Comment utiliser l'authentification Amazon Cognito pour accéder aux tableaux de bord OpenSearch depuis l'extérieur d'un VPC ?

Résolution

Pour accéder aux tableaux de bord OpenSearch, utilisez un tunnel SSH, un proxy NGINX ou un AWS Site-to-Site VPN.

Utiliser un tunnel SSH

Un tunnel SSH garantit une connexion sécurisée via le protocole SSH, et toutes les connexions utilisent le port SSH. Cependant, un tunnel SSH requiert une configuration côté client et un serveur proxy.

Pour plus d'informations, consultez la section Comment utiliser un tunnel SSH pour accéder aux tableaux de bord OpenSearch depuis l'extérieur d'un VPC grâce à l’authentification Amazon Cognito ?

Utiliser un proxy NGINX

Un proxy NGINX requiert uniquement une configuration côté serveur et utilise les protocoles HTTP (port 80) et HTTPS (port 443) standard. Cependant, un proxy NGINX requiert un serveur proxy, et le niveau de sécurité de la connexion dépend de la façon dont vous configurez le serveur proxy.

Pour plus d'informations, consultez la section Comment utiliser un proxy NGINX pour accéder aux tableaux de bord OpenSearch depuis l'extérieur d'un VPC grâce à l'authentification Amazon Cognito ?

(Facultatif) Si vous activez le contrôle d'accès précis, ajoutez un rôle authentifié Amazon Cognito.

Si vous avez activé le contrôle d'accès précis pour votre cluster OpenSearch Service, il se peut que vous receviez une erreur de rôle manquant.

Pour résoudre l'erreur de rôle manquant, procédez comme suit :

1. Ouvrez la console OpenSearch Service.
2. Dans le volet de navigation, sous Clusters gérés, choisissez Domaines.
3. Sélectionnez Actions, puis Modifier les configurations de sécurité.
4. Choisissez Définir l’ARN IAM comme utilisateur principal.
5. Dans ARN IAM, entrez l’Amazon Resource Name (ARN) du rôle Gestion des identités et des accès AWS (AWS IAM) authentifié par Amazon Cognito.
6. Sélectionnez Soumettre.

Pour les clusters existants dotés d'un contrôle d'accès précis et d'un accès aux tableaux de bord OpenSearch, vous pouvez mapper l'utilisateur Amazon Cognito en tant que rôle backend pour un utilisateur interne. Vous pouvez également mapper l'utilisateur au rôle all_access dans les tableaux de bord OpenSearch.

Procédez comme suit :

1. Ouvrez la console OpenSearch Service.
2. Dans le volet de navigation, sous Clusters gérés, choisissez Domaines.
3. Connectez-vous aux tableaux de bord OpenSearch de votre cluster.
4. Sélectionnez le rôle all_access.
5. Sous Tableaux de bord, choisissez Sécurité, puis Rôles/Utilisateurs internes.
6. Dans Rôles, sélectionnez all_access, ou sélectionnez un utilisateur parmi vos utilisateurs internes.
7. Choisissez Gérer les mappages.
8. Dans Rôle backend, entrez l'ARN du rôle IAM authentifié par Amazon Cognito, puis choisissez Mappage.
9. Dans Modifier les paramètres du cluster, activez l'authentification Cognito pour le groupe d'utilisateurs et les groupes d'identités pour votre rôle IAM authentifié par Amazon Cognito.
   Remarque : Ce paramètre entraîne un déploiement bleu/vert.
10. Mettez à jour l'accès au cluster via un proxy NGINX ou utilisez l’AWS VPN.

Pour plus d'informations sur le contrôle d'accès précis, consultez la section Didacticiel : Configurer un domaine avec un utilisateur principal IAM et une authentification Amazon Cognito.

Utiliser Site-to-Site VPN

Un Site-to-Site VPN crée une connexion sécurisée entre votre équipement sur site et vos VPC et utilise les protocoles TCP et UDP standard pour un VPN SSL/TLS. Cependant, une connexion VPN site à site requiert une configuration VPN et une configuration côté client.

Remarque : Pour autoriser ou restreindre l'accès aux ressources, modifiez la configuration du réseau VPC et les groupes de sécurité associés au domaine OpenSearch Service. Pour plus d'informations, consultez la section Tester les domaines VPC.

Informations connexes

Comment résoudre les problèmes d'authentification Amazon Cognito avec les tableaux de bord OpenSearch ?

Configuration de l'authentification Amazon Cognito pour les tableaux de bord OpenSearch

Pourquoi ai-je reçu le message d’erreur « User: anonymous is not authorized » lorsque j’ai essayé d’accéder à mon cluster OpenSearch Service ?