许您使用第三方身份提供商登录 OpenSearch 仪表板以索引和搜索数据。 OpenSearch Serverless 支持使用 SAML 2.0 标准的提供商，例如 IAM 身份中心、Okta、Keycloak、Active Directory 联合身份验证服务 (AD FS) 和 Auth0。您可以将 IAM Identity Center 配置为同步来自其他身份来源（例如 Okta 和 Microsoft Entra ID）的用户和群组。 OneLogin有关 IAM Identity Center 支持的身份源列表及其配置步骤，请参阅 I AM Identity Center 用户指南中的入门教程。

要设置 SAML 身份验证，首先需要配置 SAML 身份提供者（IdP）。然后，您可以在数据访问策略中包括来自该 IdP 的一个或多个用户。此策略将授予其针对集合和/或索引的某些权限。然后，用户可以登录 OpenSearch 仪表板并执行数据访问策略中允许的操作。

注意事项

在配置 SAML 身份验证时，请考虑以下事项：

所需权限

OpenSearch 无服务器的 SAML 身份验证使用以下 Amazon Identity and Access Management (IAM) 权限：

以下基于身份的访问策略允许用户管理所有 IdP 配置：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "aoss:CreateSecurityConfig",
                "aoss:DeleteSecurityConfig",
                "aoss:GetSecurityConfig",
                "aoss:UpdateSecurityConfig",
                "aoss:ListSecurityConfigs"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

请注意，Resource 元素必须是通配符。

创建 SAML 提供者（控制台）

这些步骤说明了如何创建 SAML 提供者。这为仪表板启用了使用服务提供商 (SP) 启动的身份验证的 SAML 身份验证。 OpenSearch 不支持 IdP 发起的身份验证。

访问 OpenSearch 仪表板

配置 SAML 提供商后，与该提供商关联的所有用户和群组都可以导航到 OpenSearch 仪表板端点。所有集合的控制面板 URL 格式为 collection-endpoint/_dashboards/。

如果您启用了 SAML，则选择中的链接 Amazon Web Services Management Console 会将您定向到 IdP 选择页面，您可以在其中使用 SAML 凭据登录。首先，使用下拉列表选择身份提供者：

然后，使用您的 IdP 凭证登录。

如果您未启用 SAML，则选择中的链接 Amazon Web Services Management Console 将引导您以 IAM 用户或角色的身份登录，但没有 SAML 选项。

授予 SAML 身份针对集合数据的访问权限

在您创建 SAML 提供者后，您仍然需要向基础用户和组授予针对集合中数据的访问权限。您可以通过数据访问策略授予访问权限。在您向用户提供访问权限之前，他们将无法读取、写入或删除您的集合中的任何数据。

要授予访问权限，请创建数据访问策略，然后在 Principal 语句中指定您的 SAML 用户和/或组 ID：

[
   {
      "Rules":[
       ...  
      ],
      "Principal":[
         "saml/987654321098/myprovider/user/Shaheen",
         "saml/987654321098/myprovider/group/finance"
      ]
   }
]

您可以授予针对集合、索引或两者的访问权限。如果您希望不同用户拥有不同权限，请创建多条规则。有关可用权限的列表，请参阅受支持的策略权限。有关如何设置访问策略格式的信息，请参阅策略语法。

创建 SAML 提供者（Amazon CLI）

要使用 OpenSearch 无服务器 API 创建 SAML 提供商，请发送请求：CreateSecurityConfig

aws opensearchserverless create-security-config \
    --name myprovider \
    --type saml \
    --saml-options file://saml-auth0.json

将包括元数据 XML 在内的 saml-options 指定为 .json 文件中的键值映射。必须以 JSON 转义字符串的形式编码元数据 XML。

{
   "sessionTimeout": 70,
   "groupAttribute": "department",
   "userAttribute": "userid",
   "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>"
}

查看 SAML 提供者

以下ListSecurityConfigs请求列出了您账户中的所有 SAML 提供商：

aws opensearchserverless list-security-configs --type saml

该请求返回有关所有现有 SAML 提供者的信息，包括您的身份提供者生成的完整 IdP 元数据：

{
   "securityConfigDetails": [ 
      { 
         "configVersion": "MTY2NDA1MjY4NDQ5M18x",
         "createdDate": 1664054180858,
         "description": "Example SAML provider",
         "id": "saml/123456789012/myprovider",
         "lastModifiedDate": 1664054180858,
         "samlOptions": { 
            "groupAttribute": "department",
            "metadata": "<EntityDescriptor xmlns=\"urn:oasis:names:tc:SAML:2.0:metadata\" ... ... ... IDPSSODescriptor>\r\n<\/EntityDescriptor>",
            "sessionTimeout": 120,
            "userAttribute": "userid"
         }
      }
   ]
}

要查看有关某个具体提供者的详细信息，包括未来更新的 configVersion，请发送 GetSecurityConfig 请求。

更新 SAML 提供者

要使用 OpenSearch 无服务器控制台更新 SAML 提供商，请选择 SAML 身份验证，选择您的身份提供商，然后选择编辑。您可以修改所有字段，包括元数据和自定义属性。

要通过 OpenSearch Serverless API 更新提供商，UpdateSecurityConfig请发送请求并包含要更新的策略的标识符。还必须包括配置版本，您可以使用 ListSecurityConfigs 或 GetSecurityConfig 命令检索配置版本。包括最新版本可以确保您不会无意中覆盖其他人所做的更改。

以下请求更新了提供者的 SAML 选项：

aws opensearchserverless update-security-config \
    --id saml/123456789012/myprovider \
    --type saml \
    --saml-options file://saml-auth0.json \
    --config-version MTY2NDA1MjY4NDQ5M18x

将您的 SAML 配置选项指定为 .json 文件中的键值映射。

删除 SAML 提供者

在您删除 SAML 提供者时，对数据访问策略中关联用户和组的任何引用都将不再起作用。为避免混淆，建议您在删除端点之前，先移除对访问策略中端点的所有引用。

要使用 OpenSearch 无服务器控制台删除 SAML 提供商，请选择身份验证，选择提供商，然后选择删除。

要通过 OpenSearch 无服务器 API 删除提供商，请发送DeleteSecurityConfig请求：

aws opensearchserverless delete-security-config --id saml/123456789012/myprovider